Die Umsetzung von IT-Sicherheitsvorgaben wie der NIS-2-Richtlinie oder der ISO 27001 stellt viele Administratoren und IT-Verantwortliche vor konkrete technische Hürden. Eine Firewall zu installieren oder den Firmenrouter zu konfigurieren, reicht dafür nicht mehr aus. Aufsichtsbehörden und Auftraggeber verlangen zunehmend Nachweise, dass Systeme aktiv auf Schwachstellen geprüft werden.
Genau hier setzt die manuelle Sicherheitsüberprüfung an. Administratoren müssen verstehen, welchen Teil der Compliance-Anforderungen ein Penetrationstest abdeckt, ohne den laufenden Betrieb zu stören. Ein pragmatischer Ansatz übersetzt rechtliche Vorgaben in funktionierende Schutzmaßnahmen und hilft dabei, Audits zu bestehen.
Ein Penetrationstest stellt allein noch keine Compliance her. Eine Norm wie ISO 27001 verlangt ein vollständiges Managementsystem für Informationssicherheit mit Menschen, Prozessen und Technik. Der Test prüft darin die technischen Schutzmaßnahmen. Schulungen, Notfallprozesse und die Wiederherstellung von Daten prüft er nicht.
Was verlangen Gesetze und Normen wirklich?
Die allgemeinen Vorgaben nennen den Penetrationstest nicht ausdrücklich. Sie verlangen aber, dass die Wirksamkeit der Schutzmaßnahmen geprüft wird, und ein Penetrationstest ist dafür ein wichtiges Instrument für die technischen Maßnahmen. Überwachung, Messung und Bewertung gehen auch auf anderen Wegen.
Die DSGVO fordert in Artikel 32 ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Die NIS-2-Richtlinie nennt in Artikel 21 Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Wie die Prüfung im Einzelfall auszusehen hat, lassen beide Texte offen. Maßgeblich sind zuerst die anwendbaren Anforderungen und das Risiko des Unternehmens. Ein Auditor beurteilt, ob sie erfüllt sind, und ein Großkunde kann vertraglich zusätzliche Nachweise verlangen. Die Verantwortung bleibt beim Unternehmen.
Ausnahmen gibt es in einzelnen Branchen. Die EU-Verordnung DORA verlangt für ausgewählte Finanzunternehmen bedrohungsorientierte Penetrationstests, sogenannte TLPT, in der Regel mindestens alle drei Jahre.
Warum Schwachstellenscans einen Pentest nicht vollständig ersetzen
Netzwerkadministratoren verlassen sich häufig auf automatisierte Tools, um schnelle Berichte über den Zustand ihrer Systeme zu bekommen. Für einen ersten Überblick über die Netzwerkkonfiguration sind diese Programme nützlich. Als Teil eines Prüfkonzepts können Scan-Ergebnisse durchaus ein Nachweis sein. Soll aber gezeigt werden, dass Lücken auch tatsächlich ausnutzbar sind, stoßen rein automatisierte Abläufe an Grenzen.
Ein Scan liefert oft eine unübersichtliche Menge an Fehlalarmen, sogenannten False Positives. Er übersieht zudem häufig logische Fehler in Webanwendungen, die ein menschlicher Prüfer durch Ausprobieren und Fachwissen findet. Ein Beispiel ist eine Bestellseite, die zwar technisch aktuell ist, aber fremde Kundendaten ausgibt, sobald jemand eine Nummer in der Adresszeile ändert.
Für belastbare Aussagen über die tatsächliche Widerstandsfähigkeit ergänzen IT-Leiter Scans deshalb durch manuelle Prüfungen. Manche setzen dabei auf zertifizierte Penetrationstests von Sodu Secure. Laut Anbieter führen OSCP-zertifizierte Prüfer sie durch. Das Zertifikat bescheinigt die Fähigkeiten der einzelnen Person und ist keine Zertifizierung des Tests selbst. Entscheidend ist der Grundgedanke: Die manuelle Untersuchung zeigt, ob gefundene Lücken unter realen Bedingungen tatsächlich ausnutzbar sind.
Sicherheit ist ein kontinuierlicher Prozess und geht über das Abhaken von Checklisten hinaus. Nur wer die Perspektive eines Angreifers einnimmt, erhält verwertbare Daten für das nächste Zertifizierungsaudit.
Der Ablauf einer manuellen Sicherheitsüberprüfung
Ein Penetrationstest folgt einem festen Schema und besteht aus mehr als dem Start einiger Hacking-Werkzeuge. Zu Beginn steht die genaue Festlegung des Testbereichs, damit kritische Systeme wie die Router-Infrastruktur oder sensible Datenbanken nicht versehentlich beeinträchtigt werden. Die Administratoren legen vorab fest, welche IP-Bereiche, Subnetze und Webanwendungen Teil der vertraglich vereinbarten Prüfung sind und welche ausdrücklich nicht. Dazu gehören eine schriftliche Beauftragung, die erlaubten Methoden, ein Ansprechpartner während der Prüfung und der Umgang mit Daten, auf die die Prüfer stoßen. Der BSI-Leitfaden empfiehlt außerdem vertragliche Regelungen zu Haftung und Verschwiegenheit.
In der Durchführung nutzen die Prüfer manuelle Techniken, um gefundene Schwachstellen aktiv auszunutzen. Dieser Schritt erzeugt einen reproduzierbaren Proof of Concept, also einen Nachweis, dass die Lücke wirklich funktioniert. Dokumentiert wird jeder Schritt, sodass die hauseigene IT den Angriffsweg später nachvollziehen kann. Läuft die Prüfung gegen ein Produktivsystem, rät auch das BSI, den Prüfzeitraum auf eine Zeit mit wenig Betrieb zu legen.
Das Bundesamt für Sicherheit in der Informationstechnik bietet mit dem Praxis-Leitfaden für IS-Penetrationstests Orientierung (Stand November 2016). Er beschreibt, was das BSI für seine Prüfungen verlangt, und ist keine gesetzliche Regel für jeden Compliance-Fall. Eine zentrale Vorgabe: Die Prüfer müssen fachlich qualifiziert und unabhängig sein, dürfen nicht an Konzeption, Aufbau oder Betrieb des untersuchten Netzes mitgewirkt haben, und grundsätzlich sollen externe Prüfer beauftragt werden. Entscheidend ist also, wer konkret am System beteiligt war, nicht nur, ob jemand intern oder extern arbeitet.
Ein Penetrationstest bleibt eine Momentaufnahme. Laut Leitfaden gelten die Ergebnisse nur zum Zeitpunkt der Prüfung, und es ist nicht gewährleistet, dass alle vorhandenen Fehler gefunden werden. Ein unauffälliger Bericht beweist deshalb keine Schwachstellenfreiheit. Umfang und ausgeschlossene Systeme gehören in den Bericht, damit ein Auditor die Aussage richtig einordnen kann.
Ein guter Testbericht liefert am Ende keine kryptischen Fehlercodes, sondern priorisierte Handlungsempfehlungen. Administratoren erfahren darin konkret, was sie ändern müssen, etwa an der Konfiguration eines Webservers, um die Lücke dauerhaft zu schließen.
Wiederkehrende Prüfungen zwischen den Tests
Die IT-Landschaft eines Unternehmens verändert sich fast täglich. Ein Router-Update, eine geänderte Firewall-Regel oder eine zusätzliche Cloud-Software können unbemerkt neue Einfallstore öffnen. Ein einzelner manueller Test pro Jahr erfasst solche kurzfristigen Änderungen nicht.
Für die Infrastruktur braucht es deshalb zusätzliche regelmäßige Prüfungen, etwa wiederkehrende Schwachstellenscans der Systeme und eine Prüfung nach größeren Änderungen. Für Software, die ein Unternehmen selbst entwickelt, gibt es eine andere Ebene: Automatisierte Code-Reviews begleiten die Entwicklung. Ein Beispiel ist AuditAI von Sodu Secure, ein KI-gestütztes Code-Audit, das nach Angaben des Anbieters einmal pro Woche ein Repository prüft und das Ergebnis als Bericht liefert. Es betrifft den Code und prüft nicht die tatsächlich betriebene Netzwerk- oder Cloud-Konfiguration. Auf seiner Preisseite schreibt der Anbieter selbst, dass das Audit keinen manuellen Penetrationstest ersetzt.
Das Zusammenspiel aus menschlicher Expertise bei der großen Prüfung und maschineller Vorprüfung im Alltag nutzt die Zeit der IT-Abteilung besser aus. Gegenüber Auditoren ist es außerdem ein gutes Argument, wenn eine Zertifizierung dauerhaft aufrechterhalten werden soll.
Budgetplanung und Kostentransparenz
Viele kleine und mittlere Unternehmen scheuen externe Sicherheitsprüfer aus Angst vor unkalkulierbaren Kosten. Transparente Preise sind deshalb ein wichtiges Auswahlkriterium. Preisrechner im Netz erleichtern die erste Budgetplanung, ohne dass sofort ein Verkaufsgespräch nötig ist.
Um im Markt den Überblick zu behalten, hilft eine Marktübersicht der Pentest-Anbieter in Deutschland (englisch, von der binsec GmbH, selbst ein Anbieter). Die Kosten variieren stets mit Tiefe, Umfang und Automatisierungsgrad der Prüfung.
Die folgende Tabelle zeigt Preisrahmen, wie sie Sodu Secure auf der eigenen Website nennt (Stand Oktober 2026). Es sind Anbieterangaben, keine Marktdurchschnitte. Andere Anbieter rechnen oft nach Personentagen, sodass Angebote nur bei gleichem Umfang vergleichbar sind.
| Leistungsart | Ziel und Methode | Preisrahmen laut Sodu Secure |
|---|---|---|
| KI-gestütztes Code-Audit (AuditAI) | Wöchentliche Prüfung eines Repositorys, Bericht | Ab 99 € pro Repository und Monat |
| Automatisierter Schwachstellenscan | Schnelle technische Erkennung bekannter Lücken | Ab 1.499 € |
| Manueller Penetrationstest | Tiefe Analyse durch Prüfer mit OSCP-Zertifikat | Meist 4.000 € bis 20.000 € |
Der Anbieter verspricht außerdem ein verbindliches Angebot innerhalb von 24 Stunden. Das ist vor allem dann hilfreich, wenn eine Frist für den Nachweis näher rückt. Es ist aber ein Angebot, kein Preis: Was am Ende gilt, steht im Vertrag.
Nachbereitung und Retests
Mit dem Abschlussbericht endet das Sicherheitsprojekt nicht, es beginnt der eigentliche Teil der Arbeit. Die gefundenen Schwachstellen werden nach der Priorisierung im Bericht abgearbeitet. Wie schnell Administratoren die nötigen Patches und Konfigurationsänderungen einspielen können, hängt stark davon ab, wie gut die Handlungsempfehlungen sind.
Für eine Zertifizierung fordern externe Prüfer meist den Nachweis, dass die gefundenen Lücken auch geschlossen wurden. Bei der Auswahl des Dienstleisters lohnt deshalb ein Blick auf diese Punkte:
- Schritt-für-Schritt-Anleitungen zur Behebung der gefundenen Schwachstellen
- Der Proof of Concept, mit dem sich die Fixes selbst nachtesten lassen
- Unterstützung durch die Tester bei technischen Rückfragen
- Ein Retest der behobenen Lücken, möglichst im Festpreis enthalten (bei Sodu Secure laut Anbieter der Fall)
- Ein aktualisierter Abschlussbericht für die Vorlage beim Auditor
Mit einem sauberen Retest belegt ein Unternehmen gegenüber Behörden und Kunden, dass es den Regelkreis aus Prüfen, Beheben und Kontrollieren verstanden hat. Das macht die Infrastruktur messbar sicherer und ist die beste Grundlage für ein erfolgreiches Audit.