Interner vs. externer Penetrationstest: Welchen Angreifer simulierst du?

Was ist der Unterschied?

Der Unterschied ist, wo der Angreifer am Anfang steht. Ein externer Penetrationstest beginnt im Internet, mit deinem Firmennamen und sonst nichts, und testet alles, was ein Außenstehender erreichen kann: Webanwendungen, APIs, VPN- und Mail-Gateways, Remote-Desktop-Dienste, Cloud-Tenants, DNS und die Dinge, von denen du vergessen hast, dass du sie exponierst. Ein interner Penetrationstest beginnt mit einem Fuß in der Tür: einem Netzwerkkabel im Besprechungsraum, einem Standard-Nutzerkonto oder einem Laptop, der als kompromittiert angenommen wird. Von dort lautet die Frage, wie weit der Angreifer kommt, wie schnell, und ob es jemand merkt.

Die beiden testen unterschiedliche Fehlerbilder. Externe Tests finden die offenen Türen: eine veraltete VPN-Appliance, ein vergessenes Testsystem, eine API ohne Authentifizierung, ein schwaches Passwort an einem öffentlichen Login. Interne Tests finden, was nach der offenen Tür passiert: flache Netze, Altprotokolle, die Passwort-Hashes herausgeben, Dienstkonten mit Domain-Admin-Rechten, Freigaben voller Zugangsdaten und einen Weg vom Büronetz in die Produktion oder in die Halle. Weil die meisten echten Vorfälle mit einem gephishten Nutzer beginnen, entscheidet die interne Sicht, ob ein Vorfall ein Ärgernis oder eine Katastrophe wird.

Nebeneinander

	Externer Pentest	Interner Pentest
Was es abdeckt	Die aus dem Internet sichtbare Angriffsfläche: Web, API, Mail, VPN, Fernzugang, Cloud-Dienste, exponierte Geräte	Netze, Active Directory oder Identity Provider, Server, Freigaben, Segmentierung, Client-Härtung, laterale Bewegung, Wege zu den Kronjuwelen und zur OT
Was es übersieht	Alles hinter der Anmeldung und innerhalb des Perimeters; was ein gephishter Nutzer kann	Schwächen in öffentlichen Diensten, wenn sie außerhalb des Scopes liegen; den ersten Schritt des Angriffs
Wer macht es	Tester von eigener Infrastruktur aus, mit schriftlicher Erlaubnis und Notfallkontakt	Tester vor Ort oder per Appliance oder VPN, mit Standard-Nutzerkonto und vereinbarten Grenzen, oft mit informiertem IT-Team
Dauer	Drei bis zehn Tage je nach Zahl der Hosts und Anwendungen	Fünf bis fünfzehn Tage je nach Netzgröße und Zahl der Segmente
Typische Kosten	5.000 bis 15.000 Euro für die externe Landschaft eines mittelständischen Unternehmens; eine einzelne Webanwendung 6.000 bis 15.000; typische Spannen für Deutschland und die EU	8.000 bis 25.000 Euro für ein mittelständisches Netz; OT-Segmente 12.000 bis 25.000; kein Angebot
Häufigkeit	Jährlich und nach Änderungen an exponierten Systemen	Jährlich und nach Änderungen an der Identitätsinfrastruktur, Fusionen oder neuen Standorten
Verlangt von	PCI DSS Anforderung 11.4 (extern mindestens alle 12 Monate), ISO 27001 und TISAX als Test-Control, Fragebögen von Cyber-Versicherern, NIS2 Art. 21 in der Praxis	PCI DSS Anforderung 11.4 (intern mindestens alle 12 Monate), ISO 27001 und TISAX, NIS2 Art. 21 für wesentliche und wichtige Einrichtungen in der Praxis, KRITIS-Prüfungen
Ergebnis	Bericht über exponierte Dienste und Findings mit Nachweis und Fixes; Liste der Hosts und Anwendungen im Scope	Bericht mit dem Angriffspfad Schritt für Schritt, Zeit bis zum Domain-Admin, Ergebnis der Segmentierung, Beobachtungen zur Erkennung und priorisierten Fixes

Nimm einen externen Pentest, wenn

• du noch nie getestet hast und Logins, APIs oder Fernzugang exponierst. Das sind die Systeme, die Angreifer täglich scannen, und ein externer Test ist der schnellste Weg, die zu finden, die schon in Schwierigkeiten sind.
• du eine öffentliche Anwendung launchst oder wesentlich änderst oder zu einem neuen Cloud- oder Identity-Provider wechselst.
• ein Kunde, ein Versicherer oder PCI DSS ausdrücklich einen externen Test verlangt.
• dein internes Netz klein, überwiegend cloudbasiert und bereits segmentiert ist, sodass Perimeter und Identity Provider die Orte sind, an denen das Risiko sitzt.

Nimm einen internen Pentest, wenn

• du wissen willst, was dich ein einziger gephishter Mitarbeiter oder der Laptop eines Dienstleisters kosten würde. Der externe Test kann das nicht beantworten.
• du ein OT- oder Anlagennetz betreibst, das mit dem Büronetz verbunden ist, oder Daten hältst, deren Verlust das Unternehmen beendet. Der Test zeigt, ob das Büro einen Hop von der Produktionslinie entfernt ist.
• du ein über fünfzehn Jahre gewachsenes Active Directory hast, viele Dienstkonten und ein flaches Netz. Interne Tests erreichen in solchen Umgebungen in Tagen den Domain-Admin, und das ist das Finding, für das sich das Geld lohnt.
• du Erkennung, EDR oder ein SOC aufgebaut hast und wissen willst, ob es laterale Bewegung sieht.

Für Organisationen mit reifer externer Sicherheit und altem internen Netz ist der interne Test die bessere Wahl, auch wenn er mehr kostet, weil dort der Schaden entsteht.

Beides zusammen

Die meisten Unternehmen unter NIS2 oder PCI DSS und jedes Unternehmen mit OT-Netz brauchen beides. Ein praktischer Rhythmus ist der Wechsel: extern im Frühjahr, intern im Herbst, jeweils jährlich, und der jeweils andere zusätzlich nach einer großen Änderung. Ein “Assumed Breach”-Szenario verbindet beide: Die Tester starten mit dem Fuß in der Tür, den ein erfolgreicher Phishing-Angriff liefern würde, und arbeiten sich zu den Kronjuwelen vor, was das interne Netz mit realistischem Startpunkt testet. Gib den Testern die Ergebnisse des letzten Tests und den Netzplan; Erkundung willst du nicht zweimal bezahlen.

Zyberum macht externe und interne Penetrationstests für IT- und OT-Netze und testet per angeschlossener Appliance oder vor Ort. Wir halten uns an vereinbarte Grenzen, testen produktive OT nie ohne Plan für sicheres Testen und arbeiten nur mit schriftlicher Erlaubnis. Für OT-Umgebungen lies vor der Scope-Entscheidung, wie ein Pentest ohne Stillstand abläuft.