Der IT-Sicherheitsverband TeleTrusT hat eine umfassende Handreichung für die Planung und Vergabe von Penetrationstests veröffentlicht. Das 51-seitige Dokument richtet sich an Unternehmen, Behörden, Auditoren und Dienstleister und soll angesichts wachsender technischer Komplexität, steigender Bedrohungslage und neuer Compliance-Anforderungen ein gemeinsames Verständnis für methodisch korrekte Pentest-Projekte schaffen.
Pentest versus Vulnerability Scan: Die entscheidenden Unterschiede
Ein zentraler Punkt der Handreichung ist die klare Abgrenzung verschiedener Sicherheitsdienstleistungen. Ein automatisierter Vulnerability Scan prüft Systeme lediglich auf bekannte Schwachstellen – das ist nach Darstellung von TeleTrusT noch kein Penetrationstest. Bei einem Pentest bewerten erfahrene Experten die Ergebnisse im jeweiligen Kontext, schließen Fehlalarme aus und prüfen, ob und welche Auswirkungen eine Schwachstelle tatsächlich haben kann.
Das Dokument unterscheidet explizit zwischen folgenden Verfahren:
- Penetrationstest: Manuelle, kontextbezogene Prüfung definierter Ziele innerhalb eines begrenzten Zeitraums.
- Vulnerability Assessment: Automatisierte Schwachstellenscans ohne tiefere Kontextbewertung.
- Red Teaming: Umfassende Angriffssimulation, die vor allem die Reaktions- und Abwehrfähigkeit der Organisation bewertet.
- Audit: Formale Prüfung auf Einhaltung von Standards und Richtlinien.
- Attack Surface Management: Kontinuierliche Überwachung der Angriffsfläche.
Scoping und Risikoabwägung: Vor dem Test die Ziele definieren
TeleTrusT empfiehlt, vor jedem Penetrationstest die Prüfziele, den Ausgangspunkt, die Berechtigungen, den Zeitraum und die zulässigen Methoden verbindlich festzulegen. Auftraggeber müssen rechtliche Genehmigungen, Zuständigkeiten, Kommunikations- und Eskalationswege klären. Dies gilt insbesondere für Tests produktiver oder kritischer Systeme, bei denen Betriebsstörungen nie vollständig ausgeschlossen werden können.
Die Handreichung behandelt verschiedene Testmodule: Prüfungen extern erreichbarer IP-Adressen, interner Netzbereiche, Active Directory, Microsoft Entra ID, mobiler Anwendungen, Endgeräte und Webanwendungen. Für jedes Szenario beschreibt der Verband mögliche Schwerpunkte sowie die Angaben, die für eine sinnvolle Ausschreibung erforderlich sind.
Dokumentation: Der Bericht als Entscheidungsgrundlage
Ein Pentest-Bericht sollte laut TeleTrusT Testziel, Umfang, Vorgehensweise, Schwachstellen, deren Bewertung und priorisierte Empfehlungen enthalten. Der Verband hebt hervor, dass die konkrete Risikobewertung letztlich beim Auftraggeber liegt – nur dieser kann den geschäftlichen Kontext und den Schutzbedarf vollständig beurteilen. Der Bericht dient nicht nur der Dokumentation, sondern auch als Grundlage für konkrete Maßnahmen und eventuelle Nachweise gegenüber Aufsichtsbehörden.
Dienstleisterauswahl: Mehr als nur Zertifikate prüfen
Da der Begriff „Penetrationstest“ kein geschützter Titel ist, widmet die Handreichung der Auswahl geeigneter Dienstleister ein eigenes Kapitel. Unternehmen sollten nicht nur Zertifikate bewerten, sondern folgende Kriterien heranziehen:
- Technische Kompetenz und Praxiserfahrung der Tester
- Referenzen und nachgewiesene Projekterfahrung
- Methodik und Vorgehensweise
- Sichere Kommunikationswege für die Übermittlung sensibler Daten
- Qualität der Berichterstattung und Aufbereitung von Ergebnissen
TeleTrusT stellt eine Entscheidungsmatrix als Vorschlag bereit, die Unternehmen bei der objektiven Bewertung unterstützen soll.
KI im Pentest: Unterstützung ja, Ersatz nein
Die Handreichung behandelt auch den Einsatz Künstlicher Intelligenz in Penetrationstests. KI könne bei der Analyse großer Datenmengen, der Priorisierung von Ergebnissen und der Dokumentation helfen. Die fachliche Bewertung durch erfahrene Tester bleibe jedoch unverzichtbar. TeleTrusT verweist auf konkrete Risiken:
- Falsche oder irreführende Ergebnisse durch KI-Modelle
- Fehlender organisatorischer Kontext bei automatisierten Bewertungen
- Unbeabsichtigte Belastungen der Testobjekte durch KI-gesteuerte Scans
- Datenabfluss- und Compliance-Risiken bei Cloud-basierten KI-Diensten
Der Verband empfiehlt, KI-Tools als unterstützende Werkzeuge einzusetzen, die menschliche Expertise aber stets als letzte Instanz beizubehalten.
Die Handreichung „Penetrationstests 2026“ steht auf der TeleTrusT-Website zum Download bereit. Angesichts der zunehmenden regulatorischen Anforderungen – etwa durch NIS2 und die wachsende Zahl kritischer Infrastrukturen – dürfte das Papier für viele Unternehmen eine wichtige Orientierungshilfe sein, um Sicherheitsprüfungen professionell zu planen und nachweisbar durchzuführen.
