Im Auftrag der Sicherheit: Einblicke in die Welt des Pentestings

CANCOM: Was genau versteht man unter Penetration Tests?

Philipp: Unter einem Penetration Test – kurz Pentest – versteht man einen kontrollierten, erlaubten Angriff auf ein Unternehmen, um Sicherheitslücken zu finden, bevor es echte Angreifer tun. Wir schlüpfen in die Rolle eines Hackers und versuchen, technische, organisatorische oder physische Schwachstellen aufzudecken. Das können Fehler in Software, unsichere Passwörter, veraltete Systeme oder leicht ausnutzbare Prozesse sein. Ein Pentest ist dabei immer klar definiert: Der Kunde legt genau fest, welche Bereiche geprüft werden dürfen. Am Ende geht es nicht darum, jemanden bloßzustellen, sondern darum, Unternehmen konkrete und umsetzbare Maßnahmen zu geben, mit denen sie ihre Sicherheit verbessern können.

CANCOM: Hast du dich in einem Bereich spezialisiert?

Philipp: Ja, das Berufsfeld ist sehr breit. Spezialisierungen sind daher sinnvoll. Meine Schwerpunkte sind OSINT, Web-Application Pentests, Social Engineering und physische Sicherheit.
Beim Social Engineering befasse ich mich mit Angriffen, die den Menschen ins Zentrum stellen. Wir prüfen beispielsweise, ob man über Telefonate, E-Mails oder Vor-Ort-Situationen an sensible Informationen gelangt. Wir beobachten, wie Mitarbeitende in bestimmten Situationen reagieren und ob sie bestehenden Prozessen vertrauen oder sie kritisch hinterfragen. Ein Beispiel: Wenn ich mit einem gefälschten Auftrag erscheine, sollte ein Mitarbeiter prüfen, ob dieser tatsächlich existiert – genau solche Beobachtungen helfen uns, Abläufe zu verbessern.
Im Bereich physische Sicherheit versuchen wir, durch Einbrüche Zugang zu Gebäuden zu bekommen: Lässt sich eine Schließanlage knacken? Gibt es ein gekipptes Fenster, das sich öffnen lässt? Diese Tests zeigen, wie gut ein Unternehmen im Ernstfall geschützt wäre.

CANCOM: Wie muss ich mir einen Social-Engineering-Einsatz genau vorstellen?

Philipp: Das hängt davon ab, ob wir online oder vor Ort testen.
Online, zum Beispiel beim Phishing, spielen Emotionen eine große Rolle. Ich entwickle gerne Kampagnen, die zur Saison passen. Zum Start der Grillsaison haben wir eine Phishing-Kampagne durchgeführt, bei der wir eine E-Mail verschickten, die so aussah, als wäre sie von der internen Marketingabteilung des Unternehmens gekommen. Das Ganze war eine Einladung zu einem exklusiven Grill-Seminar mit einem externen Eventpartner und begrenzten Plätzen. Für Interessierte war eine schnelle Anmeldung also erforderlich. Gerade bei der Komponente Zeitdruck schauen sich viele eine E-Mail nicht richtig an, klicken auf einen Link und tappen in die Falle.
Beim Social Engineering vor Ort geht es darum, Menschen subtil zu beeinflussen. Früher war es häufig so, dass man Menschen verunsicherte, in eine unangenehme Situation brachte und ihnen dann einen Ausweg anbot. Mittlerweile sind viele auf dieses Szenario gut geschult und fallen darauf nicht mehr rein. Heute ist man mit Freundlichkeit und Humor deutlich erfolgreicher. Ich starte Small Talks, bringe die Leute zum Lachen, schaffe ein gutes Gefühl und bitte dann um kleine Hilfen, z. B. eine Tür zu einem Raum aufzuschließen. Eine einfache, aber effektive Methode ist es auch, sich eine Tür in der Nähe eines Aschenbechers zu suchen. Ich stelle mich zu den Rauchenden, komme ins Gespräch, gebe mich – je nach Situation – als neuer Mitarbeiter oder Betriebselektriker aus, und wenn alle reingehen, gehe ich einfach mit. Das funktioniert sehr gut.

CANCOM: Wie sieht es bei einem Einbruch aus? Wie gehst du da vor?

Philipp: Vor jedem Einsatz erhalten wir vom Kunden einen klaren Auftrag z. B. ins Büro gelangen, Fotos machen, sensible Daten entwenden. Der Kunde legt auch fest, welche Bereiche für uns erlaubt sind und welche tabu bleiben, um Gefahrenbereiche zu vermeiden. Zur Vorbereitung auf den Einbruch erkunden wir zunächst das Gelände, oft über Google Maps oder Street View oder lassen auch mal eine Drohne fliegen. Gibt es Schichtwechsel? Schwachstellen am Zaun? Beim eigentlichen Einbruch dürfen wir nichts beschädigen. In der Regel sind wir nachts unterwegs, versuchen unbemerkt auf das Gelände zu gelangen und anschließend das Türschloss zum Gebäude zu öffnen. Sobald wir unser Ziel erreicht haben, ist der „Spaß“ vorbei, wir müssen gehen und beginnen mit der Ausfertigung des Berichts.

CANCOM: Weiß jemand darüber Bescheid, dass ihr einen Einbruch begehen werdet, und wurdest du schon mal erwischt?

Philipp: Wir bekommen vom Kunden immer eine Angriffserlaubnis – eine Permission to Attack. Zusätzlich sind einige wenige Personen im Unternehmen eingeweiht. Falls wir von der Polizei oder anderen erwischt werden, fungieren sie als Ansprechpartner. Dann können wir nur hoffen, dass dieser Ansprechpartner sein Handy nachts nicht im Flugmodus hat, damit die Polizei die Genehmigung verifizieren kann.
Ich selbst wurde noch nicht erwischt, aber Kollegen von mir schon. Einmal bemerkte ein Anwohner verdächtige Aktivitäten und rief die Polizei. In dem Moment ist klar: Der Einbruch ist gescheitert, selbst wenn die Person nicht zum Unternehmen gehört. Meistens erteilt uns der Kunde anschließend erneut die Erlaubnis für einen weiteren Einbruchsversuch.

CANCOM: Gab es überraschende oder skurrile Situationen bei deinen Tests?

Philipp: Ja, einige Situationen sind mir sehr lebhaft im Gedächtnis geblieben.
Einmal waren wir bei einem Unternehmen im Einsatz, bei dem wir bereits beim ersten Social-Engineering-Versuch erwischt worden waren. Beim zweiten Anlauf – an einem anderen Ort – zeigte die Person, die wir diesmal ansprachen, plötzlich die gleichen skeptischen Verhaltensweisen wie der Mitarbeiter vom ersten Versuch. Als sie meinte, sie müsse kurz etwas nachsehen, schaute ich meinen Kollegen an und sagte: „Ich glaube, wir fliegen schon wieder auf.“ Wir standen förmlich bereit, uns geschlagen zu geben. Doch dann kam sie strahlend zurück, hielt triumphierend einen Schlüssel hoch und sagte: „Ich habe ihn gefunden!“ Keine Spur von Misstrauen mehr. Sie öffnete uns bereitwillig genau den Bereich, in den wir gelangen wollten.
Ein anderes Audit verlief ähnlich kurios. Wir standen vor einer verschlossenen Tür, die wir mittels Social Engineering überwinden wollten, als jemand im benachbarten Raum uns ansprach und fragte, wohin wir müssten. Was wir nicht wussten: Er gehörte zu den wenigen Eingeweihten, die über unseren Einsatz informiert waren – allerdings ohne Namen oder Aussehen von uns zu kennen. Ich erklärte, wir müssten den Netzwerkdrucker überprüfen. Er zögerte keine Sekunde und schloss uns die Tür auf. Im Inneren erreichten wir problemlos unser Ziel. Auf dem Rückweg fiel uns der nahegelegene Serverraum ins Auge – ebenfalls abgeschlossen. Mein Kollege sah mich an: „Meinst du, wir können ihn nochmal fragen?“ Wir versuchten es einfach und tatsächlich: Der Mitarbeiter kam sofort mit, schloss die Tür auf und sagte dabei völlig ernst: „Die muss immer abgeschlossen bleiben, damit keine Unbefugten reinkommen.“ Wir mussten uns regelrecht zusammenreißen, um nicht loszulachen. Ich erwiderte trocken: „Oh, das ist aber gut, dass Sie so darauf achten.“ Kaum war er weg, standen wir in einem Serverraum, in dem ein echter Angreifer riesigen Schaden hätte anrichten können.

CANCOM: Und bei einem Einbruch? Was ist dir da schon Skurriles passiert?

Philipp: Es gab ein Erlebnis, das fast schon filmreif war: ein nächtlicher Einsatz auf einem dunklen Industriegelände, auf dem zahlreiche Mitarbeitende der Nachtschicht unterwegs waren. Laut Vorschrift hätten wir Schutzkleidung wie Helme und Westen tragen müssen. Wir hatten nichts davon an. Das hätte auffallen müssen und uns hätte jemand anhalten und fragen müssen, wer wir sind. Stattdessen marschierten wir mit unseren Rucksäcken voller Einbruchswerkzeug an einem Büro vorbei und grüßten fünf Mitarbeitende, die gerade Kaffeepause machten. Wir erhielten nicht einmal einen flüchtigen Blick. Hinter dem Gebäude fanden wir schließlich eine leicht versenkt liegende Tür, die wir knacken wollten. Ich zückte meine stufenlos verstellbare Taschenlampe, drehte sie erst ganz leicht auf und erhöhte die Helligkeit immer weiter, bis der gesamte Hinterhof hell erleuchtet war. Es war, als wäre plötzlich Tag geworden. Niemand reagierte. Kein Fenster öffnete sich, kein Ruf, keine Frage. Wir konnten ungestört weitermachen und schließlich erfolgreich einbrechen.

CANCOM: Bei all den Einsätzen, Überraschungsmomenten und manchmal skurrilen Situationen – was macht für dich persönlich die besondere Faszination am Pentesting aus?

Philipp: All diese Erlebnisse – die Überraschungsmomente, die skurrilen Situationen und die Einsätze, bei denen man nie so ganz weiß, was hinter der nächsten Tür passiert – machen meinen Beruf unglaublich spannend. Kein Tag ist wie der andere. Mal sitze ich stundenlang vor Systemen und suche nach einem Weg eine Schwachstelle auszunutzen. Dann wieder stehe ich mitten in der Nacht auf einem Industriegelände, schleiche über Dächer oder unterhalte mich mit wildfremden Menschen, um in gesperrte Bereiche zu gelangen.
Was all diese Erfahrungen gemeinsam haben, ist der Moment, in dem sich zeigt, wie gut Sicherheitsmechanismen wirklich funktionieren – oder eben nicht. Manchmal ist es frustrierend, manchmal absurd komisch und oft einfach nur faszinierend. Aber am Ende geht es immer darum, Unternehmen einen echten Mehrwert zu liefern: Wir decken auf, wo Angreifer leichtes Spiel hätten, und sorgen dafür, dass genau das nicht passiert.
Diese Mischung aus Technik und echter Action macht für mich die Faszination des Pentestings aus. Und sie ist auch der Grund, warum ich jedem, der neugierig, hartnäckig und lernfreudig ist, diesen Beruf nur ans Herz legen kann,  denn langweilig wird er garantiert nie.

CANCOM: Vielen Dank für die unglaublich spannenden Einblicke. Ein zweiter Teil des Interviews folgt bald, in dem uns Philipp erklärt, wie man Pentester wird, was typische Schwachstellen in Unternehmen sind und wie Pentesting der Zukunft aussehen wird. Bleibt gespannt!