{"id":55278,"date":"2026-09-27T13:27:48","date_gmt":"2026-09-27T11:27:48","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=55278"},"modified":"2026-09-27T13:27:48","modified_gmt":"2026-09-27T11:27:48","slug":"teletrust-handreichung-penetrationstests-2026-55278","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/teletrust-handreichung-penetrationstests-2026-55278\/","title":{"rendered":"TeleTrusT ver\u00f6ffentlicht Handreichung Penetrationstests 2026"},"content":{"rendered":"<p>Der IT-Sicherheitsverband <a href=\"https:\/\/www.teletrust.de\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">TeleTrusT<\/a> hat eine umfassende Handreichung f\u00fcr die Planung und Vergabe von Penetrationstests ver\u00f6ffentlicht. Das 51-seitige Dokument richtet sich an Unternehmen, Beh\u00f6rden, Auditoren und Dienstleister und soll angesichts wachsender technischer Komplexit\u00e4t, steigender Bedrohungslage und neuer Compliance-Anforderungen ein gemeinsames Verst\u00e4ndnis f\u00fcr methodisch korrekte Pentest-Projekte schaffen.<\/p>\n<h2>Pentest versus Vulnerability Scan: Die entscheidenden Unterschiede<\/h2>\n<p>Ein zentraler Punkt der Handreichung ist die klare Abgrenzung verschiedener Sicherheitsdienstleistungen. Ein automatisierter Vulnerability Scan pr\u00fcft Systeme lediglich auf bekannte Schwachstellen \u2013 das ist nach Darstellung von TeleTrusT noch kein Penetrationstest. Bei einem Pentest bewerten erfahrene Experten die Ergebnisse im jeweiligen Kontext, schlie\u00dfen Fehlalarme aus und pr\u00fcfen, ob und welche Auswirkungen eine Schwachstelle tats\u00e4chlich haben kann.<\/p>\n<p>Das Dokument unterscheidet explizit zwischen folgenden Verfahren:<\/p>\n<ul>\n<li><strong>Penetrationstest:<\/strong> Manuelle, kontextbezogene Pr\u00fcfung definierter Ziele innerhalb eines begrenzten Zeitraums.<\/li>\n<li><strong>Vulnerability Assessment:<\/strong> Automatisierte Schwachstellenscans ohne tiefere Kontextbewertung.<\/li>\n<li><strong>Red Teaming:<\/strong> Umfassende Angriffssimulation, die vor allem die Reaktions- und Abwehrf\u00e4higkeit der Organisation bewertet.<\/li>\n<li><strong>Audit:<\/strong> Formale Pr\u00fcfung auf Einhaltung von Standards und Richtlinien.<\/li>\n<li><strong>Attack Surface Management:<\/strong> Kontinuierliche \u00dcberwachung der Angriffsfl\u00e4che.<\/li>\n<\/ul>\n<h3>Scoping und Risikoabw\u00e4gung: Vor dem Test die Ziele definieren<\/h3>\n<p>TeleTrusT empfiehlt, vor jedem Penetrationstest die Pr\u00fcfziele, den Ausgangspunkt, die Berechtigungen, den Zeitraum und die zul\u00e4ssigen Methoden verbindlich festzulegen. Auftraggeber m\u00fcssen rechtliche Genehmigungen, Zust\u00e4ndigkeiten, Kommunikations- und Eskalationswege kl\u00e4ren. Dies gilt insbesondere f\u00fcr Tests produktiver oder kritischer Systeme, bei denen Betriebsst\u00f6rungen nie vollst\u00e4ndig ausgeschlossen werden k\u00f6nnen.<\/p>\n<p>Die Handreichung behandelt verschiedene Testmodule: Pr\u00fcfungen extern erreichbarer IP-Adressen, interner Netzbereiche, Active Directory, Microsoft <a href=\"https:\/\/overcentral.com\/de\/microsoft-streicht-sms-login-entra-id-55219\/\" title=\"Microsoft streicht SMS-Login aus Entra ID bis 2027\" data-iacss-internal=\"1\">Entra ID<\/a>, mobiler Anwendungen, Endger\u00e4te und Webanwendungen. F\u00fcr jedes Szenario beschreibt der Verband m\u00f6gliche Schwerpunkte sowie die Angaben, die f\u00fcr eine sinnvolle Ausschreibung erforderlich sind.<\/p>\n<h3>Dokumentation: Der Bericht als Entscheidungsgrundlage<\/h3>\n<p>Ein Pentest-Bericht sollte laut TeleTrusT Testziel, Umfang, Vorgehensweise, Schwachstellen, deren Bewertung und priorisierte Empfehlungen enthalten. Der Verband hebt hervor, dass die konkrete Risikobewertung letztlich beim Auftraggeber liegt \u2013 nur dieser kann den gesch\u00e4ftlichen Kontext und den Schutzbedarf vollst\u00e4ndig beurteilen. Der Bericht dient nicht nur der Dokumentation, sondern auch als Grundlage f\u00fcr konkrete Ma\u00dfnahmen und eventuelle Nachweise gegen\u00fcber Aufsichtsbeh\u00f6rden.<\/p>\n<h3>Dienstleisterauswahl: Mehr als nur Zertifikate pr\u00fcfen<\/h3>\n<p>Da der Begriff \u201ePenetrationstest\u201c kein gesch\u00fctzter Titel ist, widmet die Handreichung der Auswahl geeigneter Dienstleister ein eigenes Kapitel. Unternehmen sollten nicht nur Zertifikate bewerten, sondern folgende Kriterien heranziehen:<\/p>\n<ul>\n<li>Technische Kompetenz und Praxiserfahrung der Tester<\/li>\n<li>Referenzen und nachgewiesene Projekterfahrung<\/li>\n<li>Methodik und Vorgehensweise<\/li>\n<li>Sichere Kommunikationswege f\u00fcr die \u00dcbermittlung sensibler Daten<\/li>\n<li>Qualit\u00e4t der Berichterstattung und Aufbereitung von Ergebnissen<\/li>\n<\/ul>\n<p>TeleTrusT stellt eine Entscheidungsmatrix als Vorschlag bereit, die Unternehmen bei der objektiven Bewertung unterst\u00fctzen soll.<\/p>\n<h3>KI im Pentest: Unterst\u00fctzung ja, Ersatz nein<\/h3>\n<p>Die Handreichung behandelt auch den Einsatz K\u00fcnstlicher Intelligenz in Penetrationstests. KI k\u00f6nne bei der Analyse gro\u00dfer Datenmengen, der Priorisierung von Ergebnissen und der Dokumentation helfen. Die fachliche Bewertung durch erfahrene Tester bleibe jedoch unverzichtbar. TeleTrusT verweist auf konkrete Risiken:<\/p>\n<ul>\n<li>Falsche oder irref\u00fchrende Ergebnisse durch <a href=\"https:\/\/overcentral.com\/de\/abliteration-ai-entschaerfte-ki-modelle-51566\/\" title=\"Abliteration AI vermarktet entsch\u00e4rfte KI-Modelle\" data-iacss-internal=\"1\">KI-Modelle<\/a><\/li>\n<li>Fehlender organisatorischer Kontext bei automatisierten Bewertungen<\/li>\n<li>Unbeabsichtigte Belastungen der Testobjekte durch KI-gesteuerte Scans<\/li>\n<li>Datenabfluss- und Compliance-Risiken bei Cloud-basierten KI-Diensten<\/li>\n<\/ul>\n<p>Der Verband empfiehlt, KI-Tools als unterst\u00fctzende Werkzeuge einzusetzen, die menschliche Expertise aber stets als letzte Instanz beizubehalten.<\/p>\n<p>Die Handreichung \u201ePenetrationstests 2026\u201c steht auf der TeleTrusT-Website zum Download bereit. Angesichts der zunehmenden regulatorischen Anforderungen \u2013 etwa durch <a href=\"https:\/\/overcentral.com\/de\/nis2-penetrationstest-pflicht-51418\/\" title=\"NIS2 macht Penetrationstest zum Pflichtnachweis\" data-iacss-internal=\"1\">NIS2<\/a> und die wachsende Zahl kritischer Infrastrukturen \u2013 d\u00fcrfte das Papier f\u00fcr viele Unternehmen eine wichtige Orientierungshilfe sein, um Sicherheitspr\u00fcfungen professionell zu planen und nachweisbar durchzuf\u00fchren.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Der IT-Sicherheitsverband TeleTrusT hat eine umfassende Handreichung f\u00fcr die Planung und Vergabe von Penetrationstests ver\u00f6ffentlicht. Das 51-seitige Dokument richtet sich an Unternehmen, Beh\u00f6rden, Auditoren und Dienstleister und soll angesichts wachsender technischer Komplexit\u00e4t, steigender Bedrohungslage und neuer Compliance-Anforderungen ein gemeinsames Verst\u00e4ndnis f\u00fcr methodisch korrekte Pentest-Projekte schaffen. Pentest versus Vulnerability Scan: Die entscheidenden Unterschiede Ein zentraler Punkt [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":55281,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55278.png","fifu_image_alt":"TeleTrusT ver\u00f6ffentlicht Handreichung Penetrationstests 2026","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-55278","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55278.png","fifu_image_alt":"TeleTrusT ver\u00f6ffentlicht Handreichung Penetrationstests 2026","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55278","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=55278"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55278\/revisions"}],"predecessor-version":[{"id":55280,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55278\/revisions\/55280"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55281"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=55278"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=55278"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=55278"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}