Penetrationstest Gröpper IT: Erstklassig auf allen Ebenen!

Wie sicher sind die Systeme wirklich, die wir unseren Kunden empfehlen? Diese Frage wollten wir nicht theoretisch beantworten, sondern unter realistischen Bedingungen überprüfen lassen. Das Ergebnis eines von uns beauftragten Penetrationstests ist eindeutig: Die von uns eingesetzten und empfohlenen Sicherheitsmaßnahmen haben auch dem Zugriff eines externen, spezialisierten Pentest-Teams standgehalten.

Cybersecurity ist für uns kein Thema, über das man nur spricht. Als Systemhaus für kleine und mittelständische Unternehmen in Ostwestfalen beraten wir unsere Kunden täglich zu sicheren IT-Strukturen, modernen Schutzmechanismen und praxistauglichen Sicherheitskonzepten. Dabei empfehlen wir nur Lösungen, von deren Qualität wir überzeugt sind, weil wir sie ausführlich geprüft haben oder selbst im eigenen Unternehmen einsetzen.

Doch Vertrauen allein reicht nicht aus. Deshalb haben wir unsere Systeme einer unabhängigen Prüfung unterzogen und ein realitätsnahes Angriffsszenario simulieren lassen. Das Ergebnis zeigt: Wir leben, was wir empfehlen.

Warum wir unsere eigenen Systeme testen lassen

Viele Unternehmen beschäftigen sich mit IT-Sicherheit erst dann intensiver, wenn bereits etwas passiert ist: Ein Notebook wird gestohlen, ein Benutzerkonto wird übernommen, wichtige Dateien werden verschlüsselt oder vertrauliche Informationen gelangen nach außen. Dabei ist es gerade im Bereich der Cybersecurity entscheidend, nicht erst auf einen Vorfall zu reagieren, sondern mögliche Angriffspunkte frühzeitig zu erkennen und zu schließen.

Für uns als IT-Systemhaus gilt das in besonderem Maß. Unsere Kunden verlassen sich darauf, dass unsere Empfehlungen im Alltag funktionieren und nicht nur auf dem Papier überzeugend klingen. Deshalb wollten wir wissen:

Halten unsere Sicherheitsmaßnahmen auch einem gezielten externen Angriffsversuch stand?
Sind die eingesetzten Verschlüsselungs- und Authentifizierungsverfahren ausreichend wirksam?
Können Unbefugte trotz vorhandener Schutzmechanismen auf Daten oder Systeme zugreifen?
Wie gut ist unsere Netzwerkarchitektur gegen einen Angriff von außen oder über ein kompromittiertes Gerät geschützt?
Wo bestehen möglicherweise Schwachstellen, die in einer normalen Alltagssituation unentdeckt bleiben würden?

Die Antworten auf diese Fragen wollten wir nicht selbst geben. Wir haben ein spezialisiertes externes Pentest-Team damit beauftragt, unsere Systeme unter realistischen Bedingungen zu untersuchen.

Die Bedrohungslage betrifft längst nicht mehr nur Großunternehmen

Cyberangriffe werden häufig mit internationalen Konzernen, großen Behörden oder besonders lukrativen Zielen in Verbindung gebracht. Für kleinere und mittelständische Unternehmen kann diese Einschätzung jedoch gefährlich sein. Denn viele Angriffe erfolgen nicht, weil ein Unternehmen besonders bekannt ist, sondern weil seine Systeme erreichbar und möglicherweise unzureichend geschützt sind.

Hinzu kommt: Kleine Unternehmen verfügen oftmals über weniger personelle und finanzielle Ressourcen für IT-Sicherheit. Sicherheitsmaßnahmen werden teilweise unvollständig umgesetzt, veraltete Systeme bleiben länger im Einsatz oder Zugriffsrechte werden über die Zeit großzügiger vergeben, als es eigentlich erforderlich wäre. Auch fehlende Notfallpläne und unzureichend geschulte Mitarbeitende können das Risiko erhöhen.

Ein Angriff muss dabei nicht immer mit einer hochkomplexen technischen Schwachstelle beginnen. Oft reicht ein verlorenes oder gestohlenes Gerät, ein unsicheres Passwort, eine unbedachte Freigabe oder ein bereits kompromittiertes Benutzerkonto aus, um einen Angriff einzuleiten.

Eine professionelle Sicherheitsstrategie muss deshalb mehrere Ebenen gleichzeitig berücksichtigen: Geräte, Benutzerkonten, Daten, Netzwerke, Anwendungen und organisatorische Abläufe. Genau dieses Prinzip der mehrstufigen Absicherung stand auch im Mittelpunkt unseres Tests.

Was ist ein Penetrationstest?

Ein Penetrationstestm kurz Pentest, ist eine kontrollierte Prüfung der IT-Sicherheit. Dabei versucht ein autorisiertes, externes Team, die Systeme eines Unternehmens unter vorher festgelegten Bedingungen anzugreifen. Ziel ist es, Schwachstellen aufzudecken, mögliche Angriffspfade zu verstehen und die Wirksamkeit bestehender Schutzmaßnahmen zu überprüfen.

Ein Pentest ist kein unkontrollierter Angriff. Vor Beginn werden unter anderem die Ziele, der erlaubte Umfang, die Testmethoden, die Zeitfenster und die Abbruchkriterien verbindlich vereinbart. Dadurch lässt sich die Prüfung realistisch durchführen, ohne den laufenden Betrieb unnötig zu gefährden.

Je nach Auftrag können beispielsweise folgende Bereiche untersucht werden:

Endgeräte wie Notebooks und Desktop-PCs
Verschlüsselung und Zugriffsschutz
Benutzerkonten und Authentifizierungsverfahren
Netzwerkarchitektur und Segmentierung
öffentlich erreichbare Dienste
Anwendungen und Schnittstellen
Berechtigungs- und Freigabekonzepte
Schutz vor der Weitergabe oder dem Diebstahl sensibler Daten

Der große Vorteil eines Pentests liegt darin, dass nicht nur einzelne Einstellungen kontrolliert werden. Stattdessen wird die Perspektive eines tatsächlichen Angreifers eingenommen: Welche Wege wären denkbar? Welche Schutzschicht müsste überwunden werden? Und was wäre im schlimmsten Fall erreichbar, wenn ein erster Zugriff gelingt?

White-Hat-Hacker: Angriff mit ausdrücklicher Erlaubnis

Bei der Durchführung unseres Tests kamen sogenannte White-Hat-Hacker zum Einsatz. Der Begriff beschreibt Sicherheitsexperten, die ihre technischen Kenntnisse dazu nutzen, Sicherheitslücken im Auftrag und mit ausdrücklicher Zustimmung eines Unternehmens aufzudecken.

White-Hat-Hacker arbeiten also nicht gegen ein Unternehmen, sondern für dessen Sicherheit. Sie analysieren Systeme, suchen nach Schwachstellen und versuchen, innerhalb des vereinbarten Rahmens, Angriffssituationen nachzustellen. Die Ergebnisse werden anschließend dokumentiert und dienen dazu, Schutzmaßnahmen weiterzuentwickeln.

Davon zu unterscheiden sind Black-Hat-Hacker. Sie handeln ohne Einwilligung und verfolgen in der Regel kriminelle Ziele, etwa den Diebstahl von Daten, die Erpressung eines Unternehmens oder die Sabotage von Systemen. Die technischen Methoden können sich teilweise ähneln. Der entscheidende Unterschied liegt jedoch in der Autorisierung und im Ziel: Während White-Hat-Hacker Schwachstellen verantwortungsvoll melden und zur Verbesserung der Sicherheit beitragen, versuchen Black-Hat-Hacker, daraus persönlichen oder finanziellen Nutzen zu ziehen.

Unser Testszenario: Ein gestohlenes Firmen-Notebook

Für unseren Pentest haben wir bewusst ein Szenario gewählt, das im Unternehmensalltag jederzeit eintreten kann: Ein Firmen-Notebook gerät außerhalb der Geschäftsräume in fremde Hände.

Mögliche Situationen gibt es viele:

Ein Notebook wird aus dem Fahrzeug der Geschäftsführung gestohlen.
Eine Mitarbeiterin oder ein Mitarbeiter lässt das Gerät in der Bahn oder im Zug liegen.
Ein Auszubildender verliert das Notebook auf dem Weg zur Berufsschule.
Ein Gerät wird aus einem Hotelzimmer, einem Besprechungsraum oder einem Homeoffice entwendet.

In all diesen Fällen geht es nicht nur um den materiellen Verlust des Gerätes. Auf einem Firmen-Notebook können sich geschäftliche Dokumente, E-Mails, Zugangsdaten, Kundendaten, Projektunterlagen oder interne Kommunikationsinhalte befinden. Gerät ein solches Notebook in die Hände Unbefugter, kann daraus ein erheblicher Sicherheitsvorfall entstehen.

Unser Ziel war deshalb klar definiert: Das externe Pentest-Team sollte versuchen, sich schrittweise Zugriff auf die verschiedenen Sicherheitsebenen des Gerätes zu verschaffen. Im Mittelpunkt stand die Frage, ob es trotz der eingesetzten Schutzmaßnahmen möglich wäre, auf gespeicherte Daten zuzugreifen, die Verschlüsselung zu umgehen oder über das Gerät weitere Bereiche unserer IT-Infrastruktur zu erreichen.

Dabei sollte kein theoretisches Szenario untersucht werden, das mit dem normalen Arbeitsalltag wenig zu tun hat. Stattdessen wollten wir eine Situation abbilden, die viele Unternehmen kennen und deren Folgen häufig unterschätzt werden.

Der Ablauf im Detail

Damit der Versuch nachvollziehbar und realitätsnah blieb, haben wir für die einzelnen Testabschnitte Zeitvorgaben festgelegt. Das Pentest-Team erhielt zunächst Zugriff auf die jeweils erste definierte Testebene und sollte innerhalb des vereinbarten Zeitfensters versuchen, die dort vorhandenen Schutzmaßnahmen zu überwinden.

Wurde das Ziel nicht erreicht, wurde die nächste Teststufe freigegeben. So konnte Schritt für Schritt geprüft werden, wie sich die einzelnen Sicherheitsmechanismen gegenseitig ergänzen und ob ein Angreifer von einer Ebene zur nächsten gelangen könnte.

Dieses Vorgehen entspricht dem Grundgedanken einer mehrschichtigen Sicherheitsarchitektur: Nicht eine einzelne Maßnahme soll sämtliche Angriffe verhindern. Entscheidend ist vielmehr, dass mehrere Schutzebenen ineinandergreifen. Sollte ein Angreifer eine Hürde überwinden, muss die nächste Ebene den Zugriff weiterhin begrenzen oder vollständig verhindern.

Im Fokus standen unter anderem:

die Verschlüsselung des Gerätes mit BitLocker
die Absicherung von Benutzerkonten
Mehr-Faktor-Authentifizierung
der Schutz vor unberechtigtem Zugriff auf lokale Daten
die Konfiguration des Gerätes und der eingesetzten Dienste
die Struktur unserer Netzwerkarchitektur
die Trennung einzelner Bereiche und Zugriffsebenen
die Frage, ob ein kompromittiertes Gerät als Ausgangspunkt für weitere Angriffe dienen könnte

Die Testbedingungen wurden dabei so gewählt, dass sie einen echten Angriff möglichst realistisch nachbilden, gleichzeitig aber kontrolliert und sicher durchgeführt werden konnten.

Das Ergebnis

Das Ergebnis des Pentests ist für uns besonders erfreulich: Trotz hartnäckiger und professioneller Versuche konnte das getestete Gerät auf keiner der vereinbarten Ebenen erfolgreich angegriffen werden.

Ein Zugriff auf die gespeicherten Daten war nicht möglich. Die eingesetzten Verschlüsselungsdienste hielten den Angriffen stand. Auch die weiteren Sicherheitsmechanismen konnten nicht überwunden werden. Zu keinem Zeitpunkt bestand im Rahmen des geprüften Szenarios die Gefahr, dass firmeninterne Unterlagen ausgespäht oder entwendet werden konnten.

Darüber hinaus zeigte der Test, dass auch unsere Netzwerkarchitektur ihren Zweck erfüllt. Die einzelnen Schutz- und Zugriffsebenen verhinderten, dass das getestete Gerät als Sprungbrett in weitere Bereiche der IT-Infrastruktur genutzt werden konnte.

Das Ergebnis lässt sich auf einen einfachen Nenner bringen: Die von uns eingesetzten und empfohlenen Sicherheitsmaßnahmen haben den realitätsnahen Angriffssimulationen standgehalten.

Was dieses Ergebnis für unsere Kunden bedeutet

Ein bestandener Pentest ist keine Garantie dafür, dass ein Unternehmen unter allen denkbaren Umständen unangreifbar ist. Kein System kann absolute Sicherheit versprechen, insbesondere nicht in einer sich ständig verändernden Bedrohungslage. Neue Schwachstellen, veränderte Angriffsmethoden und menschliche Fehler müssen dauerhaft berücksichtigt werden.

Ein erfolgreich bestandener Test zeigt jedoch, dass die geprüften Schutzmaßnahmen im definierten Szenario wirksam ineinandergreifen. Genau diese Aussage ist für uns und unsere Kunden wichtig: Sicherheitskonzepte müssen nicht nur geplant, sondern praktisch überprüft werden. Und sie müssen zu den tatsächlichen Anforderungen eines Unternehmens passen.

Für kleine und mittelständische Unternehmen bedeutet das vor allem, mit einem soliden Fundament zu beginnen. Dazu gehören beispielsweise:

eine konsequente Geräteverschlüsselung
sichere und individuelle Passwörter
eine aktivierte Mehr-Faktor-Authentifizierung
klar geregelte Benutzer- und Administratorrechte
regelmäßige Updates und Sicherheits-Patches
eine sinnvoll strukturierte Netzwerkarchitektur
sichere Datensicherungen und getestete Wiederherstellungsverfahren
Sensibilisierung der Mitarbeitenden
ein Notfallplan für verlorene Geräte und erkannte Sicherheitsvorfälle
regelmäßige Überprüfung und Weiterentwicklung der Maßnahmen

Welche Lösungen im Einzelfall sinnvoll sind, hängt von der Größe des Unternehmens, den eingesetzten Anwendungen, den Arbeitsplätzen, den gesetzlichen Anforderungen und dem Schutzbedarf der Daten ab. Eine Sicherheitslösung von der Stange wird diesen unterschiedlichen Rahmenbedingungen nicht immer gerecht.

Sicherheit muss mit dem Unternehmen wachsen

IT-Sicherheit ist kein Projekt, das irgendwann vollständig abgeschlossen ist. Unternehmen verändern sich: Neue Mitarbeitende kommen hinzu, Arbeitsplätze werden ins Homeoffice verlagert, Anwendungen werden in die Cloud ausgelagert, Niederlassungen entstehen oder Geschäftsprozesse werden digitalisiert.

In der Ausgabe 03/2026 des Ostwestfalen-Lippe Managers haben wir gezielte Maßnahmen bei unserem Kunden horatec aufgezeigt. Den vollständigen Artikel finden Sie hier.

Mit jeder Veränderung können neue Anforderungen und neue Risiken entstehen. Deshalb ist es wichtig, Sicherheitsmaßnahmen so auszuwählen, dass sie nicht nur heute funktionieren, sondern auch später erweitert und angepasst werden können.

Bei unseren Empfehlungen achten wir daher nicht allein auf den Funktionsumfang einzelner Produkte. Ebenso wichtig sind die Alltagstauglichkeit, die Administrierbarkeit, die Integrationsfähigkeit und die Möglichkeit, den Schutz schrittweise auszubauen. Eine Maßnahme ist nur dann nachhaltig, wenn sie im Unternehmen zuverlässig eingesetzt, überwacht und bei Bedarf weiterentwickelt werden kann.

Unser eigener Pentest hat uns dabei eine wertvolle externe Perspektive gegeben. Er hat nicht nur bestätigt, dass die eingesetzten Systeme im geprüften Szenario wirksam sind. Er zeigt auch, wie wichtig es ist, Sicherheitskonzepte regelmäßig aus der Sicht eines Angreifers zu hinterfragen.

Vom guten Gefühl zur überprüften Sicherheit

Viele Unternehmen haben das Gefühl, dass ihre IT „schon irgendwie geschützt“ ist. Vielleicht werden Virenscanner eingesetzt, die Geräte sind passwortgeschützt und wichtige Daten liegen in der Cloud. Das sind sinnvolle Bausteine, sie beantworten jedoch nicht automatisch die entscheidende Frage: Was passiert, wenn ein Gerät verloren geht oder gestohlen wird?

Ein professioneller Pentest macht aus einem guten Gefühl eine belastbare Einschätzung. Er zeigt, welche Schutzmaßnahmen tatsächlich greifen, wie sich einzelne Sicherheitsmechanismen ergänzen und ob ein Angreifer einen Weg durch die vorhandenen Ebenen finden könnte.

Genau deshalb haben wir uns dafür entschieden, unsere eigenen Systeme testen zu lassen. Wir wollen unseren Kunden nicht nur Produkte und Dienstleistungen empfehlen, sondern nachvollziehbar zeigen, dass wir die Anforderungen an moderne Cybersecurity auch selbst ernst nehmen.

Wussten Sie, dass ein Penetrationstest für Unternehmen, die unter NIS2 fallen Pflicht ist? Hier lesen Sie die Details dazu.

Unser Fazit: Wir empfehlen, was wir selbst einsetzen und überprüfen

Das von uns simulierte Szenario ist keineswegs außergewöhnlich. Gestohlene oder verlorene Firmen-Notebooks kommen in Unternehmen regelmäßig vor. Entscheidend ist dann, ob ein Unbefugter mit dem Gerät auch Zugriff auf geschäftskritische Daten erhält, oder ob die Sicherheitsarchitektur diesen Zugriff wirksam verhindert.

Unser Pentest hat gezeigt: Die von uns eingesetzten und auch bei unseren Kunden empfohlenen Systeme konnten in einer kontrollierten Echtzeit-Simulation nicht überwunden werden. Weder die geprüfte Geräteverschlüsselung noch die weiteren Authentifizierungs- und Netzwerkmechanismen ließen einen erfolgreichen Zugriff auf die geschützten Informationen zu.

Damit wurde bestätigt, was für uns bei jeder Sicherheitsberatung entscheidend ist: Wir empfehlen keine Lösungen, die wir nicht selbst vertreten können. Wir testen, hinterfragen und verbessern unsere Systeme kontinuierlich, und setzen dabei auf Schutzmaßnahmen, die zu den individuellen Anforderungen kleiner und mittelständischer Unternehmen passen.

Cybersecurity beginnt mit der richtigen Strategie. Ihre Wirksamkeit zeigt sich jedoch erst dann, wenn sie auch einem echten Angriff standhält.

Hinweis: Der Pentest bezog sich auf das beschriebene Szenario, den vereinbarten Testumfang und die dabei festgelegten Bedingungen. Er ersetzt keine regelmäßige Sicherheitsüberprüfung, sondern ist ein wichtiger Bestandteil eines kontinuierlichen Sicherheitsprozesses.