![\"Datenvalidierung](\"https:\/\/85.215.186.247\/wp-content\/uploads\/2026\/06\/validierung_frontend.jpg\")
<\/p>\n\n\n\nEin Penetrationstest bei Webanwendungen ist ein umfassender Sicherheitstest und erstreckt sich \u00fcber die \u00dcberpr\u00fcfung der Sicherheit m\u00f6glichst aller Bestandteile einer Anwendung.<\/p>\n\n\n\n
Hier wird versucht systematisch die Anwendung anzugreifen um so Sicherheitsl\u00fccken wie beispielsweise SQL-Injections oder Cross-Site-Scripting-Schwachstellen fr\u00fchzeitig zu identifizieren.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Ein Penetrationstest bei Webanwendungen kann sehr aufwendig werden und viel Erfahrung ben\u00f6tigen.<\/p>\n\n\n\n
Er besteht im Grunde aus 10 Schritten:<\/p>\n\n\n\n
Damit eine Penetration von au\u00dfen durch Unbefugte abgewehrt werden kann, m\u00fcssen die Daten abgesichert werden. Hier kommen die 2 Begriffe Datenschutz und Datensicherheit ins Spiel.<\/p>\n\n\n\n
Im Zusammenhang mit der IT-Sicherheit sind vor allem zwei Begriffe wichtig:<\/p>\n\n\n\n
Der Begriff Datenschutz beschreibt vor allem gesetzliche Vorgaben zum Schutz personenbezogener Daten gegen Missbrauch. Zu den personenbezogenen Daten geh\u00f6ren Informationen wie:<\/p>\n\n\n\n
Die Ma\u00dfnahmen des Datenschutzes sind in vielen L\u00e4ndern gesetzlich geregelt und m\u00fcssen von \u00f6ffentlichen Institutionen und Unternehmen, die personenbezogene Daten verarbeiten, umgesetzt werden. In der EU wird der Datenschutz durch die Datenschutz-Grundverordnung (DSGVO) geregelt. In Deutschland wird die Verordnung durch das Bundesdatenschutzgesetz (BDSG) erg\u00e4nzt.<\/p>\n\n\n\n
Der Begriff Datensicherheit beschreibt allgemeine Ma\u00dfnahmen zum Schutz gegen den Verlust und die Ver\u00e4nderung von Daten. In der Regel werden diese Ma\u00dfnahmen nicht durch Gesetze vorgegeben, sondern m\u00fcssen pers\u00f6nlich beziehungsweise von Unternehmen selbst getroffen werden. Damit liegt es in der eigenen Verantwortung, daf\u00fcr zu sorgen, dass Daten nicht durch einen Hardwarefehler verloren gehen k\u00f6nnen und dass unbefugte Dritte nicht auf Informationen zugreifen k\u00f6nnen, die auf dem Computer gespeichert sind.<\/p>\n\n\n\n
Andererseits finden viele Ma\u00dfnahmen aus dem Bereich Datensicherheit sich auch im Datenschutz wieder. Ein wichtiger Bereich des Datenschutzes ist es beispielsweise, den unbefugten Zugriff auf personenbezogene Daten zu verhindern. Andere Bereiche der Datensicherheit werden durch den Datenschutz dagegen \u00fcberhaupt nicht abgedeckt, wie zum Beispiel:<\/p>\n\n\n\n
Der Penetrationstest beschreibt also die legitimierte \u00dcberpr\u00fcfung der Sicherheit eines IT-Systems oder Webanwendung aus der Perspektive eines Angreifers. Bei einem solchen Test werden \u00e4hnliche oder sogar die gleichen Methoden und Tools eingesetzt, die sich auch Hacker zunutze machen.<\/p>\n\n\n\n
In der Vorbereitungsphase werden die Rahmenbedingungen und der Untersuchungsgegenstand des Penetrationstests mit dem Auftraggeber besprochen. In dieser Phase wird detailliert festgehalten, was getestet wird. Daneben wird auch bestimmt, welche Methoden zum Einsatz kommen.<\/p>\n\n\n\n
Da gew\u00f6hnlich Produktivsysteme getestet werden, muss beispielsweise ber\u00fccksichtigt werden, dass der Penetrationstest den regul\u00e4ren Betrieb nicht einschr\u00e4nkt. Ebenso wird ein Pr\u00fcfzeitraum vorab festgelegt.<\/p>\n\n\n\n
In dieser Phase beginnt die praktische Arbeit des Penetrationstests. Es werden nun Informationen zum kritischen Testgegenstand (Asset) eingenommen. Der Auftraggeber stellt zumeist die ben\u00f6tigten Informationen zum Testgegenstand zur Verf\u00fcgung. In der Regel werden in dieser Phase sowohl automatisierte als auch manuelle Methoden verwendet.<\/p>\n\n\n\n
Es findet eine Bewertung der gesammelten Informationen statt. Diese Informationen werden auf m\u00f6gliche Angriffsvektoren untersucht. Diese Phase schafft die Grundlage f\u00fcr den weiteren praktischen Verlauf des Penetrationstests.<\/p>\n\n\n\n
Beschrieben wird der praktisch stattfindende Verlauf des Penetrationstests in allen Einzelheiten. Die Dokumentation beschreibt somit die aktiven Eindringversuche. Die angefertigte Dokumentation dient anschlie\u00dfend dem Auftraggeber als Basis um Gegenma\u00dfnahmen gegen Angriffe durch unbefugte Dritte zu treffen. Somit hat der Auftraggeber gegebenenfalls eine Anleitung wie das betroffene kritische IT-System oder Webanwendung zu sch\u00fctzen ist.<\/p>\n\n\n\n