Einführung ins Penetration Testing: Ethische Hacker

Was Penetration Testing ist – und was nicht

Ein Penetrationstest (Pentest) ist ein autorisierter, simulierter Angriff auf ein System, Netzwerk oder eine Anwendung, um Sicherheitsschwachstellen zu identifizieren, bevor echte Angreifer sie finden. Das Schlüsselwort ist autorisiert. Die technischen Fähigkeiten eines Penetrationstesters und eines kriminellen Angreifers sind oft identisch. Der Unterschied liegt in der rechtlichen Genehmigung und der Absicht.

Penetration Testing ist nicht dasselbe wie ein Schwachstellenscan. Ein Scanner identifiziert bekannte Schwachstellen durch den Vergleich von Systemen mit einer Datenbank. Ein Penetrationstester versucht, diese Schwachstellen zu nutzen, um reale Auswirkungen zu demonstrieren – Schwachstellen miteinander zu verknüpfen, Privilegien zu eskalieren und sich durch Systeme zu bewegen, wie es ein echter Angreifer tun würde.

Es ist auch nicht dasselbe wie ein Red-Team-Einsatz. Ein Red Team simuliert eine vollständige Angreiferkampagne – oft über Wochen oder Monate – und testet Menschen, Prozesse und Technologie. Ein Penetrationstest ist typischerweise zeitlich begrenzter und im Umfang enger.

Das rechtliche und ethische Fundament

Bevor jegliche Tests beginnen, muss ein Penetrationstester eine ausdrückliche schriftliche Genehmigung haben. Dies hat typischerweise die Form eines Rules of Engagement (ROE)-Dokuments und eines Leistungsverzeichnisses, das Folgendes definiert:

• Umfang: welche Systeme, IP-Bereiche und Anwendungen im Umfang sind
• Außerhalb des Umfangs liegende Systeme: Produktionsdatenbanken, die nicht berührt werden dürfen, Drittanbieterdienste
• Erlaubte Techniken: ist Social Engineering erlaubt? Physischer Zugang?
• Zeitplanung: gibt es Wartungsfenster zu vermeiden?
• Notfallkontakte: wenn etwas kaputtgeht, wer wird sofort angerufen?

Tests ohne Genehmigung sind nach den Computerbetruggesetzen in praktisch jeder Gerichtsbarkeit illegal (dem Computer Fraud and Abuse Act in den USA, dem Computer Misuse Act in Großbritannien und gleichwertigen Gesetzen anderswo). Ein Freifahrtschein-Brief des Kunden – manchmal buchstäblich so genannt – sollte bei jedem Test getragen werden, der Sicherheitsbenachrichtigungen auslösen könnte.

Die fünf Phasen eines Penetrationstests

Phase 1: Aufklärung

Aufklärung (Recon) ist die Informationssammlungsphase. Der Tester lernt alles Mögliche über das Ziel, bevor er ein System berührt. Dies unterteilt sich in zwei Kategorien:

Passive Aufklärung nutzt öffentlich verfügbare Informationen, ohne mit dem Ziel zu interagieren:

• WHOIS-Einträge, DNS-Einträge, Zertifikatstransparenzprotokolle
• LinkedIn für Mitarbeiternamen, Berufsbezeichnungen, Hinweise auf den Technologie-Stack
• GitHub und Code-Repositories für geleakte Anmeldedaten, API-Schlüssel, interne IP-Adressen
• Shodan.io und Censys für im Internet exponierte Dienste
• Google-Dorking (site:target.com filetype:pdf, site:target.com inurl:login)

Aktive Aufklärung beinhaltet direkten Kontakt mit dem Ziel:

• DNS-Enumeration und Zonentransfers
• Port-Scanning (Nmap)
• Dienst-Fingerprinting
• Webcrawling von Webanwendungen

Durchdachte Aufklärung enthüllt oft Befunde ohne jegliche Ausnutzung: öffentlich zugängliche .git-Verzeichnisse, exponierte Umgebungsdateien, Standardanmeldedaten auf administrativen Schnittstellen.

Phase 2: Scanning und Enumeration

Mit einer erstellten Zielliste scannt der Tester systematisch nach offenen Ports, laufenden Diensten, Softwareversionen und Fehlkonfigurationen.

Wichtige Tools:

• Nmap – der Standard für Port- und Dienst-Scanning
• Nikto – Schwachstellenscanner für Webserver
• Gobuster / ffuf – Directory- und Datei-Brute-Forcing bei Webanwendungen
• Enum4linux – SMB- und Windows-Enumeration
• Nessus / OpenVAS – automatisierte Schwachstellenscanner

Enumeration geht tiefer: Benutzernamen aus LDAP extrahieren, SMB-Freigaben identifizieren, API-Endpunkte entdecken, die Anwendungslogik kartieren.

Phase 3: Ausnutzung

Ausnutzung versucht, entdeckte Schwachstellen zu nutzen, um unbefugten Zugang zu erlangen. Das Ziel ist typischerweise, eines der folgenden zu erreichen:

• Remote Code Execution (RCE) auf einem Zielsystem
• Authentifizierungsumgehung für den Zugang zu geschützten Ressourcen
• Privilegieneskalation von einem niedrig-privilegierten zu einem hoch-privilegierten Benutzer
• Datenexfiltration, um zu demonstrieren, was ein Angreifer stehlen könnte

Metasploit Framework ist das am weitesten verbreitete Tool zur Organisation und Ausführung von Exploits. Es bietet eine Bibliothek von Modulen für bekannte Schwachstellen, Payload-Generierung und Post-Exploitation.

Eine kritische Fähigkeit hier ist das Verketten von Schwachstellen. Eine geringfügige Fehlkonfiguration rechtfertigt möglicherweise allein keine Maßnahme, aber kombiniert mit einer Informationsoffenlegung und einem schwachen Passwort wird sie zu einem Weg zum Domain-Administrator.

Phase 4: Post-Exploitation

Nach dem ersten Zugang simulieren Tester, was ein echter Angreifer tun würde: Persistenz aufrechterhalten, lateral bewegen, Privilegien eskalieren und ihre Ziele erreichen.

Techniken zur lateralen Bewegung:

• Pass-the-Hash: Verwendung erfasster NTLM-Hashes zur Authentifizierung ohne Kenntnis des Klartextpassworts
• Kerberoasting: Service-Tickets anfordern und offline knacken, um Dienstkontopasswörter zu erhalten
• Pivoting: einen kompromittierten Host als Brücke nutzen, um Systeme zu erreichen, die nicht direkt zugänglich waren

Persistenztechniken:

• Geplante Aufgaben, Cron-Jobs
• Registry-Run-Schlüssel
• Backdoor-Konten
• Web-Shells auf kompromittierten Webservern

Die Tiefe der Post-Exploitation wird durch die ROE eingeschränkt.

Phase 5: Berichterstattung

Der Bericht ist das primäre Ergebnis eines Penetrationstests. Ein guter Bericht:

• Bietet eine Zusammenfassung für Führungskräfte, die für nicht-technische Führungskräfte zugänglich ist
• Listet jeden Befund mit Schweregradbewertung auf (CVSS-Score oder qualitativ: Kritisch/Hoch/Mittel/Niedrig)
• Dokumentiert einen Proof of Concept für jeden Befund (Screenshots, verwendete Befehle)
• Erklärt Geschäftsauswirkungen – nicht nur "SQL-Injection gefunden", sondern "Angreifer könnte auf alle Kundenzahlungsdaten zugreifen"
• Bietet spezifische Abhilfeempfehlungen, keine allgemeinen Ratschläge
• Enthält eine nach Risiko priorisierte Abhilfe-Roadmap

Gängige Methoden und Frameworks

• PTES (Penetration Testing Execution Standard) – umfassende Methodik, die alle Phasen abdeckt
• OWASP Testing Guide – speziell für Webanwendungstests
• NIST SP 800-115 – technischer Leitfaden für Informationssicherheitstests
• OSSTMM (Open Source Security Testing Methodology Manual) – breitere Methodik für Sicherheitstests

Einstieg in Penetration Testing

Für diejenigen, die Penetration Testing professionell anstreben:

Übungsumgebungen:

• HackTheBox, TryHackMe, PentesterLab – absichtlich anfällige Maschinen
• DVWA (Damn Vulnerable Web Application) – lokale Webanwendungsübung
• VulnHub – herunterladbare anfällige virtuelle Maschinen

Zertifizierungen:

• OSCP (Offensive Security Certified Professional) – praktisch, branchenanerkannt, anspruchsvoll
• CEH (Certified Ethical Hacker) – weit anerkannt, wissensbasierter
• eJPT (eLearnSecurity Junior Penetration Tester) – guter Ausgangspunkt

Wichtige Tools zum Erlernen: Nmap, Metasploit, Burp Suite, Wireshark, John the Ripper, Hashcat, Gobuster, BloodHound

Die Denkweise beim Penetration Testing dreht sich grundsätzlich um kreatives Problemlösen innerhalb von Grenzen. Technisches Wissen ist wichtig, aber die Fähigkeit, wie ein Angreifer zu denken – zu identifizieren, was Verteidiger übersehen haben – ist das, was effektive Tester von Tool-Operatoren unterscheidet.