BSI Penetrationstest-Leitfaden: Methodik 2026

In einem Satz. Der BSI-Leitfaden “Durchführungskonzept für Penetrationstests” beschreibt die offiziell anerkannte Methodik für IT-Sicherheitsüberprüfungen in Deutschland — fünf Klassen (I-V) nach Aggressivität, fünf Phasen (Vorbereitung → Informationsbeschaffung → Bewertung → aktive Eindringversuche → Nachbereitung) und ist faktischer Standard für jeden DSGVO Art. 32-konformen Sicherheitsnachweis.

Wichtige Punkte

• BSI-Klassen I (Audit) bis V (komplexer Red-Team-Test).
• Fünf Phasen nach BSI-Methodik.
• Rechtliche Grundlage: Vertrag mit klarem Scope, sonst § 202a StGB-Risiko.
• NIS2 verlangt für KRITIS regelmäßige Pentests.
• Typische Kosten: 5.000-100.000 € je nach Umfang.

1. Klassen-Modell des BSI

2. Fünf-Phasen-Methodik

1. Vorbereitung: Scope, Rules of Engagement, Vertrag.
2. Informationsbeschaffung: Recherche, OSINT.
3. Bewertung der Informationen: Schwachstellenanalyse.
4. Aktive Eindringversuche: Exploits, lateral movement.
5. Nachbereitung: Bericht, Maßnahmenempfehlungen, Re-Test.

3. Rechtliche Grundlage

§ 202a StGB (Ausspähen) und § 303a StGB (Datenveränderung) erfordern explizite vertragliche Erlaubnis. Standard: schriftlicher Pentest-Vertrag mit präzisem Scope, Zeitfenster, Eskalationsweg.

4. Scope-Definition

• IP-Bereiche / Domains.
• Anwendungen (Web, Mobile, API).
• Ausgeschlossene Systeme (z.B. Produktion).
• Zugelassene Techniken (Social Engineering ja/nein).
• Zeitfenster (Geschäftszeiten / 24/7).

5. NIS2-Pflichten

6. DSGVO Art. 32 als Treiber

Art. 32 verlangt “regelmäßige Überprüfung der Wirksamkeit” technischer Maßnahmen. Pentests sind das Standardinstrument; die Priorisierung der Testobjekte liefert idealerweise die Risikoanalyse nach BSI 200-3. Aufsichtsbehörden (z.B. BfDI, HBDI) fragen bei Bußgeldverfahren explizit nach Pentest-Berichten.

7. Auswahl Dienstleister

BSI führt keine offizielle Zertifizierung für Pentester. Quasi-Standards: OSCP, CEH, OSEP. Achten auf Haftpflichtversicherung (mind. 5 Mio. €), Vertraulichkeitsvereinbarung, Pentest-Erfahrung im Sektor.

8. Berichtsstruktur nach BSI

• Management Summary.
• Methodik und Scope.
• Funde mit CVSS-Score.
• Reproduktionsbeschreibung.
• Empfehlungen.
• Roadmap.

9. Frequenz

• KRITIS: mindestens alle 2 Jahre (BSIG § 8a).
• Banken/DORA: jährlich + bei Major Changes.
• Mittelstand: alle 2-3 Jahre + nach größeren Releases.
• Webanwendungen: nach jedem Major Release.

10. Typische Funde

• Outdated Software (40-60% der Befunde).
• Schwache Passwörter / fehlende MFA.
• Fehlerhafte Berechtigungen (IDOR, Privilege Escalation).
• Unverschlüsselte Backups.
• Active-Directory-Misconfigurations.

Viele dieser Befunde lassen sich durch Secure Coding nach BSI-Baustein CON.8 von vornherein vermeiden.

11. Tool-Unterstützung

11. Konkrete Implementierungsschritte

1. Bestandsaufnahme der betroffenen Systeme und Datenflüsse (CMDB, Netzplan).
2. Schutzbedarfsfeststellung nach BSI-Standard 200-2 (normal/hoch/sehr hoch).
3. Risikoanalyse mit Bedrohungskatalog des IT-Grundschutz-Kompendiums.
4. Maßnahmenkatalog ableiten aus den relevanten Bausteinen.
5. Pilotierung auf ausgewähltem Subsystem, Lessons Learned dokumentieren.
6. Rollout mit Rollbackplan, Change-Management, Schulungen.
7. Monitoring über SIEM, regelmäßige Vulnerability-Scans.
8. Wirksamkeitsprüfung über interne Audits und Pentests, mindestens jährlich.
9. Dokumentation im ISMS-Tool (verinice., AdaptiveGRC, Compliance Aspekte).
10. Re-Zertifizierung spätestens alle drei Jahre.

12. Tool-Empfehlungen (Open-Source und kommerziell)

Open-Source-Stacks sind für KMU oft ausreichend, erfordern aber qualifizierte Administration. Kommerzielle Lösungen liefern Support, Hardening-Defaults und Compliance-Reports out-of-the-box.

13. Voraussetzungen und Vorwissen

Für die Umsetzung empfiehlt der BSI mindestens: ISO 27001 Foundation oder BSI IT-Grundschutz-Praktiker-Zertifizierung, praktische Erfahrung mit Netzwerktechnik und Linux/Windows-Administration, Verständnis von Identitäts- und Zugriffsmanagement (IAM), Kenntnisse in Kryptographie nach BSI TR-02102. Für Audits zusätzlich ISO 27001 Lead Auditor oder BSI-zertifizierter Auditor. Mittlere Projekte erfordern ein Team aus DSB, ISB, Netzwerk-Admin und Anwendungsverantwortlichem.

14. ROI-Metriken und Kennzahlen

Typische Kennzahlen zur Erfolgskontrolle:

• Mean Time to Detect (MTTD): Ziel < 24 Stunden, ohne SIEM oft > 200 Tage (IBM Cost of a Data Breach Report).
• Mean Time to Respond (MTTR): Ziel < 4 Stunden für kritische Vorfälle.
• Patch-Compliance-Quote: Ziel > 95 % binnen 30 Tagen nach CVE-Veröffentlichung.
• Schulungsquote: 100 % aller Mitarbeitenden pro Jahr (E-Learning + Phishing-Tests).
• Audit-Befund-Schließung: Critical-Findings binnen 30 Tagen, High binnen 90 Tagen.
• Backup-Wiederherstellungstest: mindestens quartalsweise, RTO/RPO dokumentiert.

Ein durchschnittlicher Datenpannen-Vorfall kostet laut Bitkom-Studie 2024 in Deutschland 4,3 Mio. €. Investitionen in präventive Maßnahmen amortisieren sich typisch nach 18-30 Monaten.

15. Häufige Pitfalls

• Maßnahmen werden eingeführt, aber nicht in Betrieb gehalten (kein Lifecycle-Management).
• Fehlende Asset-Management-Disziplin — Schatten-IT bleibt unberücksichtigt.
• Verlassen auf Standard-Hardening ohne unternehmensspezifische Risikoanalyse.
• Keine Awareness-Schulungen für nicht-technische Mitarbeitende.
• Verträge mit Cloud-Anbietern ohne Sicherheits-SLA und Audit-Recht.
• Pentests ohne Re-Test nach Befundbehebung — Mängel bleiben offen.
• Logmanagement ohne Aufbewahrungspflicht-Konformität (DSGVO Art. 5 Abs. 1 lit. e).

16. Integration mit ISO 27001 und NIS2

17. Vergleich BSI vs ANSSI vs NIST

In multinationalen Konzernen wird häufig NIST CSF als Mantel verwendet, mit BSI-Grundschutz für DE-Tochterunternehmen und SecNumCloud für FR-Cloudnutzung.

Fazit

Pentests sind nicht optional. Wer DSGVO Art. 32 und NIS2 ernst nimmt, plant 1-2 Pentests pro Jahr fest ein — und nutzt die Befunde als Lernchance, nicht als Compliance-Hindernis.

FAQ

Was kostet ein Pentest in Deutschland?

5.000-15.000 € für kleine Webanwendung; 30.000-100.000 € für Klasse-IV-Test mit Infrastruktur und Anwendungen.

Ist ein Pentest gesetzlich vorgeschrieben?

Implizit ja: DSGVO Art. 32 (regelmäßige Überprüfung), BSIG § 8a (KRITIS), DORA (Finanzsektor), NIS2 (wesentliche/wichtige Einrichtungen).

Was unterscheidet Pentest von Vulnerability-Scan?

Vulnerability-Scan ist automatisiert und findet bekannte Schwachstellen. Pentest exploited diese aktiv und kombiniert Techniken (manuell).

Wer darf einen Pentest durchführen?

Jeder mit ausdrücklicher vertraglicher Erlaubnis. Ohne Vertrag: Strafbarkeit nach § 202a StGB.

Wie lange dauert ein Pentest?

5-20 Werktage je nach Scope. Web-Anwendung: 5-10 Tage. Komplettes Netzwerk + Apps: 15-25 Tage plus Bericht.

Wie integriere ich BSI-Grundschutz mit bestehender ISO 27001?

Mapping-Tabellen des BSI zeigen Äquivalenzen zwischen Annex A und Grundschutz-Bausteinen. Praxis: Ein ISMS-Dokument für beide Standards, Audit kombiniert, Zertifizierungsaufwand sinkt um ca. 30 %. Voraussetzung ist ein zentrales ISMS-Tool wie verinice. mit beiden Profilen. Für die Re-Zertifizierung alle drei Jahre reicht ein gemeinsames Audit-Team.

Welche Kosten entstehen für die Erstimplementierung?

Für ein mittleres Unternehmen (250-500 Mitarbeitende): externe Beratung 80.000-180.000 €, Tooling 15.000-60.000 €/Jahr, interne Personalkosten 1-2 FTE über 12 Monate, Audit-Kosten 25.000-50.000 €. Gesamtprojekt typisch 250.000-450.000 € in Jahr 1, danach jährlich 60.000-120.000 € Betrieb. ROI über reduzierte Vorfallskosten und Versicherungsprämienrabatte (typisch 10-20 % bei Cyber-Versicherungen).

Wie verhält sich BSI-Grundschutz zu NIS2?

Welche BSI-Technische-Richtlinien sind besonders relevant?

BSI TR-02102 (Kryptographische Verfahren), TR-03116 (eHealth-Sicherheit), TR-03161 (Anforderungen mobile Anwendungen), TR-03145 (Sichere CA-Betriebsprozesse), TR-03150 (Sichere Verarbeitung in der elektronischen Patientenakte). Für Cloud-Nutzung zusätzlich der C5-Katalog (Cloud Computing Compliance Criteria Catalogue) in Version C5:2020.