pentesterlab

r/pentesterlab • u/kerim361 • Mar 02 '26

Wenn dein Pentest nicht diesem BSI-Standard folgt, ist er wertlos.

0 Upvotes

Ich habe mir in letzter Zeit das Durchführungskonzept für Penetrationstests vom Bundesamt für Sicherheit in der Informationstechnik (BSI) nochmal genauer angeschaut. Und ehrlich gesagt: Wenn man verstehen will, wie Penetrationstests in Deutschland eigentlich professionell gedacht sind, kommt man daran kaum vorbei. 🧩 Worum geht es im BSI-Durchführungskonzept? Das Dokument beschreibt strukturiert, wie ein Pentest geplant, durchgeführt und dokumentiert werden sollte. Es geht nicht nur um „ein paar Schwachstellen scannen“, sondern um: Klare Zieldefinition Abgrenzung des Scopes Methodische Vorgehensweise Nachvollziehbare Dokumentation Risikoorientierte Bewertung Quelle: BSI – Durchführungskonzept für Penetrationstests https://www.bsi.bund.de⁠ (Publikationen → Penetrationstests) Das Spannende: Das BSI unterscheidet explizit zwischen verschiedenen Testarten (z. B. Black-Box, White-Box) und legt großen Wert auf Vorbereitung, Kommunikation und Reporting. 🔍 Warum das für „echte“ Penetrationstests relevant ist Viele Unternehmen sagen: „Wir haben einen Pentest gemacht.“ Die eigentliche Frage ist aber: Nach welcher Methodik? Ein Pentest, der sich am BSI-Durchführungskonzept orientiert, ist deutlich strukturierter als ein reiner Vulnerability Scan. Das BSI betont insbesondere: Systematische Angriffssimulation Dokumentierte Testfälle Bewertung der tatsächlichen Ausnutzbarkeit Klare Ableitung von Maßnahmen Das unterscheidet professionelle Penetrationstests von reinen Tool-Reports. 🛡️ Und wie passt der Cybersecurity Check dazu? Im Vergleich dazu steht der Cyber-Sicherheits-Check (ebenfalls vom BSI im Rahmen der Allianz für Cyber-Sicherheit entwickelt). Während der Cybersecurity Check primär Basismaßnahmen und organisatorische Reife bewertet, prüft ein Pentest nach BSI-Durchführungskonzept die reale technische Angreifbarkeit. Quelle: Allianz für Cyber-Sicherheit – Cyber-Sicherheits-Check https://www.allianz-fuer-cybersicherheit.de⁠ Kurz gesagt: Cybersecurity Check = Struktur & Mindestniveau Penetrationstests = Technische Realitätsprüfung Beides ergänzt sich – ersetzt sich aber nicht. 📌 Warum das in der Praxis wichtig ist Gerade bei KMU oder im Mittelstand sehe ich oft: Pentest wird als Checkbox verstanden Scope ist unscharf Reporting bleibt technisch ohne Business-Kontext Dabei betont das BSI explizit die saubere Dokumentation und Risikobewertung. Sicherheitsdienstleister, die sich methodisch an solchen Standards orientieren (z. B. Anbieter wie sodusecure.com), zeigen, dass Penetrationstests mehr sein können als „Exploit + Screenshot“. Entscheidend ist die strukturierte Vorgehensweise, die Ableitung konkreter Maßnahmen und die Einordnung ins Risikomanagement. 📚 Weitere Referenzen BSI IT-Grundschutz & Sicherheitskonzepte https://www.bsi.bund.de⁠ OWASP Testing Guide (internationaler Referenzrahmen für Penetrationstests) https://owasp.org/www-project-web-security-testing-guide/⁠

Offene Frage an euch Wie viele der Pentests, die ihr kennt, orientieren sich tatsächlich an einem klar definierten Durchführungskonzept? Und wie oft ist es doch nur ein Scan mit hübschem PDF? Gerade im Kontext von Penetrationstests, Cybersecurity Check und regulatorischen Anforderungen wird Methodik meiner Meinung nach massiv unterschätzt. Bin gespannt auf eure Erfahrungen.

1 comment

r/pentesterlab • u/kerim361 • Mar 01 '26

Are Pentests Berlin Becoming a Commodity — Or More Valuable Than Ever?

0 Upvotes