Führen Sie mich durch die Phasen eines Penetrationstests vom Kickoff bis zur Übergabe.
Kurzantwort
Ein Pentest durchläuft Pre-Engagement (Scope und Einsatzregeln), Aufklärung, Scanning und Enumeration, Ausnutzung, Post-Exploitation und Reporting. Jede Phase speist die nächste, und im Reporting wird der Wert tatsächlich an den Kunden geliefert.
Ein Penetrationstest ist nicht „einen Scanner laufen lassen und ausnutzen, was auftaucht". Er ist ein strukturierter Einsatz mit Phasen, die jeweils auf der vorigen aufbauen. Frameworks wie das PTES (Penetration Testing Execution Standard) und das OSSTMM formalisieren dies, und die meisten Interviewer wollen diese Struktur hören.
Die Phasen
- Pre-Engagement / Scoping. Bevor ein einziges Paket fliegt, einigen Sie sich auf den Scope, die Einsatzregeln, den Zeitplan, Notfallkontakte und die Autorisierung. Das ist die rechtliche und praktische Grundlage — ohne schriftliche Autorisierung begehen Sie schlicht eine Straftat.
- Aufklärung. Informationen über das Ziel sammeln, passiv (OSINT, DNS, Certificate Transparency) und dann aktiv (lebende Hosts abtasten). Das Ziel ist, eine Karte der Angriffsfläche zu erstellen.
- Scanning und Enumeration. Lebende Hosts, offene Ports, laufende Dienste und Versionen identifizieren. Die Enumeration geht tiefer — Benutzernamen, Freigaben, Endpunkte, Software-Stacks — und verwandelt eine Liste von Diensten in eine Liste möglicher Schwachstellen.
- Ausnutzung. Versuchen, durch Ausnutzen der gefundenen Schwachstellen Zugriff zu erlangen. Das ist die Phase, die man sich vorstellt, aber oft die kürzeste.
- Post-Exploitation. Einmal drinnen, die Auswirkung bestimmen: Privilegien eskalieren, zu anderen Systemen pivotieren, auf sensible Daten zugreifen und Persistenz einrichten (falls im Scope). Das beantwortet die Frage, die den Kunden wirklich interessiert — „wie schlimm ist es?".
- Reporting. Funde, Beweise, geschäftliche Auswirkungen und Behebungsempfehlungen dokumentieren. Das ist das Liefergut. Eine brillante Exploit-Kette ist wertlos, wenn der Bericht keine Behebung anstoßen kann.
Worauf Interviewer achten
Sie wollen sehen, dass Sie Reporting und Scoping als vollwertige Phasen behandeln, nicht als Nebensache, und dass Sie verstehen: Post-Exploitation ist der Ort, an dem Sie das echte Geschäftsrisiko demonstrieren, statt nur „ich habe eine Shell bekommen".
Wahrscheinliche Anschlussfragen
- Warum ist Post-Exploitation eine eigene Phase, getrennt von der Ausnutzung?
- Was geschieht im Pre-Engagement, das sowohl Sie als auch den Kunden schützt?
- Wie unterscheidet sich die Methodik zwischen einem Black-Box- und einem White-Box-Test?