NIS2 im deutschen Mittelstand: Warum Penetrationstests zum Pflichtprogramm werden

Mit der NIS2-Richtlinie erweitert die Europäische Union den Kreis regulierter Unternehmen erheblich. In Deutschland wird das NIS2-Umsetzung- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) die Vorgaben umsetzen. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik betrifft dies rund 29.500 Einrichtungen, viele davon im klassischen Mittelstand. Der technische Nachweis wirksamer Sicherheitsmaßnahmen wird damit in den Fokus rücken, und Penetrationstests entwickeln sich vom optionalen Reifegradinstrument zum oft geforderten Prüfverfahren.

Was NIS2 konkret von Unternehmen verlangt

Die Richtlinie (EU) 2022/2555 unterscheidet zwei Kategorien regulierter Organisationen. „Wesentliche Einrichtungen“ umfassen etwa Energieversorger, Banken, Wasserwirtschaft, digitale Infrastruktur und Gesundheitswesen ab 250 Beschäftigten oder 50 Millionen Euro Jahresumsatz. „Wichtige Einrichtungen“ schließen unter anderem Post- und Kurierdienste, Chemie, Lebensmittel, Maschinenbau sowie Anbieter digitaler Dienste ab 50 Beschäftigten ein. Details zur nationalen Ausgestaltung finden sich im Gesetzentwurf zum NIS2UmsuCG des Bundesinnenministeriums.

Artikel 21 der Richtlinie listet zehn Mindestmaßnahmen zum Risikomanagement, darunter Konzepte für Risikoanalyse und Informationssicherheit, Bewältigung von Sicherheitsvorfällen, Backup-Management, Sicherheit der Lieferkette sowie Kryptografie. Ergänzend fordert die Richtlinie Verfahren zur „Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“. Genau an dieser Stelle greifen Penetrationstests, weil sie empirisch prüfen, ob technische und organisatorische Kontrollen einem realistischen Angriffsszenario standhalten.

Bei Verstößen sieht das Gesetz Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen vor. Geschäftsleitungen haften persönlich für die Umsetzung, was die Nachfrage nach dokumentierten Prüfverfahren erhöht. Eine kuratierte Übersicht der Pentest-Anbieter in Deutschland erleichtert die Vorauswahl, vor allem dann, wenn interne Ressourcen für Beschaffung und Anbietervergleich begrenzt sind.

Penetrationstest, Vulnerability Scan und Red Teaming im Vergleich

Die drei Verfahren werden in der Praxis häufig verwechselt, unterscheiden sich aber deutlich in Tiefe, Aufwand und Aussagekraft. Ein Vulnerability Scan arbeitet automatisiert mit Werkzeugen wie Nessus, OpenVAS oder Qualys, gleicht Systeme gegen CVE-Datenbanken ab und liefert eine Bestandsaufnahme bekannter Schwachstellen. Der Aufwand ist gering, die Ergebnisse bleiben allerdings oberflächlich und enthalten regelmäßig False Positives.

Ein Penetrationstest kombiniert automatisierte Werkzeuge mit manueller Prüfung durch qualifizierte Tester. Ziel ist es, Schwachstellen aktiv auszunutzen, Angriffsketten nachzustellen und die tatsächliche Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit zu bewerten. Typische Testarten sind Webanwendungs-, Netzwerk-, API-, Mobile- und Cloud-Pentests. Als methodischer Rahmen dienen der OWASP Web Security Testing Guide, der Penetration Testing Execution Standard (PTES) sowie der BSI-Praxis-Leitfaden IS-Penetrationstest.

Red Teaming geht darüber hinaus. Ein interdisziplinäres Team simuliert einen realen Angreifer über Wochen oder Monate, kombiniert Social Engineering, physischen Zugang und technische Exploits und misst die Detektions- und Reaktionsfähigkeit des Blue Teams. Grundlage ist meist ein szenariobasiertes Vorgehen, das sich an konkreten Bedrohungsakteuren orientiert und deren Taktiken, Techniken und Prozeduren nach dem MITRE ATT&CK-Framework nachbildet. Typische Ziele sind der Zugriff auf definierte Kronjuwelen, etwa Kundendatenbanken, Quellcode-Repositories oder Domain-Admin-Rechte im Active Directory. Der Erkenntniswert liegt weniger in der Anzahl gefundener Schwachstellen, sondern in der Antwortzeit des Security Operations Centers und der Wirksamkeit vorhandener Detektionsregeln in SIEM- und EDR-Systemen. Als Rahmenwerk hat sich TIBER-EU der Europäischen Zentralbank etabliert, das im Finanzsektor bereits zur Anwendung kommt. Mit dem Digital Operational Resilience Act (DORA) wird dieser Ansatz seit Januar 2025 für große Finanzinstitute unter dem Begriff Threat-Led Penetration Testing verpflichtend.

Standards, Zertifizierungen und Auswahlkriterien

Bei der Anbieterauswahl helfen nachprüfbare Qualifikationen. Auf Unternehmensebene sind ISO/IEC 27001 sowie eine Zertifizierung als IT-Sicherheitsdienstleister durch das BSI relevante Nachweise. Die BSI-Zertifizierung nach Paragraf 9 BSIG unterscheidet die Kategorien IS-Revision, IS-Beratung und IS-Penetrationstest, wobei nur letztere für die Beauftragung technischer Prüfungen einschlägig ist. Für einzelne Tester gelten OSCP und OSWE der Firma OffSec, CRTO sowie die branchenüblichen Nachweise CEH und GPEN als Basisqualifikationen. Für fortgeschrittene Tätigkeiten kommen OSEP, OSCE3 oder CREST-Zertifikate hinzu. Im Umfeld industrieller Steuerungssysteme sind zusätzlich GICSP oder herstellerspezifische Nachweise für SCADA-Umgebungen sinnvoll.

Sinnvoll sind zudem Referenzen aus der eigenen Branche, transparente Preismodelle nach Tagessätzen, klar geregelte Haftungsfragen im Vertrag sowie eine Berufshaftpflichtversicherung mit ausreichender Deckungssumme. Als Orientierungswert gelten Deckungssummen ab fünf Millionen Euro für Personen-, Sach- und Vermögensschäden. Ergänzend sollten Auftraggeber die geografische Verortung der Tester prüfen, weil bestimmte regulierte Bereiche eine Leistungserbringung ausschließlich innerhalb der EU oder Deutschlands vorschreiben. Der Bericht sollte einer definierten Struktur folgen, mit Management Summary, technischer Beschreibung, Reproduktionsschritten, CVSS-v3.1-Bewertung und priorisierten Handlungsempfehlungen. Ergänzend gehören eine Zuordnung der Befunde zu MITRE ATT&CK-Techniken sowie eine Einschätzung der Ausnutzbarkeit im konkreten Umfeld zum Stand der Technik. Ein Retest nach Behebung der Befunde gehört bei seriösen Anbietern zum Standardleistungsumfang und wird üblicherweise innerhalb von drei bis sechs Monaten nach dem Erstbericht durchgeführt.

Rechtlich ist eine schriftliche Testfreigabe zwingend erforderlich. Ohne diese verstoßen Testtätigkeiten gegen Paragraf 202c StGB, den sogenannten Hackerparagrafen. Bei Tests von Cloud-Umgebungen kommt eine zusätzliche Genehmigung des jeweiligen Hyperscalers hinzu, etwa nach den Regeln von AWS, Microsoft Azure oder Google Cloud. Der Scope, die Testfenster, die Eskalationswege bei kritischen Funden und die Regelungen zur Verarbeitung personenbezogener Daten nach DSGVO gehören in jeden Prüfauftrag. Empfehlenswert ist zudem eine Auftragsverarbeitungsvereinbarung nach Artikel 28 DSGVO, sobald der Tester Zugriff auf produktive Systeme mit personenbezogenen Daten erhält, ergänzt um eine Regelung zur revisionssicheren Löschung aller Testartefakte nach Projektabschluss.

Ablauf, Kennzahlen und typische Aufwände

Ein strukturierter Pentest folgt in der Regel den sieben Phasen des PTES. Nach dem Pre-Engagement mit Scoping und Vertragsgestaltung kommen Intelligence Gathering, Threat Modeling, Vulnerability Analysis, Exploitation, Post-Exploitation und Reporting. Ein Webanwendungstest mittlerer Komplexität benötigt im Mittel fünf bis zehn Personentage, ein interner Netzwerktest für einen Standort mittlerer Größe acht bis fünfzehn Tage. Tagessätze bewegen sich je nach Spezialisierung am deutschen Markt zwischen 1.200 und 2.500 Euro netto.
Zur Bewertung der Ergebnisse eignen sich z. B. die Anzahl der kritischen und hohen Befunde pro geprüftem System, der Durchschnitt von Zeit bis zur Behebung (Mean Time to Remediate), der Anteil der wiederkehrenden Schwachstellen im Retest und die Abdeckung des definierten Scopes. Der Verizon Data Breach Investigations Report 2024 zeigt, dass ausgenutzte Schwachstellen als initialer Angriffsvektor gegenüber dem Vorjahr um 180 Prozent zugenommen haben. Regelmäßige Prüfzyklen alle mindestens einmal jährlich und dazu anlassbezogene Tests nach größeren Release-Wechseln sind damit weniger eine Frage der Best Practice als vielmehr der operativen Notwendigkeit.
Ein Unternehmen, das erstmals mit externen Testern arbeiten möchte, tut gut daran, es gestuft zu versuchen. Ein erster Scan liefert eine Bestandsaufnahme, ein anschließender Pentest priorisierter Systeme kümmert sich dann um die kritischsten Risiken, ein späteres Red-Team-Assessment prüft die Reaktionsfähigkeit der eigenen Sicherheitsorganisation auf solche Attacken. Diese Reihenfolge verteilt die Kosten und macht internes Verständnis über die Ergebnisinterpretation möglich, bevor komplexere Angriffssimulationen beauftragt werden.