Penetration Testing lernen: der ehrliche Einstieg

Viele wollen „hacken lernen“, aber ein sauberer Einstieg in Penetration Testing sieht ganz anders aus als in Filmen. Wenn du verstehen willst, was ein professioneller Pentest wirklich ist, welche Grundlagen du brauchst und wie du dir Schritt für Schritt praxisnahe Skills aufbaust, bist du hier richtig.

Was ein Pentest ist, und was nicht

Ein Penetration Test ist ein geplanter, autorisierter Sicherheits­test. Ziel ist es, realistische Angriffe zu simulieren, Schwachstellen zu finden und verständlich zu dokumentieren, wie sie behoben werden können.

Kernpunkte eines seriösen Pentests:

• Es gibt einen klaren Auftrag und ein schriftliches „Go“ vom Verantwortlichen.
• Ziele, Umfang und Grenzen sind vorher definiert.
• Es geht nicht darum, „möglichst viel kaputtzumachen“, sondern Risiken sichtbar zu machen.
• Das Ergebnis ist ein strukturiertes, verständliches Report­ing.

Was ein Pentest nicht ist:

• Kein Freifahrtschein zum „Herumprobieren“ auf fremden Systemen.
• Kein reines Tool-Gefeuer, bei dem du nur Scanner durchlaufen lässt.
• Kein Selbstzweck, um ein paar „coole Findings“ in einer Liste zu sammeln.

Du testest nicht „gegen“ den Kunden, sondern für ihn. Dein Auftrag ist es, Sicherheit zu verbessern, nicht dich als „Elite-Hacker“ zu inszenieren.

Typische Phasen eines Penetration Tests

Die meisten Pentests folgen einem ähnlichen Ablauf. Die Bezeichnungen können variieren, inhaltlich taucht aber fast immer dieser Kern auf:

1. Reconnaissance (Informationsbeschaffung)
2. Scanning und Enumeration
3. Exploitation
4. Post-Exploitation
5. Reporting

Schauen wir uns die Schritte praktisch an.

Recon: Informationen sammeln

In der Recon-Phase sammelst du so viele verwertbare Informationen wie möglich, ohne direkt anzugreifen.

Mögliche Aktivitäten:

• DNS-Abfragen, z. B. Subdomains ermitteln.
• WHOIS-Informationen zu Domains und IP-Ranges.
• Offene Informationen in Jobanzeigen, Git-Repos, Social Media.
• Technologiestack über öffentliche Webseiten erkennen (Server, Frameworks, CMS).

Beispiele für Recon-Tools und -Techniken:

• whois, dig, nslookup
• Zertifikats-Transparenz-Logs (z. B. crt.sh) für Subdomains
• Suchen nach Konfigurationsresten in öffentlichen Git-Repositories

Ziel: Angriffsoberfläche verstehen. Welche Systeme gibt es, welche Technologien, welche potenziellen Schwachstellenzonen?

Scanning und Enumeration

Jetzt gehst du näher an die Systeme heran und schaust, was sie preisgeben.

Typische Schritte:

• Port-Scanning: Welche Dienste sind erreichbar?
• Service-Detection: Welche Versionen laufen dort?
• Enumeration: Mehr Details aus Diensten herauskitzeln, z. B. Userlisten, Freigaben, Banner, Fehlermeldungen.

Klassiker in dieser Phase:

• nmap für Portscans und Service-Erkennung
• nikto für einfache Webserver-Checks
• SMB- und LDAP-Enumeration in internen Netzen

Wichtig: Scans können Systeme belasten oder aus dem Tritt bringen. In echten Kundenprojekten ist daher genau abgesprochen, wie aggressiv du scannen darfst und in welchen Zeitfenstern.

Exploitation

Erst jetzt versuchst du aktiv, Schwachstellen auszunutzen. Die Versuchung ist groß, hier gleich loszulegen, aber ohne gute Recon- und Scanning-Phase schießt du nur blind.

Typische Exploitation-Szenarien:

• Web: SQL Injection, XSS, Command Injection, unsichere Deserialisierung.
• Netzwerk: Schwache Protokolle und Konfigurationen, z. B. veraltetes SMB, fehlende Signaturen.
• Authentifizierung: Brute-Force- oder Passwort-Spraying-Angriffe, wenn erlaubt.
• Client-Side: Bösartige Dokumente oder Links, wenn Social Engineering explizit Teil des Auftrags ist.

Werkzeuge, die du oft siehst:

• Metasploit Framework
• Manuelle Exploits und Proof-of-Concepts
• Web-Proxies wie Burp Suite oder OWASP ZAP

Ein wichtiger Lernpunkt: Gute Pentester klicken nicht nur auf „Exploit“ in Metasploit. Sie verstehen, was im Hintergrund passiert, können Payloads anpassen und kennen die zugehörigen Protokolle und Schwachstellen.

Post-Exploitation

Du hast eine Schwachstelle erfolgreich ausgenutzt und Zugriff auf ein System. Jetzt zeigst du, was ein echter Angreifer daraus machen könnte, ohne Schaden anzurichten.

Typische Ziele:

• Privilege Escalation: Vom einfachen Nutzer zum Administrator oder Root.
• Lateral Movement: Von einem System auf weitere Systeme springen.
• Datenzugriff: Nachweis, dass sensible Daten erreichbar sind.

Dabei gilt: So viel wie nötig, so wenig wie möglich. Du musst nicht alle Datenbanken dumpen, um den Impact zu belegen. Ein kleiner, repräsentativer Auszug reicht im Report und ist deutlich verantwortungsvoller.

Reporting: Der unterschätzte Teil

Viele Einsteiger unterschätzen, wie wichtig ein guter Bericht ist. Für den Kunden zählt am Ende nicht, wie „cool“ dein Exploit war, sondern ob er versteht, was er jetzt tun muss.

Ein guter Pentest-Report enthält mindestens:

• Management Summary in verständlicher Sprache.
• Klare Beschreibung jeder Schwachstelle.
• Nachvollziehbare Schritte zum Reproduzieren.
• Einschätzung von Risiko und Impact.
• Konkrete, praxisnahe Handlungsempfehlungen.

Du schreibst also für zwei Zielgruppen: Technikteams, die Details brauchen, und Management, das Entscheidungen treffen muss.

Ethik und Recht: ohne das geht es nicht

Penetration Testing bewegt sich technisch nah an Straftatbeständen. Ohne klare rechtliche Grundlage machst du dich sehr schnell strafbar.

Grundregeln:

• Greife niemals Systeme an, für die du keine ausdrückliche, schriftliche Erlaubnis hast.
• „Nur mal kurz testen“ auf Servern von Arbeitgebern, Freunden oder fremden Firmen ist keine gute Idee, sondern riskant.
• Bug-Bounty-Programme sind kein Freibrief. Du musst die jeweiligen Programmbedingungen genau lesen und einhalten.
• Dokumentiere deine Aktivitäten sauber, vor allem bei Kundenprojekten.

Ethik heißt hier: Du nutzt dein Wissen, um Sicherheit zu verbessern, nicht, um dir Vorteile zu verschaffen. Wenn du merkst, dass dich vor allem der „Kick“ reizt, fremde Systeme zu knacken, solltest du einen Schritt zurücktreten und deine Motivation ehrlich reflektieren.

Welche Grundlagen du wirklich brauchst

Viele fragen: „Kann ich direkt mit Kali Linux und Metasploit starten?“ Du kannst, aber du wirst schnell an Grenzen stoßen, wenn dir Basics fehlen. Wenn du ernsthaft Pentester werden willst, brauchst du ein solides Fundament.

Netzwerkgrundlagen

Ohne Netzwerkverständnis tappst du im Dunkeln. Du solltest sicher beherrschen:

• OSI-Modell grob einordnen.
• IP-Adressierung, Subnetze, Routing.
• TCP, UDP, grundlegende Ports und Protokolle.
• DNS, HTTP(S), SMTP, SMB in Grundzügen.
• Grundprinzipien von Firewalls und NAT.

Praktischer Tipp: Richte dir kleine Laborumgebungen ein, z. B. mit zwei, drei VMs, und beobachte mit tcpdump oder Wireshark, was im Netzwerk passiert. Viele Aha-Momente entstehen, wenn du Protokolle „live“ siehst.

Linux- und Systempraxis

Die meisten Pentest-Tools laufen unter Linux. Du musst kein Kernel-Hacker sein, aber im Alltag sicher zurechtkommen:

• Shell-Basics: ls, cd, cp, mv, grep, find, less.
• Benutzer- und Rechtekonzepte, sudo, Dateirechte.
• Paketmanagement (z. B. apt).
• Prozesse, Dienste, Logs.

Auch Windows-Know-how ist wichtig, vor allem für interne Netzwerke und Active Directory. Ein realistischer Pentest in einem Münchner Unternehmensnetz ohne Windows-Kenntnisse ist kaum machbar.

Skripting und Programmierung

Du musst nicht sofort Exploits in C schreiben, aber etwas Skripting hilft enorm:

• Shell-Skripte für Automatisierung.
• Python oder eine andere Skriptsprache, um kleine Tools oder Parser zu bauen.
• Grundverständnis von HTTP-Requests, JSON, einfachen APIs.

Wenn du später tiefer einsteigst, hilft dir Programmierwissen beim Verstehen und Anpassen von Exploits, beim Schreiben eigener Tools und beim Analysieren von Schwachstellen.

Realistischer Lernpfad: Schritt für Schritt

Ein sinnvoller Einstieg könnte so aussehen:

1. Fundament legen

• Netzwerke lernen und praktisch üben, z. B. mit VMs und Wireshark.
• Linux im Alltag nutzen, nicht nur in der VM nebenbei.
• Mindestens eine Skriptsprache solide auf Einsteigerniveau.

2. Security-Grundlagen verstehen

• Grundbegriffe: CIA-Triade, Bedrohungsmodelle, Authentifizierung, Autorisierung, Verschlüsselung.
• OWASP Top 10 für Webanwendungen lesen und versuchen, die Beispiele nachzuvollziehen.

3. Lab-Umgebung aufbauen

• Eigene, isolierte Testumgebung mit VMs (z. B. Metasploitable, OWASP Juice Shop).
• Niemals produktive Systeme „zum Üben“ verwenden.
• Szenarien nachstellen: einfacher Webangriff, schwaches Passwort, unsichere Datei­freigabe.

4. Tools systematisch kennenlernen Statt Tool-Sammlungen auswendig zu lernen, konzentrierst du dich zuerst auf einige Kernwerkzeuge und lernst sie gründlich:

• nmap für Scans.
• Burp Suite oder OWASP ZAP für Webtests.
• Metasploit für erste Exploit-Übungen in der Lab-Umgebung.
• ssh, netcat, tcpdump für Netzwerk- und Systempraxis.

5. Methodik üben, nicht nur Tools

• Für jede Lab-Übung bewusst alle Phasen durchgehen: Recon, Scanning, Exploitation, Post-Exploitation, Mini-Report.
• Deine Schritte dokumentieren, als würdest du einem Kunden berichten.

6. Strukturiert weiterbilden Wenn du die Basics verinnerlicht hast, lohnt sich ein strukturierter Kurs, um Lücken zu schließen und Feedback zu bekommen. Präsenzschulungen in München haben den Vorteil, dass du direkt mit Trainerinnen und Trainern an realistischen Szenarien arbeiten kannst. Aktuelle Termine und passende Kurse findest du bei cmt.de.

7. Community und Praxis

• Capture-the-Flag (CTF) Plattformen und wargames nutzen, aber mit Maß, und immer auf legale, freigegebene Ziele achten.
• Austausch mit anderen, z. B. lokale Security-Meetups, Online-Communities.

Typische Anfängerfehler, und wie du sie vermeidest

Ein paar Stolperfallen tauchen immer wieder auf:

• Zu früh zu komplex Direkt mit hochspezialisierten Exploits starten, ohne Netzwerke oder Linux zu verstehen. Besser: Erst das Fundament, dann die Spezialfälle.

• Tool-Fixierung „Ich kenne 50 Tools“ bringt wenig, wenn du die dahinterliegenden Protokolle nicht verstehst. Besser: Wenige Werkzeuge tief lernen.

• Rechtslage ignorieren Aus Neugier mal den eigenen Arbeitgeber „testen“ kann ernsthafte Konsequenzen haben. Besser: Nur in klar erlaubten Umgebungen üben.

• Kein Fokus auf Reporting Nur Screenshots von Shells sammeln und kein strukturiertes Dokument schreiben. Besser: Zu jeder Übung einen kurzen Bericht verfassen, selbst wenn ihn niemand außer dir liest.

• Isoliertes Lernen Nur Tutorials nachklicken, ohne selbst zu experimentieren. Besser: Nach jedem Tutorial eine Variation erfinden und versuchen, sie ohne Anleitung zu lösen.

Fazit: Penetration Testing ist Handwerk, kein Zaubertrick

Wenn du Penetration Testing lernen willst, brauchst du keine magischen Fähigkeiten. Du brauchst Neugier, Geduld und die Bereitschaft, dir solide Grundlagen zu erarbeiten. Ein guter Pentest ist weniger „Hollywood-Hacking“ und mehr systematisches, sauberes Handwerk: verstehen, beobachten, testen, dokumentieren.

Wenn du Netzwerke, Linux und grundlegende Security-Konzepte im Griff hast, kannst du dir Schritt für Schritt die Werkzeuge und Methoden aneignen, um Systeme realistisch zu prüfen und Unternehmen dabei zu helfen, sicherer zu werden. Genau das macht den Reiz dieses Berufs aus.