Penetrationstest (Pentest) – Sicherheitstest nach ISO 27001

Ein Penetrationstest (Pentest) ist ein geplanter Sicherheitstest, bei dem Fachleute IT-Systeme, Netzwerke oder Anwendungen mit den Methoden eines Angreifers auf Schwachstellen prüfen – im Auftrag und mit Zustimmung des Betreibers. Ziel ist, Sicherheitslücken zu finden und zu schließen, bevor sie ausgenutzt werden.

In einem Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 ist der Penetrationstest ein Mittel, die Wirksamkeit technischer Maßnahmen zu überprüfen (Kapitel 9.1 Überwachung und Messung; Anhang A: Handhabung technischer Schwachstellen). Er ergänzt das interne Audit, ersetzt es aber nicht. Unterschieden werden Black-Box-Tests ohne Vorwissen, White-Box-Tests mit vollständiger Systemkenntnis und Grey-Box-Tests dazwischen; Orientierung gibt in Deutschland der Praxis-Leitfaden des BSI für IS-Penetrationstests. Die Ergebnisse fließen als Nichtkonformitäten oder Verbesserungsmaßnahmen in das ISMS ein.