Pentest Ablauf: Wie läuft ein Penetrationstest wirklich ab? (2026)

Was ist ein Penetrationstest – und warum ist der Ablauf entscheidend?

Ein Penetrationstest – kurz Pentest – ist ein autorisierter, simulierter Angriff auf Ihre IT-Infrastruktur. Ziel ist es, Schwachstellen zu finden, bevor es ein echter Angreifer tut. Doch nicht der Tool-Einsatz macht einen guten Pentest aus – sondern der strukturierte Ablauf. Wer die Phasen kennt, weiß, was er bekommt, kann den Anbieter bewerten und versteht den Bericht. Dieser Artikel erklärt den vollständigen Pentest-Ablauf Schritt für Schritt.

Die 8 Phasen des Penetrationstest-Ablaufs

• •Phase 1 – Auftragsklärung & Scope-Definition: Gemeinsame Festlegung von Testgrenzen, Zielsystemen, Ansprechpartnern und Zeitfenster. Alles schriftlich im Pentest-Vertrag fixiert.
• •Phase 2 – Reconnaissance (Aufklärung): Passive und aktive Informationssammlung über das Ziel – OSINT, DNS-Analyse, Subdomains, öffentliche Leaks, Mitarbeiterdaten.
• •Phase 3 – Scanning & Enumeration: Systematisches Erfassen offener Ports, Dienste, Betriebssysteme und Softwareversionen mit manueller Verifizierung jedes Befundes.
• •Phase 4 – Schwachstellenanalyse: Identifikation ausnutzbarer Schwachstellen – CVEs, Fehlkonfigurationen, Business Logic Flaws, schwache Authentifizierung.
• •Phase 5 – Exploitation (Aktive Ausnutzung): Manueller Versuch, identifizierte Schwachstellen auszunutzen und nachzuweisen, dass sie real angreifbar sind – kein False-Positive-Reporting.
• •Phase 6 – Post-Exploitation & Lateral Movement: Nach erstem Zugriff: Privilege Escalation, Netzwerk-Pivoting, Domain-Admin-Versuch, Persistenz – wie weit kommt ein echter Angreifer?

Wie lange dauert ein Penetrationstest?

Die Dauer eines Pentests hängt stark vom Scope ab. Als grobe Orientierung gelten folgende Zeitrahmen – die aktive Testphase ist dabei nur ein Teil des Gesamtaufwands.

Vorbereitung: Was Sie vor dem Pentest tun sollten

Ein gut vorbereitetes Unternehmen bekommt mehr aus dem Pentest heraus. Diese Checkliste hilft Ihnen, den Ablauf optimal zu gestalten – und Ihre Infrastruktur gut aufgestellt in den Test zu schicken.

Pentest beauftragen: Was jetzt zu tun ist

Wenn Sie den Ablauf eines Penetrationstests verstehen, können Sie gezielt den richtigen Anbieter auswählen, realistische Erwartungen setzen und den Test optimal vorbereiten. SODU Secure begleitet Sie durch alle 8 Phasen – transparent, strukturiert und mit nachvollziehbaren Ergebnissen.

Berliner KMUs können sich noch für unser kostenloses Pilotprogramm 2026 bewerben: vollständiger Pentest im Wert von bis zu 15.000 € kostenfrei. Nur 2 Plätze verfügbar. Jetzt bewerben unter sodusecure.com/berlin-kmu-pilot.