Der Penetrationstest war lange die Kür für IT-Teams, jetzt gehört er für rund 29.500 deutsche Unternehmen zur gesetzlichen Nachweispflicht. Mit dem NIS2a-Umsetzungsgesetz, das im Dezember 2025 in Kraft trat, ist der Nachweis einer funktionierenden Sicherheitsarchitektur Pflicht. Wer die Wirksamkeit seiner Sicherheitsmaßnahmen nicht belegen kann, riskiert Bußgeld und persönliche Haftung der Geschäftsleitung.
Vom Goodwill zur Rechtspflicht
Das novellierte BSI-Gesetz (BSIG) verpflichtet wesentliche und wichtige Einrichtungen in 18 Sektoren, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zum Schutz ihrer Netz- und Informationssysteme zu ergreifen (§ 30 BSIG). Die Registrierungspflicht beim BSI endete für bestehende Unternehmen am 6. März 2026. Was folgt, sind Prüfwellen: Das BSI baut seine Aufsichtsstrukturen aus, erste Stichproben laufen bereits, und Bußgeldverfahren werden vorbereitet.
Die Zahlen sprechen für sich. Laut BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 wurden im Berichtszeitraum täglich im Schnitt 119 neue Schwachstellen registriert, ein Anstieg von 24 Prozent gegenüber dem Vorjahr. Rund 80 Prozent der dokumentierten Ransomware-Angriffe trafen kleine und mittlere Unternehmen. Die Bitkom-Wirtschaftsschutzstudie 2025 beziffert den jährlichen Gesamtschaden durch Datendiebstahl, Sabotage und Industriespionage auf 289,2 Milliarden Euro, rund 8 Prozent mehr als im Vorjahr.
Für Geschäftsführer und Vorstände bedeutet das eine neue Qualität von Verantwortung. Das novellierte BSIG macht Cybersicherheit zur Chefsache mit persönlicher Haftung. Vorstände müssen Sicherheitsmaßnahmen aktiv überwachen und sich regelmäßig schulen lassen. Wer Nachweispflichten nicht erfüllt, riskiert Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wobei der höhere Wert gilt.
Was NIS2 konkret fordert und was Penetrationstests leisten
§ 30 BSIG benennt explizit, was betroffene Einrichtungen umsetzen müssen: Konzepte zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity Management, Sicherheit der Lieferkette sowie die Überprüfung der Wirksamkeit von Cybersicherheitsmaßnahmen. Genau dieser letzte Punkt ist entscheidend. Der Penetrationstest ist das präziseste Instrument für diesen Nachweis. Anders als automatisierte Schwachstellenscans, die bekannte Lücken in Datenbanken abgleichen, simuliert ein Penetrationstest den realen Angriff: Ein autorisierter Sicherheitsexperte versucht, mit denselben Methoden in die Infrastruktur einzudringen, die auch ein Angreifer nutzen würde. Das Ergebnis ist kein Ampelreport, sondern ein detaillierter Befund mit Angriffspfaden, ausgenutzten Schwachstellen und konkretem Handlungsbedarf.
Für NIS2-pflichtige Unternehmen empfehlen Umsetzungsleitfäden mindestens einen jährlichen Penetrationstest des Außenperimeters sowie anlassbezogene Tests nach größeren Infrastrukturveränderungen, etwa nach Cloud-Migrationen oder dem Einführen neuer Systeme.
Drei Testformen und wann welche passt
In der Praxis unterscheiden Sicherheitsexperten drei wesentliche Testformen.
- Black-Box-Test: Der Tester erhält keine Vorinformationen über die Zielinfrastruktur. Dieser Ansatz bildet den realistischsten Angriffsvektor ab: den externen Angreifer ohne Insiderwissen. Black-Box-Tests eignen sich besonders für den Außenperimeter und zeigen, wie ein opportunistischer Angreifer vorgeht.
- Grey-Box-Test: Der Tester kennt grundlegende Informationen wie Netzwerkstruktur oder Benutzerrollen, simuliert aber keinen privilegierten Angreifer. Dieser Ansatz bildet den häufigsten realen Bedrohungsvektor ab: den kompromittierten Mitarbeiteraccount oder den Angreifer mit erstem Fuß in der Tür. Für die meisten mittelständischen Unternehmen ist der Grey-Box-Test das beste Kosten-Nutzen-Verhältnis.
- White-Box-Test: Vollständige Systemkenntnis, inklusive Quellcode und Architekturdokumentation. Dieser Ansatz eignet sich für tiefe Anwendungssicherheitsprüfungen und liefert eine vollständige Schwachstellenabdeckung, ist aber zeitintensiver.
Eine häufig unterschätzte Variante ist der kombinierte Ansatz aus technischem Penetrationstest und Social-Engineering-Komponente. Dabei wird geprüft, ob Mitarbeiter auf gefälschte Phishing-Mails hereinfallen oder einem angeblichen IT-Techniker unbegleiteten Zugang zum Serverraum gewähren. Ein Penetrationstest, der die menschliche Dimension auslässt, testet nur die Hälfte der Angriffsfläche.
Die häufigsten Schwachstellen, die Tests aufdecken
Aus der Praxis wiederholen sich bei mittelständischen Unternehmen, Kommunen und Versorgern bestimmte Befundkategorien zuverlässig.
- Veraltete Systeme und fehlende Patches: Der BSI-Lagebericht 2025 nennt unzureichendes Patchmanagement als eine der häufigsten Schwachstellen bei Kommunen und KMU. Systeme ohne aktuelle Sicherheitsupdates tragen bekannte Lücken, für die öffentliche Exploits existieren.
- Flat Networks ohne Segmentierung: In gewachsenen IT-Umgebungen ohne Netzwerktrennung kann ein einziger kompromittierter Arbeitsplatz direkten Zugriff auf Produktivsysteme, Backups oder OT-Netzwerke erlangen. Das BSI bezeichnet Netzwerksegmentierung im Lagebericht 2025 explizit als Pflichtdisziplin für 2026.
- Schwache Authentifizierung und Berechtigungschaos: Geteilte Passwörter, niemals geänderte Standardzugangsdaten und Konten ehemaliger Mitarbeiter mit aktiven Berechtigungen sind in Penetrationstests regelmäßige Befunde. Multi-Faktor-Authentifizierung (MFA) ist heute Mindeststandard, von Cyberversicherern ebenso gefordert wie von NIS2.
- Exponierte Fernzugänge: VPN-Zugänge ohne MFA und Remote-Desktop-Dienste mit direktem Internetzugang sind beliebte Einstiegspunkte. Laut BSI-Lagebericht 2025 hat die Ausnutzung von Schwachstellen in Web-Angriffsflächen weiter an Bedeutung gewonnen.
Was nach dem Test passiert: Der Weg von der Lücke zur Härtung
Ein Penetrationstest ist kein Selbstzweck. Sein Wert entsteht erst durch die strukturierte Nacharbeit. Ein guter Abschlussbericht enthält nicht nur eine Schwachstellenliste, sondern eine nach Kritikalität priorisierte Handlungsempfehlung, die zwischen sofortigem Handlungsbedarf, mittelfristigen Maßnahmen und strategischen Verbesserungen unterscheidet.
In der Praxis empfiehlt sich ein dreistufiger Prozess: Erstens die sofortige Behebung kritischer Lücken. Zweitens die strukturierte Härtung mittelfristiger Befunde im Rahmen eines dokumentierten Maßnahmenplans. Drittens die Etablierung eines kontinuierlichen Verbesserungsprozesses, der den Penetrationstest nicht als einmaliges Projekt, sondern als regelmäßigen Bestandteil des Sicherheitszyklus begreift. Für NIS2-pflichtige Unternehmen ist dieser Dokumentationsweg nicht optional: § 30 BSIG fordert nachweisbar umgesetzte Maßnahmen. Der Penetrationstestbericht wird damit Teil der Compliance-Dokumentation, die im Falle einer BSI-Prüfung vorgelegt werden muss. Betreiber kritischer Anlagen müssen ihre Sicherheitsnachweise dem BSI gegenüber alle drei Jahre erbringen (§ 39 BSIG).
Praktische Hinweise für die Vorbereitung
Wer einen Penetrationstest beauftragen möchte, sollte einige Punkte klären, bevor der Test beginnt. Der Scope muss klar definiert sein: Welche Systeme, IP-Bereiche und Anwendungen sind Teil des Tests, welche sind ausgenommen? Eine unklare Scope-Definition führt zu Lücken oder unerwarteten Auswirkungen auf Produktionssysteme. Eine schriftliche Genehmigung ist unverzichtbar. In Deutschland bewegt sich ein Penetrationstest rechtlich im Bereich des § 202c StGB (Hackerparagraf). Nur eine klare Beauftragung und Dokumentation des autorisierten Scopes schützt alle Beteiligten. Seriöse Dienstleister bestehen auf einem solchen Dokument.
Der Test sollte außerhalb der Kernbetriebszeiten oder mit Notfallkommunikationsplan durchgeführt werden. Auch wenn ein guter Penetrationstester keinen Produktionsausfall verursachen wird, kann das Auslösen von Sicherheitssystemen zu automatisierten Sperrungen führen. Schließlich: Der Penetrationstest ist keine einmalige Feuerwehrübung. Mit jeder Infrastrukturveränderung und jeder neuen Anwendung entsteht neue Angriffsfläche. NIS2 gibt den regulatorischen Rahmen vor, die Bedrohungslage die tägliche Begründung.
Der Penetrationstest ist 2026 kein Luxus mehr, den sich nur Großunternehmen leisten. Er ist das präziseste Mittel, um die NIS2-Anforderung zur Wirksamkeitsprüfung von Sicherheitsmaßnahmen zu erfüllen, und gleichzeitig der ehrlichste Spiegel, den eine Organisation ihrer eigenen IT-Sicherheit vorhalten kann. Wer auf den Test verzichtet, verzichtet auf die wichtigste Erkenntnis: ob die eigene Verteidigung im Ernstfall hält.
