BSI Penetrationstest-Leitfaden: Methodik 2026

In einem Satz. Der BSI-Leitfaden “Durchführungskonzept für Penetrationstests” beschreibt die offiziell anerkannte Methodik für IT-Sicherheitsüberprüfungen in Deutschland — fünf Klassen (I-V) nach Aggressivität, fünf Phasen (Vorbereitung → Informationsbeschaffung → Bewertung → aktive Eindringversuche → Nachbereitung) und ist faktischer Standard für jeden DSGVO Art. 32-konformen Sicherheitsnachweis.

Pentests sind nach Art. 32 DSGVO und § 8a BSIG für KRITIS-Betreiber implizit verlangt. Siehe übergreifend BSI-Grundschutz und DSGVO Art. 32.

Wichtige Punkte

• BSI-Klassen I (Audit) bis V (komplexer Red-Team-Test).
• Fünf Phasen nach BSI-Methodik.
• Rechtliche Grundlage: Vertrag mit klarem Scope, sonst § 202a StGB-Risiko.
• NIS2 verlangt für KRITIS regelmäßige Pentests.
• Typische Kosten: 5.000-100.000 € je nach Umfang.

1. Klassen-Modell des BSI

Klasse	Aggressivität	Beschreibung
I	Sehr niedrig	Passiver Scan, Audit
II	Niedrig	Vulnerability-Scan, kein Exploit
III	Mittel	Aktive Tests mit Exploits in Testumgebung
IV	Hoch	Eindringversuche in Produktion
V	Sehr hoch	Komplexes Red-Team mit Social Engineering

2. Fünf-Phasen-Methodik

1. Vorbereitung: Scope, Rules of Engagement, Vertrag.
2. Informationsbeschaffung: Recherche, OSINT.
3. Bewertung der Informationen: Schwachstellenanalyse.
4. Aktive Eindringversuche: Exploits, lateral movement.
5. Nachbereitung: Bericht, Maßnahmenempfehlungen, Re-Test.

3. Rechtliche Grundlage

§ 202a StGB (Ausspähen) und § 303a StGB (Datenveränderung) erfordern explizite vertragliche Erlaubnis. Standard: schriftlicher Pentest-Vertrag mit präzisem Scope, Zeitfenster, Eskalationsweg.

4. Scope-Definition

• IP-Bereiche / Domains.
• Anwendungen (Web, Mobile, API).
• Ausgeschlossene Systeme (z.B. Produktion).
• Zugelassene Techniken (Social Engineering ja/nein).
• Zeitfenster (Geschäftszeiten / 24/7).

5. NIS2-Pflichten

NIS2 (umgesetzt im BSIG-Neufassung 2024) verlangt für wesentliche und wichtige Einrichtungen regelmäßige Sicherheitsüberprüfungen. Pentests sind faktischer Standard. Siehe NIS2 Deutschland.

6. DSGVO Art. 32 als Treiber

Art. 32 verlangt “regelmäßige Überprüfung der Wirksamkeit” technischer Maßnahmen. Pentests sind das Standardinstrument; die Priorisierung der Testobjekte liefert idealerweise die Risikoanalyse nach BSI 200-3. Aufsichtsbehörden (z.B. BfDI, HBDI) fragen bei Bußgeldverfahren explizit nach Pentest-Berichten.

7. Auswahl Dienstleister

BSI führt keine offizielle Zertifizierung für Pentester. Quasi-Standards: OSCP, CEH, OSEP. Achten auf Haftpflichtversicherung (mind. 5 Mio. €), Vertraulichkeitsvereinbarung, Pentest-Erfahrung im Sektor.

8. Berichtsstruktur nach BSI

• Management Summary.
• Methodik und Scope.
• Funde mit CVSS-Score.
• Reproduktionsbeschreibung.
• Empfehlungen.
• Roadmap.

9. Frequenz

• KRITIS: mindestens alle 2 Jahre (BSIG § 8a).
• Banken/DORA: jährlich + bei Major Changes.
• Mittelstand: alle 2-3 Jahre + nach größeren Releases.
• Webanwendungen: nach jedem Major Release.

10. Typische Funde

• Outdated Software (40-60% der Befunde).
• Schwache Passwörter / fehlende MFA.
• Fehlerhafte Berechtigungen (IDOR, Privilege Escalation).
• Unverschlüsselte Backups.
• Active-Directory-Misconfigurations.

Viele dieser Befunde lassen sich durch Secure Coding nach BSI-Baustein CON.8 von vornherein vermeiden.

11. Tool-Unterstützung

Legiscope verknüpft Pentest-Befunde mit Art. 32-Maßnahmenkatalog und dokumentiert Behebungsstatus für Aufsichtsbehörden.

11. Konkrete Implementierungsschritte

1. Bestandsaufnahme der betroffenen Systeme und Datenflüsse (CMDB, Netzplan).
2. Schutzbedarfsfeststellung nach BSI-Standard 200-2 (normal/hoch/sehr hoch).
3. Risikoanalyse mit Bedrohungskatalog des IT-Grundschutz-Kompendiums.
4. Maßnahmenkatalog ableiten aus den relevanten Bausteinen.
5. Pilotierung auf ausgewähltem Subsystem, Lessons Learned dokumentieren.
6. Rollout mit Rollbackplan, Change-Management, Schulungen.
7. Monitoring über SIEM, regelmäßige Vulnerability-Scans.
8. Wirksamkeitsprüfung über interne Audits und Pentests, mindestens jährlich.
9. Dokumentation im ISMS-Tool (verinice., AdaptiveGRC, Compliance Aspekte).
10. Re-Zertifizierung spätestens alle drei Jahre.

12. Tool-Empfehlungen (Open-Source und kommerziell)

Bereich	Open-Source	Kommerziell
ISMS	verinice., OpenVAS	RSA Archer, ServiceNow GRC
SIEM	Wazuh, Graylog, ELK	Splunk, Microsoft Sentinel, IBM QRadar
Pentest	Kali Linux, Metasploit Framework	Burp Suite Pro, Cobalt Strike
Vulnerability-Scan	OpenVAS, Nuclei	Tenable Nessus, Qualys VMDR
Endpoint Detection	Wazuh, OSSEC	CrowdStrike Falcon, SentinelOne
Backup	Bacula, Restic	Veeam, Rubrik

Open-Source-Stacks sind für KMU oft ausreichend, erfordern aber qualifizierte Administration. Kommerzielle Lösungen liefern Support, Hardening-Defaults und Compliance-Reports out-of-the-box.

13. Voraussetzungen und Vorwissen

Für die Umsetzung empfiehlt der BSI mindestens: ISO 27001 Foundation oder BSI IT-Grundschutz-Praktiker-Zertifizierung, praktische Erfahrung mit Netzwerktechnik und Linux/Windows-Administration, Verständnis von Identitäts- und Zugriffsmanagement (IAM), Kenntnisse in Kryptographie nach BSI TR-02102. Für Audits zusätzlich ISO 27001 Lead Auditor oder BSI-zertifizierter Auditor. Mittlere Projekte erfordern ein Team aus DSB, ISB, Netzwerk-Admin und Anwendungsverantwortlichem.

14. ROI-Metriken und Kennzahlen

Typische Kennzahlen zur Erfolgskontrolle:

• Mean Time to Detect (MTTD): Ziel < 24 Stunden, ohne SIEM oft > 200 Tage (IBM Cost of a Data Breach Report).
• Mean Time to Respond (MTTR): Ziel < 4 Stunden für kritische Vorfälle.
• Patch-Compliance-Quote: Ziel > 95 % binnen 30 Tagen nach CVE-Veröffentlichung.
• Schulungsquote: 100 % aller Mitarbeitenden pro Jahr (E-Learning + Phishing-Tests).
• Audit-Befund-Schließung: Critical-Findings binnen 30 Tagen, High binnen 90 Tagen.
• Backup-Wiederherstellungstest: mindestens quartalsweise, RTO/RPO dokumentiert.

Ein durchschnittlicher Datenpannen-Vorfall kostet laut Bitkom-Studie 2024 in Deutschland 4,3 Mio. €. Investitionen in präventive Maßnahmen amortisieren sich typisch nach 18-30 Monaten.

15. Häufige Pitfalls

• Maßnahmen werden eingeführt, aber nicht in Betrieb gehalten (kein Lifecycle-Management).
• Fehlende Asset-Management-Disziplin — Schatten-IT bleibt unberücksichtigt.
• Verlassen auf Standard-Hardening ohne unternehmensspezifische Risikoanalyse.
• Keine Awareness-Schulungen für nicht-technische Mitarbeitende.
• Verträge mit Cloud-Anbietern ohne Sicherheits-SLA und Audit-Recht.
• Pentests ohne Re-Test nach Befundbehebung — Mängel bleiben offen.
• Logmanagement ohne Aufbewahrungspflicht-Konformität (DSGVO Art. 5 Abs. 1 lit. e).

16. Integration mit ISO 27001 und NIS2

ISO 27001:2022 und BSI-Grundschutz sind weitgehend kompatibel; eine Mapping-Tabelle des BSI ordnet die ISO-Controls (Annex A) den Grundschutz-Bausteinen zu. Doppelzertifizierungen sind möglich und reduzieren Audit-Aufwand um ca. 30 %. Für NIS2 Deutschland-pflichtige Einrichtungen (KRITIS, wesentliche/wichtige Einrichtungen nach § 28 NIS2UmsuCG) gilt: BSI-Grundschutz wird als geeigneter Sicherheitsstandard akzeptiert, ISO 27001 ebenso. Wer beides hat, deckt zugleich DORA-Anforderungen (für Finanzinstitute) und DSGVO Art. 32 Sicherheit ab.

17. Vergleich BSI vs ANSSI vs NIST

Aspekt	BSI (DE)	ANSSI (FR)	NIST (US)
Ansatz	Bausteinbasiert (modular)	Risikobasiert (EBIOS)	Funktion-basiert (CSF 2.0)
Hauptstandard	IT-Grundschutz / 200-2	PSSI-E, EBIOS RM	NIST CSF, SP 800-53
Zertifizierung	ISO 27001 auf Basis Grundschutz	LSTI, SecNumCloud	FedRAMP, FISMA
Cloud-Bewertung	C5 (Cloud Computing Compliance Criteria Catalogue)	SecNumCloud	FedRAMP High/Moderate
Pflichtkraft	KRITIS-Verordnung, NIS2UmsuCG	LPM, NIS2-Transposition	FISMA, Executive Orders

In multinationalen Konzernen wird häufig NIST CSF als Mantel verwendet, mit BSI-Grundschutz für DE-Tochterunternehmen und SecNumCloud für FR-Cloudnutzung.

Fazit

Pentests sind nicht optional. Wer DSGVO Art. 32 und NIS2 ernst nimmt, plant 1-2 Pentests pro Jahr fest ein — und nutzt die Befunde als Lernchance, nicht als Compliance-Hindernis.

FAQ

Was kostet ein Pentest in Deutschland?

5.000-15.000 € für kleine Webanwendung; 30.000-100.000 € für Klasse-IV-Test mit Infrastruktur und Anwendungen.

Ist ein Pentest gesetzlich vorgeschrieben?

Implizit ja: DSGVO Art. 32 (regelmäßige Überprüfung), BSIG § 8a (KRITIS), DORA (Finanzsektor), NIS2 (wesentliche/wichtige Einrichtungen).

Was unterscheidet Pentest von Vulnerability-Scan?

Vulnerability-Scan ist automatisiert und findet bekannte Schwachstellen. Pentest exploited diese aktiv und kombiniert Techniken (manuell).

Wer darf einen Pentest durchführen?

Jeder mit ausdrücklicher vertraglicher Erlaubnis. Ohne Vertrag: Strafbarkeit nach § 202a StGB.

Wie lange dauert ein Pentest?

5-20 Werktage je nach Scope. Web-Anwendung: 5-10 Tage. Komplettes Netzwerk + Apps: 15-25 Tage plus Bericht.

Wie integriere ich BSI-Grundschutz mit bestehender ISO 27001?

Mapping-Tabellen des BSI zeigen Äquivalenzen zwischen Annex A und Grundschutz-Bausteinen. Praxis: Ein ISMS-Dokument für beide Standards, Audit kombiniert, Zertifizierungsaufwand sinkt um ca. 30 %. Voraussetzung ist ein zentrales ISMS-Tool wie verinice. mit beiden Profilen. Für die Re-Zertifizierung alle drei Jahre reicht ein gemeinsames Audit-Team.

Welche Kosten entstehen für die Erstimplementierung?

Für ein mittleres Unternehmen (250-500 Mitarbeitende): externe Beratung 80.000-180.000 €, Tooling 15.000-60.000 €/Jahr, interne Personalkosten 1-2 FTE über 12 Monate, Audit-Kosten 25.000-50.000 €. Gesamtprojekt typisch 250.000-450.000 € in Jahr 1, danach jährlich 60.000-120.000 € Betrieb. ROI über reduzierte Vorfallskosten und Versicherungsprämienrabatte (typisch 10-20 % bei Cyber-Versicherungen).

Wie verhält sich BSI-Grundschutz zu NIS2?

Die NIS2 Deutschland-Umsetzung (NIS2UmsuCG) akzeptiert BSI-Grundschutz und ISO 27001 als geeignete Sicherheitsstandards. KRITIS-Betreiber und wesentliche Einrichtungen müssen alle zwei Jahre den Nachweis erbringen. Wer bereits zertifiziert ist, hat den Compliance-Nachweis für NIS2 weitgehend erbracht.

Welche BSI-Technische-Richtlinien sind besonders relevant?

BSI TR-02102 (Kryptographische Verfahren), TR-03116 (eHealth-Sicherheit), TR-03161 (Anforderungen mobile Anwendungen), TR-03145 (Sichere CA-Betriebsprozesse), TR-03150 (Sichere Verarbeitung in der elektronischen Patientenakte). Für Cloud-Nutzung zusätzlich der C5-Katalog (Cloud Computing Compliance Criteria Catalogue) in Version C5:2020.