Penetrationstest für KMU: Ablauf, Kosten und Nutzen im Überblick

Ein Penetrationstest klingt erst mal nach einem Thema für Konzerne mit eigener Security-Abteilung. Das ist er schon lange nicht mehr. Auch kleine und mittlere Unternehmen geraten zunehmend ins Visier von Angreifern, und zwar oft gerade deshalb, weil sie als leichteres Ziel gelten als die gut abgesicherten Großen. Ein professioneller Penetrationstest für KMU zeigt konkret, wo in deiner IT reale Schwachstellen liegen und wie sich diese tatsächlich ausnutzen ließen. Am besten, bevor das jemand mit weniger guten Absichten tut. Dieser Beitrag erklärt, wie ein Penetrationstest abläuft, mit welchen Kosten du realistisch rechnen solltest und welchen Nutzen er für dein Unternehmen bringt.

Was ein Penetrationstest ist (und was nicht)

Ein Penetrationstest, kurz Pentest, ist der autorisierte, simulierte Angriff auf Systeme, Anwendungen oder Netzwerke durch eine Fachperson. Anders als bei einem automatisierten Schwachstellenscan versucht ein Pentester aktiv, gefundene Schwachstellen auch tatsächlich auszunutzen, genau so, wie es ein echter Angreifer tun würde. Und das ist der entscheidende Unterschied. Ein Scanner listet mögliche Probleme auf. Ein Pentest zeigt, welche davon in der Praxis wirklich ein Risiko darstellen und welche eher theoretischer Natur sind.

Das ist auch der Grund, warum seriöse Anbieter keine Pauschalpreise im Hundert-Euro-Bereich anbieten. Reine Scan-Ergebnisse ohne manuelle Nachprüfung sind kein Penetrationstest, auch wenn sie oft so beworben werden.

Der Ablauf eines Penetrationstests in der Praxis

In der Branche haben sich strukturierte Vorgehensmodelle etabliert, etwa der Penetration Testing Execution Standard (PTES) für den organisatorischen Rahmen und der OWASP Testing Guide für die technische Tiefe bei Webanwendungen. In der Praxis läuft ein Test meist in folgenden Phasen ab:

• Scoping und Zieldefinition: Gemeinsam wird festgelegt, welche Systeme getestet werden, welche Testarten zulässig sind und welche Ziele im Vordergrund stehen (z. B. Zugriff auf Kundendaten, Übernahme der Domäne).
• Informationsbeschaffung: Der Tester sammelt öffentlich verfügbare und technische Informationen über die Zielumgebung, ähnlich wie es ein echter Angreifer in der Vorbereitungsphase tun würde.
• Schwachstellenanalyse: Systeme, Anwendungen und Konfigurationen werden auf bekannte und unbekannte Schwachstellen untersucht.
• Aktive Ausnutzung (Exploitation): Gefundene Schwachstellen werden kontrolliert ausgenutzt, um deren tatsächliche Auswirkung zu belegen, ohne dabei den Betrieb zu gefährden.
• Bericht und Nachbesprechung: Alle Ergebnisse werden dokumentiert, nach Risiko priorisiert und in einem gemeinsamen Gespräch erläutert, inklusive konkreter Handlungsempfehlungen.

Black-Box, Grey-Box oder White-Box?

Je nach Ausgangswissen des Testers unterscheidet man drei Testarten. Beim Black-Box-Test startet der Tester ohne Vorwissen, ähnlich einem externen Angreifer. Beim White-Box-Test liegen Quellcode, Dokumentation und Zugangsdaten vollständig vor, was eine besonders tiefe Analyse ermöglicht. Der Grey-Box-Test liegt dazwischen und bildet oft am realistischsten ab, was ein Angreifer mit gestohlenen Zugangsdaten oder Insider-Wissen erreichen könnte. Für die meisten KMU ist ein Grey-Box-Ansatz ein guter Kompromiss aus Aussagekraft und Aufwand.

Was kostet ein Penetrationstest für KMU?

Die Kosten hängen stark vom Umfang ab. Für einen fokussierten Test einer kleineren Webanwendung oder eines überschaubaren externen Netzwerks bewegen sich die Preise häufig im Bereich von wenigen tausend Euro. Umfassendere Tests von internem und externem Netzwerk, mehreren Anwendungen oder mit Social-Engineering-Komponenten können spürbar mehr kosten. Ausschlaggebend sind vor allem:

• die Anzahl der zu testenden Systeme, IP-Adressen oder Anwendungen,
• die gewählte Testtiefe (Black-, Grey- oder White-Box),
• ob ein Retest nach der Behebung von Schwachstellen inkludiert ist,
• und der Zeitaufwand für Vorbereitung, Durchführung und Berichterstellung.

Diese Investition relativiert sich schnell, wenn man sie den Folgekosten eines erfolgreichen Angriffs gegenüberstellt. Laut Erhebungen österreichischer Sicherheitsinitiativen liegt der durchschnittliche Schaden eines Cyberangriffs auf ein heimisches KMU im mittleren fünfstelligen Bereich, und zwar inklusive Ausfallzeiten, Wiederherstellung und Reputationsschäden. Ein guter Pentest ist damit oft nur ein Bruchteil dessen, was ein einziger erfolgreicher Angriff kosten würde.

Welchen Nutzen bringt ein Penetrationstest wirklich?

Der eigentliche Wert eines Pentests liegt nicht in der reinen Liste gefundener Schwachstellen, sondern in der Priorisierung. Welche Lücke muss sofort geschlossen werden, welche kann warten, und welche ist im konkreten Kontext gar nicht relevant? Ein guter Bericht liefert genau diese Einordnung, statt dich mit einem unsortierten Buzzword-Scan allein zu lassen. Darüber hinaus:

• schafft ein Pentest Vertrauen gegenüber Kund:innen, Partnern und Versicherungen,
• unterstützt er die Erfüllung regulatorischer Anforderungen, etwa im Kontext von NIS2 oder ISO 27001,
• und liefert er eine belastbare Grundlage für Investitionsentscheidungen in die IT-Sicherheit.

Woran du einen aussagekräftigen Bericht erkennst

Der Bericht ist das eigentliche Ergebnis eines Penetrationstests. Und gleichzeitig das Element, an dem sich seriöse von oberflächlichen Anbietern am deutlichsten unterscheiden. Ein guter Bericht sollte:

• jede Schwachstelle mit einer nachvollziehbaren Risikoeinstufung versehen, die den konkreten Geschäftskontext berücksichtigt statt nur einen generischen CVSS-Wert zu nennen,
• die Ausnutzbarkeit belegen, etwa durch Screenshots oder eine Beschreibung des tatsächlichen Angriffspfads,
• konkrete, umsetzbare Empfehlungen enthalten statt allgemeiner Ratschläge wie "Passwörter stärken",
• und in einem gemeinsamen Gespräch erläutert werden, in dem auch Nicht-Techniker verstehen, was auf dem Spiel steht und was zu tun ist.

Ein Bericht, der aus einer unkommentierten Liste automatisiert generierter Scanner-Treffer besteht, hilft in der Praxis wenig. Er lässt dich mit genau der Priorisierung allein, die eigentlich die Kernleistung des Tests sein sollte.

Typische Schwachstellen, die in der Praxis auffallen

Auch wenn jede Umgebung anders aussieht, zeigen sich bei KMU immer wieder ähnliche Muster: veraltete oder ungepatchte Systeme mit direktem Internetzugang, schwache oder wiederverwendete Passwörter auf administrativen Konten, fehlende Multi-Faktor-Authentifizierung für Fernzugriffe, zu großzügig vergebene Berechtigungen sowie unzureichend abgesicherte Schnittstellen bei selbst entwickelten oder individuell angepassten Anwendungen. Viele dieser Punkte lassen sich mit überschaubarem Aufwand beheben, sobald sie einmal konkret benannt und priorisiert sind. Und genau das ist der Mehrwert, den ein Pentest gegenüber einer rein theoretischen Risikobetrachtung bietet.

Wie oft sollten KMU testen lassen?

Eine pauschale Antwort gibt es nicht, aber als Richtwert gilt: mindestens einmal jährlich für geschäftskritische Systeme, zusätzlich nach größeren Änderungen an der Infrastruktur, vor dem Go-Live neuer Anwendungen und nach relevanten Sicherheitsvorfällen. IT-Umgebungen verändern sich laufend. Ein Test ist immer nur eine Momentaufnahme, die regelmäßig erneuert werden sollte.

Wenn du wissen möchtest, wo dein Unternehmen tatsächlich steht, statt dich auf Vermutungen zu verlassen: Roland Lindorfer bringt langjährige Erfahrung als Penetration Tester und Red Teamer mit und erstellt dir einen klaren, priorisierten Bericht statt eines Buzzword-Scans. Ein unverbindliches Gespräch genügt, um den passenden Testumfang für dein Unternehmen zu besprechen.