Pentesting bei CANCOM: Spezialwissen, Teamwork und echte Wirkung

CANCOM: Du hast im ersten Teil des Interviews schon über deine Einsätze als Pentester gesprochen. Wie wird man eigentlich Pentester?

Philipp: In Deutschland gibt es keine klassische Ausbildung zum Pentester. Ein IT-Sicherheitsstudium ist breit angelegt, passt aber nur teilweise zu dem, was man später im Pentesting braucht. Sehr gute Grundlagen bieten die Ausbildungen zum Fachinformatiker für Anwendungsentwicklung oder zur Systemintegration. Für den Einstieg eignen sich Lernplattformen wie TryHackMe – dort werden wichtige Basiskenntnisse praxisnah vermittelt, mit Challenges und nachvollziehbarem Lernfortschritt. Danach empfehle ich Hack The Box: ähnlich aufgebaut, aber anspruchsvoller. Das ist eine Capture-the-Flag-Plattform, bei der man virtuelle Maschinen hacken und die „Flag“ finden muss. Der Schwierigkeitsgrad kann hoch sein, aber für Interessierte ist das extrem wertvoll.
Für Bewerbungen lohnt es sich, die eigenen Plattformprofile und -ergebnisse mitzuschicken. So kann ein Unternehmen gut einschätzen, welche Fähigkeiten bereits vorhanden sind und vor allem sehen, wie motiviert ein potenzieller Mitarbeiter ist. Zertifizierungen kommen meist später im Berufsleben dazu. Ganz wichtig ist am Anfang: Nicht alles gleichzeitig machen! Lieber Schritt für Schritt ein Gebiet nach dem anderen – sonst wird es schnell zu viel.

CANCOM: Wie war es bei dir? Wie bist du zu dem Beruf gekommen?

Philipp: Ursprünglich war ich IT-Trainer für Personal- und Organisationsmanagement. Vor einigen Jahren entschied ich mich für eine Umschulung zum Fachinformatiker. Der Unterricht fand bei einem Lehrer statt, der selbst ein Pentesting-Unternehmen betrieb – spezialisiert auf kleine und mittelständische Firmen in unserer Region. Seine Berichte begeisterten mich so sehr, dass ich dort ein Praktikum machte und nach der Umschulung in Vollzeit einstieg. Mich reizten vor allem die abwechslungsreichen, teilweise ungewöhnlichen Aufgaben. Vor drei Jahren habe ich meinen Weg als Pentester schließlich bei CANCOM fortgesetzt.

CANCOM: Wie läuft der Prozess ab, wenn sich ein Kunde fürs Pentesting entscheidet?

Philipp: Zuerst schließt der Kunde mit CANCOM einen Vertrag ab, in dem der Auftrag genau definiert ist. Da wir für alles, was wir tun, eine explizite Erlaubnis brauchen, werden hier beispielsweise die Domains oder IP-Adressen festgehalten, die wir testen dürfen – denn vieles, was wir machen, wäre ohne Genehmigung strafbar. Ist der Vertrag unterzeichnet, bespreche ich mit dem Kunden den aktuellen Stand: Welche Tests oder Sicherheitsprojekte gab es bereits? Was ergibt als Nächstes Sinn? Gemeinsam wählen wir die passende Art von Pentest oder eine Kombination verschiedener Varianten. Dann führen wir den Test durch und dokumentieren alles. Am Ende bekommt der Kunde einen Report mit den gefundenen Schwachstellen und eine detaillierte Befundliste: Welche Lücken haben wir gefunden? Wie haben wir sie ausgenutzt? Welche Risiken bestehen? Und vor allem: Wie kann man sie beheben? Zusätzlich bieten wir Lösungsworkshops an.
Nach einem Social-Engineering-Einsatz vor Ort gibt es zusätzlich ein Ablaufprotokoll – fast wie eine kleine Geschichte mit Fotos, zum Beispiel von gekippten Fenstern oder offenen Türen.

CANCOM: Welche Art von Sicherheitslücken triffst du bei deinen Tests häufig an? Was unterschätzen Unternehmen?

Philipp: Sehr häufig sehen wir veraltete Betriebssysteme und Software. Es gibt tatsächlich noch Unternehmen, die mit Systemen wie Windows 7 arbeiten. Diese haben teils ungepatchte Schwachstellen, die sich kinderleicht ausnutzen lassen.
Ein weiterer Klassiker ist sogenannte Schatten-Infrastruktur: Anwendungen, die irgendwann einmal installiert wurden, später vergessen wurden und im Hintergrund weiterlaufen. Viele davon sind veraltet und haben gravierende Sicherheitslücken.

CANCOM: Wie verändert Künstliche Intelligenz (KI) deine Arbeit – hilft sie mehr Angreifern oder Verteidigern?

Philipp: Tatsächlich profitieren beide Seiten. Auf der Verteidigerseite gibt es z.B. inzwischen KI-gestützte Firewalls oder Tools zum Schwachstellenmanagement. Auch wird KI mittlerweile genutzt, um Phishing Mails zu erkennen und Alarm zu schlagen. Außerdem kommen AI-Assisted EDR-Lösungen zum Einsatz.
Auf der anderen Seite zeigt sich derzeit deutlich, dass KI und insbesondere Large Language Models zunehmend auch offensiv eingesetzt werden und dabei immer bessere Ergebnisse liefern. Das beginnt bei der einfachen Nutzung von LLMs zur schnellen Erstellung von Skripten, mit denen sich zeitaufwändige Aufgaben automatisieren lassen. Gleichzeitig gibt es inzwischen spezialisierte Modelle zur Schwachstellensuche, wie etwa Claude Mythos, über das aktuell viel gesprochen wird. All das senkt die Einstiegshürden erheblich. Dabei darf man jedoch nicht vergessen: Auch KI-Werkzeuge selbst können Sicherheitslücken enthalten. Umso wichtiger ist es, sie sorgfältig zu konfigurieren, zeitnah zu patchen und ihnen nicht blind zu vertrauen. Letztlich gelten hier dieselben Grundsätze wie bei jeder anderen Software.
Man merkt: Es finden gerade gewaltige Veränderungen statt, wenn nicht sogar ein neues Wettrüsten und in den nächsten Jahren wird sich noch sehr viel tun.

CANCOM: Was glaubst du, wie sieht Red Teaming in fünf Jahren aus?

Philipp: Ich kann mir gut vorstellen, dass KI deutlich stärker in den Fokus rückt und Pentests insbesondere bei repetitiven Aufgaben unterstützt. Außerdem erwarte ich, dass Kunden zunehmend kontinuierliche Überprüfungen buchen – zum Beispiel über das CANCOM Cyber Offense Center, bei dem ein Server beim Kunden vor Ort steht, über den wir uns jederzeit aufschalten und testen können.

CANCOM: Wie bleibt man in einem so schnelllebigen Bereich up-to-date?

Philipp: Das ist tatsächlich schwierig, denn die Informatik ist riesig und voller Spezialgebiete – und das Pentesting selbst hat ebenfalls viele Unterbereiche. Deshalb sollte man nicht versuchen, überall auf dem neuesten Stand zu bleiben, sondern sich zu spezialisieren. Vier Bereiche sind ein guter Rahmen, zum Beispiel Web Application Pentesting, interne Infrastruktur, Social Engineering oder physische Sicherheit. Man sollte die Themen wählen, die einen wirklich begeistern. Nur dann bleibt man motiviert und lernt fast automatisch weiter.

CANCOM: Wie ist das Team bei CANCOM aufgestellt?

Philipp: Bei CANCOM haben wir ein Team von rund 20 Pentestern. Für jede Art von Test gibt es Spezialistinnen und Spezialisten – auch in Nischenbereichen. Die Zusammenarbeit macht richtig Spaß: Wir arbeiten über viele Standorte hinweg zusammen, tauschen uns in Teams Channels aus, führen gemeinsame Pentests durch und unterstützen uns gegenseitig. So wachsen wir zusammen, werden ständig besser, lachen viel und langweilig wird es nie.

CANCOM: Vielen Dank für deine Einschätzungen.

Den ersten Interview Teil mit Philipp, in dem er spannende Einblicke in durchgeführte Angriffe gibt, findet ihr hier.