Security-Audit und Penetrationstest: Was ist der Unterschied?
Beide Begriffe werden im deutschsprachigen Raum haeufig synonym verwendet - bezeichnen aber unterschiedliche Vorgehensweisen mit unterschiedlicher Tiefe. Ein Security-Audit ist eine strukturierte, oft dokumentenbasierte Ueberpruefung: Konfigurationen, Zugriffsrechte, Richtlinien, Patch-Level und Compliance-Anforderungen werden gegen bekannte Best Practices und Standards (BSI IT-Grundschutz, ISO 27001, OWASP ASVS) verglichen. Der Audit zeigt, wo Abweichungen bestehen - ohne aktiv Angriffe auszufuehren. Ein Penetrationstest geht weiter: Der Tester versucht mit realen, kontrollierten Angriffstechniken aktiv in Systeme einzudringen - um zu beweisen, dass eine Schwachstelle tatsaechlich ausnutzbar ist und welche Folgen ein erfolgreicher Angriff haette.
Security-Audit vs. Penetrationstest im Vergleich
| Kriterium | Security-Audit | Penetrationstest |
|---|---|---|
| Vorgehensweise | Analyse, Pruefung, Vergleich mit Standards | Aktive Angriffssimulation mit realen Techniken |
| Tiefe | Breite Abdeckung, konfigurationsbasiert | Gezielte Tiefe, ausnutzbarkeitsbasiert |
| Ergebnis | Abweichungen und Compliance-Luecken | Bewiesene Schwachstellen mit CVSS-Score |
| Risiko fuer Produktivbetrieb | Gering (kein aktiver Angriff) | Planung und Scope entscheidend |
| Typischer Anlass | Jaehrliche Ueberpruefung, Zertifizierung | Vor Launch, nach grossen Updates, NIS2/DSGVO |
Unsere Empfehlung fuer den Mittelstand
Fuer die meisten KMU empfehlen wir eine Kombination: ein Grey-Box-Audit als Basischeck plus gezielten Pentest der kritischsten Anwendungen. Das liefert maximalen Erkenntnisgewinn bei kontrollierbarem Aufwand. Im Erstgespraech helfen wir Ihnen, den richtigen Scope zu definieren.
Unser Audit-Ablauf: Fuenf Phasen nach BSI-Methodik
Wir orientieren uns am offiziellen BSI-Leitfaden 'Durchfuehrungskonzept fuer Penetrationstests', der fuenf strukturierte Phasen vorschreibt. Dieses Vorgehen stellt sicher, dass kein Pruefbereich vergessen wird, das Risiko fuer Ihren Produktivbetrieb minimiert bleibt und das Ergebnis rechtlich und fachlich belastbar ist.
- 1
Phase 1: Vorbereitung und Scoping
Wir klaeren gemeinsam mit Ihnen den genauen Pruefumfang (Scope): Welche Systeme, Domains, Schnittstellen und Nutzerrollen sind eingeschlossen? Welche Systeme sind explizit ausgeschlossen? In dieser Phase entstehen der schriftliche Pentest-Vertrag (rechtlich zwingend nach Paragraf 202a StGB), die Rules of Engagement sowie der Eskalationsweg fuer den Fall, dass ein kritischer Fund unmittelbares Handeln erfordert.
- 2
Phase 2: Informationsbeschaffung (Reconnaissance)
Unabhaengig vom gewaehlten Test-Typ sammeln wir zunaechst alle oeffentlich verfuegbaren Informationen ueber die Zielinfrastruktur: DNS-Eintraege, Zertifikate, Subdomains, Software-Fingerprints, exponierte Versionsnummern, oeffentliche Code-Repositories, Mitarbeiterinformationen fuer Social-Engineering-Bewertungen. Dieses OSINT-Bild zeigt bereits, welche Angriffsoberflaeche ein externer Angreifer ohne jedes Vorwissen sehen wuerde.
- 3
Phase 3: Schwachstellenbewertung
Auf Basis der gesammelten Informationen identifizieren und priorisieren wir potenzielle Schwachstellen: veraltete Softwareversionen, Fehlkonfigurationen, offene Admin-Interfaces, schwache Authentifizierung, fehlende Sicherheitsheader, unsichere Drittanbieter-Abhaengigkeiten. Jede Schwachstelle erhaelt vorab eine vorlaeufige CVSS-Einordnung (Critical, High, Medium, Low), die den Prueftiefen-Fokus in Phase 4 steuert.
- 4
Phase 4: Aktive Eindringversuche
Dies ist der Kernbereich des Penetrationstests: kontrollierte, dokumentierte Ausnutzungsversuche innerhalb des vereinbarten Scopes. Wir pruefen alle relevanten OWASP-Top-10:2025-Kategorien, typische Backend-Schwachstellen (SQL-Injection, Command Injection, SSRF im Kontext von Broken Access Control), Zugriffskontrollfehler (IDOR, Privilege Escalation), Authentifizierungs- und Session-Management-Schwaechen sowie API-Endpunkte. Jeder Ausnutzungsversuch wird so dokumentiert, dass er Schritt fuer Schritt reproduzierbar ist.
- 5
Phase 5: Bericht, Roadmap und Re-Test
Das Ergebnis ist ein vollstaendiger Pentest-Bericht nach BSI-Berichtsstruktur: Management Summary (nicht-technisch), detaillierte Funde mit CVSS-Score, Reproduktionsschritte, konkrete Massnahmenempfehlungen und eine priorisierte Roadmap. Nach Ihrer Umsetzung der kritischen Massnahmen fuehren wir auf Wunsch einen Re-Test durch, um die Wirksamkeit zu bestaetigen - dieser ist bei unseren Paketen Kompakt und Profi inklusive.
Black-Box, White-Box, Grey-Box: Welcher Pentest-Typ passt zu Ihnen?
Die Wahl des Pentest-Typs beeinflusst direkt, welchen Angreifer-Typ Sie simulieren und wie effizient der Test ist. In der Praxis ist der Grey-Box-Test der haeufigste Ansatz fuer Webanwendungen - er bietet das beste Verhaeltnis zwischen Testtiefe und Aufwand.
Pentest-Typen im Ueberblick
| Typ | Vorinformation | Simulierter Angreifer | Ideal fuer |
|---|---|---|---|
| Black-Box | Keine - nur Zieldomain/-IP | Externer Angreifer ohne Insiderwissen | Ersttest, Angriffsflaechen-Check |
| Grey-Box | Teilinfo: z.B. Login-Zugangsdaten, Rollenkonzept | Eingeloggter Nutzer, externer Angreifer mit Basiskenntnis | Webanwendungen, APIs, SaaS-Produkte |
| White-Box | Vollstaendig: Quellcode, Netzplaene, Architektur | Interner Akteur, privilegierter Nutzer | Code-Review-Pentest, maximale Tiefe |
| Red-Team (BSI Klasse V) | Keine - realistische Simulation | Professionelle Angreifergruppe mit Social Engineering | Groessere Organisationen, KRITIS, NIS2-Pflicht |
BSI-Klassen I bis V: Aggressivitaet bestimmt den Umfang
Das BSI klassifiziert Penetrationstests in fuenf Aggressivitaetsstufen: von Klasse I (passiver Scan, kein aktiver Angriff) bis Klasse V (komplexe Red-Team-Simulation mit Social Engineering und physischen Komponenten). Fuer die meisten mittelstaendischen Webanwendungen sind Klasse II bis III geeignet - aktive Tests mit Exploits, jedoch in klar abgegrenztem Scope ohne Gefaehrdung des Produktivbetriebs. Quelle: BSI-Leitfaden Penetrationstests.
IS-Webcheck: BSI-Methodik fuer Webanwendungen
Das BSI selbst bietet den IS-Webcheck als automatisierten Test der Internetpraesenz an - primaer fuer Bundesbehoerden. Wir orientieren unser Vorgehen an dieser Methodik: automatisierte Schwachstellenscans als Grundlage, angereichert durch manuelle Pruefung der kritischsten Bereiche. So erhalten Sie die Systematik behoerdlicher Sicherheitspruefungen - angepasst auf die Realitaet mittelstaendischer Webpraesenzen.
OWASP Top 10:2025 - Was wir konkret pruefen
Die OWASP Top 10 ist der international anerkannte Standard fuer kritische Sicherheitsrisiken in Webanwendungen. Die Version 2025 wurde aktualisiert und bringt wesentliche Neuerungen: Software Supply Chain Failures (Lieferketten-Schwachstellen) sind als neue Kategorie A03 aufgestiegen - ein direktes Signal an den zunehmenden Einsatz von KI-generiertem Code und Drittanbieter-Abhaengigkeiten. Ausserdem wurde Server-Side Request Forgery (SSRF), das 2021 noch eine eigenstaendige Kategorie bildete, in A01 Broken Access Control integriert. Neu in der Liste ist A10 Mishandling of Exceptional Conditions - ein Zeichen fuer wachsende Anforderungen an robuste Fehlerbehandlung in komplexen Anwendungsarchitekturen. Wir pruefen alle zehn Kategorien systematisch.
- A01 - Broken Access Control: Fehlende oder fehlerhafte Zugriffskontrolle; Nutzer koennen auf fremde Daten zugreifen (IDOR), Admin-Bereiche erreichen oder Berechtigungen eskalieren. Hinweis: SSRF-Angriffe werden in der OWASP-2025-Systematik dieser Kategorie zugerechnet. Broken Access Control ist laut OWASP die haeufigste Schwachstellenkategorie in Webanwendungen.
- A02 - Security Misconfiguration: Fehlkonfigurationen in Servern, Frameworks, Cloud-Diensten und Security-Headern. Von Platz 5 (2021) auf Platz 2 (2025) aufgestiegen - ein Zeichen wachsender Infrastrukturkomplexitaet.
- A03 - Software Supply Chain Failures (NEU 2025): Verwundbare oder kompromittierte Abhaengigkeiten, unsichere CI/CD-Pipelines, Risiken durch KI-generierten Code ohne manuelle Pruefung.
- A04 - Cryptographic Failures: Schwache oder fehlerhaft eingesetzte Kryptografie; unzureichender Schutz von Daten in Uebertragung und Speicherung, schwache Algorithmen, fehlerhafte Zertifikatspruefung.
- A05 - Injection (inkl. SQL, XSS, Command Injection): Schnittstellen nehmen nicht vertrauenswuerdige Daten entgegen und leiten diese unkontrolliert weiter. Injection-Schwachstellen gehoeren zu den am laengsten bekannten und nach wie vor haeufig angetroffenen Befundkategorien.
- A06 - Insecure Design: Fehlende Security-Anforderungen in der Architektur; keine Threat-Model-Analyse vor der Entwicklung; strukturelle Schwachstellen, die sich durch nachtraegliche Patches nicht beheben lassen.
- A07 - Identification and Authentication Failures: Schwache Passwoerter, fehlende Multi-Faktor-Authentifizierung, unsicheres Session-Management.
- A08 - Software and Data Integrity Failures: Unsichere Deserialisierung, fehlende Integritaetspruefungen in Update-Mechanismen und CI/CD-Pipelines.
- A09 - Security Logging and Monitoring Failures: Sicherheitsereignisse werden nicht erfasst oder ausgewertet - Angriffe bleiben unentdeckt.
- A10 - Mishandling of Exceptional Conditions (NEU 2025): Fehlerhafte Behandlung von Ausnahmesituationen; Anwendungen reagieren auf unerwartete Eingaben oder Systemzustaende auf eine Weise, die Sicherheitskontrollen umgeht oder interne Informationen preisgibt.
Broken Access Control: Nummer 1 und unterschaetzt
Broken Access Control ist nicht nur die haeufigste Schwachstellenkategorie - sie ist auch eine der am schwersten zu findenden, weil sie oft in der Business-Logik versteckt ist und kein automatisierter Scanner sie vollstaendig erkennt. Konkret: Ein eingeloggter Nutzer aendert eine ID in der URL und sieht damit die Bestellhistorie eines anderen Kunden. Kein Fehler im Code - aber ein schwerwiegender Fehler in der Zugangskontrolle. Genau solche logischen Schwachstellen finden nur erfahrene Tester.
Was wir in der Praxis am haeufigsten finden
In der Pruefpraxis zeigen sich wiederkehrende Muster. Das ist keine Kritik an Entwicklern - es sind strukturelle Probleme, die entstehen, wenn Security nicht von Anfang an mitgedacht wird. Die folgende Liste basiert auf gaengigen Pentest-Befundmustern, wie sie im BSI-Leitfaden und in der Fachliteratur beschrieben sind.
Die haeufigsten Befundkategorien
Ein Hinweis zur Pruefvorbereitung
Wir empfehlen, vor einem Penetrationstest bekannte, triviale Schwachstellen (wie veraltete Plugin-Versionen) zu bereinigen. Andernfalls decken automatisierte Tools nur diese Oberflaeche ab - die eigentlich interessanten logischen Schwachstellen und Konfigurationsfehler bleiben unter dem Radar. Ein Pentest ist am wertvollsten, wenn er die tatsaechliche Angriffsoberflaeche Ihrer Anwendung misst - nicht den Patch-Rueckstand.
Der Pentest-Bericht: Was Sie von uns erhalten
Ein Pentest-Bericht ist nur so gut wie seine Verwertbarkeit. Ein Dokument voller Fachbegriffe ohne Handlungsanleitung bringt Ihnen nichts. Wir liefern einen Bericht nach BSI-Berichtsstruktur - in zwei Ebenen: eine nicht-technische Zusammenfassung fuer Geschaeftsfuehrung und Datenschutzbeauftragte sowie ein detaillierter technischer Anhang fuer Ihr Entwicklungsteam.
Bestandteile unseres Pentest-Berichts
- Management Summary: Gesamtrisikoeinschaetzung, Kernbefunde und Handlungsprioritaeten in nicht-technischer Sprache - fuer Geschaeftsfuehrung, Datenschutzbeauftragte und Versicherungen
- Methodik und Scope: Dokumentation des vereinbarten Pruefumfangs, eingesetzter Techniken und Testzeitraums - fuer Nachvollziehbarkeit und rechtliche Belastbarkeit
- Schwachstellen-Katalog mit CVSS-Score: Jede Schwachstelle mit Severity (Critical/High/Medium/Low), CVSS-Bewertung nach aktuellem Standard, betroffener URL/Endpunkt und Fundkontext
- Reproduktionsschritte: Schritt-fuer-Schritt-Anleitung, wie die Schwachstelle ausgenutzt werden kann - damit Ihr Entwicklungsteam den Fund nachvollziehen und gezielt beheben kann
- Massnahmenempfehlungen: Konkrete, priorisierte Empfehlungen - keine vagen Hinweise, sondern spezifische technische Massnahmen mit Aufwandseinschaetzung
- Roadmap: Priorisierter Massnahmenplan mit Zeitempfehlungen - was sofort, was in 30 Tagen, was mittelfristig
- Re-Test-Dokumentation (bei Kompakt und Profi inklusive): Nachweisbare Bestaetigung, dass kritische Schwachstellen geschlossen wurden
DSGVO-Nachweis und Versicherungsbelang
Unser Pentest-Bericht ist so gestaltet, dass er als Nachweis gegenueber Datenschutzaufsichtsbehoerden (DSGVO Art. 32) und Cyber-Versicherern verwertbar ist. Aufsichtsbehoerden fragen bei Datenschutzverletzungen gezielt nach dem letzten Pentest-Datum und den Befunden - ein lueckenhafter oder undatierter Bericht schwaecht Ihre Position erheblich.
Rechtliche Grundlagen und relevante Standards
Penetrationstests beruehren unmittelbar Strafrecht und Datenschutzrecht. Ohne saubere vertragliche Grundlage ist jeder Pentest - auch ein gut gemeinter - rechtlich riskant. Wir klaeren alle rechtlichen Rahmenbedingungen vor Pruefbeginn verbindlich.
Rechtlicher Rahmen
- Paragraf 202a StGB (Ausspaehdaten) und Paragraf 303a StGB (Datenverfaelschung): Jeder Pentest ohne schriftliche Genehmigung des System-Eigentuemers ist strafbar - auch wenn keine Daten entwendet werden. Zwingend: schriftlicher Vertrag mit praezisem Scope, Zeitfenster und Eskalationsweg.
- DSGVO Art. 32: Verpflichtet Unternehmen zur Implementierung geeigneter technischer und organisatorischer Massnahmen einschliesslich ihrer regelmaessigen Ueberpruefung. Penetrationstests sind das anerkannte Standardinstrument fuer diesen Nachweis.
- NIS2-Richtlinie (umgesetzt durch das NIS2UmsuCG): Wichtige und besonders wichtige Einrichtungen sind zu regelmaessigen Sicherheitspruefungen verpflichtet - Penetrationstests sind explizit anerkanntes Mittel. Ob Ihr Unternehmen betroffen ist, haengt von Sektor, Groesse und Systemrelevanz ab.
- DORA (Finanzsektor): Verlangt jaehrliche Penetrationstests und zusaetzliche Tests nach wesentlichen Aenderungen an IT-Systemen.
- ISO 27001 / BSI IT-Grundschutz: Verlangen Wirksamkeitsnachweise fuer implementierte Sicherheitsmassnahmen - Pentests sind der direkteste Nachweis.
Anerkannte technische Standards
- BSI-Leitfaden Durchfuehrungskonzept fuer Penetrationstests: Offizielle deutsche Methodik mit Phasenmodell und Klassifikation (bsi.bund.de)
- OWASP Testing Guide (WSTG): Detaillierte Test-Cases fuer Webanwendungen - offen und kostenlos verfuegbar (owasp.org)
- OWASP ASVS (Application Security Verification Standard): Pruefkatalog fuer Webanwendungs-Sicherheitsanforderungen
- PTES (Penetration Testing Execution Standard): Branchenweit anerkannter Rahmen fuer Testausfuehrung und Berichterstattung
- CVSS (Common Vulnerability Scoring System): Standardisiertes Bewertungssystem fuer Schwachstellen - bildet die Basis unserer Priorisierung
Security-Audit als Teil Ihrer umfassenden Website-Sicherheit
Der Security-Audit und Penetrationstest ist eine von mehreren Leistungen unter dem Dach unserer uebergeordneten Leistung Website-Sicherheit. Fuer maximalen Schutz empfehlen wir, Sicherheitspruefungen nicht als Einmalmassnahme zu betrachten, sondern als Teil eines kontinuierlichen Sicherheitszyklus.
Ergaenzende Leistungen im Bereich Website-Sicherheit
- SSL/TLS-Konfiguration und HTTPS-Haertung: Sicherstellen, dass Ihre Verbindung verschluesselt und korrekt konfiguriert ist - als Grundlage jeder weiteren Absicherung
- Malware-Scan und Bereinigung: Reaktive Massnahme, wenn eine Kompromittierung bereits stattgefunden hat oder vermutet wird
- Sicherheitsheader und CSP-Konfiguration: Technische Haertung Ihrer Webanwendung gegen Cross-Site-Scripting und Clickjacking
- Backup und Wiederherstellung: Sicherstellung, dass im Angriffsfall eine schnelle und vollstaendige Wiederherstellung moeglich ist
- Laufendes Monitoring und Vulnerability-Management: Regelmaessige, automatisierte Pruefungen zwischen den jaehrlichen Vollaudits
Den Gesamtueberblick finden Sie auf der Pillar-Seite
Alle Sicherheitsleistungen im Ueberblick, Entscheidungshilfen und Antworten auf grundlegende Fragen zur Website-Sicherheit finden Sie auf unserer uebergeordneten Leistungsseite /leistungen/website-sicherheit/. Der Security-Audit und Penetrationstest ist die Massnahme, mit der Sie zuverlaessig messen, ob Ihre bestehenden Schutzmassnahmen tatsaechlich wirken.