Penetrationstests im Mittelstand: Ablauf, Methodik und typische Befunde

Penetrationstests gelten in vielen Mittelstandsunternehmen als teuer, disruptiv und „etwas für Konzerne“. In Wahrheit ist das Gegenteil richtig: Gerade Organisationen mit begrenzten Sicherheitsbudgets profitieren überproportional von einem fokussierten Pentest, weil er die kritischsten Angriffspfade aufdeckt und Investitionen dorthin lenkt, wo sie den größten Schutzeffekt erzielen. Dieser Artikel beschreibt, was ein Penetrationstest im Mittelstand konkret beinhaltet, wie er abläuft und welche Befunde wir regelmäßig antreffen.

Der häufigste Irrtum: „Wir haben einen Vulnerability Scan — das reicht.“ Ein Scan identifiziert bekannte Schwachstellen in Standard-Software (veraltete Versionen, fehlende Patches, Standardpasswörter). Ein Penetrationstest geht weiter: Er kombiniert Schwachstellen zu Angriffsketten, nutzt Konfigurationsfehler aus, testet Geschäftslogik und simuliert, was ein motivierter Angreifer mit dem Wissen des Scans anrichten könnte. Der Unterschied ist wie zwischen einer Brandmeldeanlage und einer Feuerwehrübung.

Ablauf: Vom Scoping bis zum Re-Test

Im Scoping definieren wir gemeinsam, was getestet wird und was nicht. Für den Mittelstand empfehlen wir einen fokussierten Scope: lieber die drei geschäftskritischsten Anwendungen gründlich als zehn oberflächlich. Die Rules of Engagement klären, ob Denial-of-Service-Tests erlaubt sind, ob Social Engineering eingeschlossen ist und wie kritische Findings sofort kommuniziert werden.

Typische Befunde im Mittelstand

Erstens: veraltete Software mit bekannten CVEs, die nie gepatcht wurde, weil „niemand zuständig ist“ oder weil ein Update die Anwendung brechen könnte. Zweitens: zu offene Netzwerksegmentierung — ein kompromittierter Webserver kann direkt auf die Datenbank und von dort auf das Active Directory zugreifen. Drittens: schwache oder fehlende Authentifizierung auf internen Diensten („ist ja nur im Intranet“). Viertens: Standardpasswörter auf Netzwerkgeräten, Druckern, IoT-Komponenten und Management-Interfaces. Fünftens: fehlende Logging- und Monitoring-Fähigkeiten — der Angreifer wurde nicht erkannt, weil niemand die Logs liest.

Diese Befunde sind nicht exotisch. Sie sind alltäglich. Und sie reichen für einen Angreifer häufig aus, um vom Internet ins Kernnetz vorzudringen. Unsere Penetrationstests und Red-Team-Engagements dokumentieren jeden Schritt nachvollziehbar. In Kombination mit einer Schwachstellenanalyse ergibt sich ein vollständiges Lagebild. Dr. Tobias Vogel berät Sie, welche Variante zu Ihrem Reifegrad passt.