Ethisches Hacking: Was es ist und wie es funktioniert

Was ist ethisches Hacking?

Ethisches Hacking nutzt autorisierte Angriffstests, um ausnutzbare Schwachstellen vor echten Angreifern zu finden. Die Grenzen Ihres Unternehmens werden ständig auf Schwachstellen geprüft. Entscheidend ist, ob die erste Person, die eine ausnutzbare Lücke findet, für Sie oder gegen Sie arbeitet. Ethisches Hacking sorgt dafür, dass diese Entdeckung zuerst in autorisierten Händen liegt.

Diese Praxis wird auch White-Hat-Hacking genannt. Sie nutzt dieselben Taktiken, Techniken und Verfahren (TTPs) wie böswillige Angreifer, jedoch mit ausdrücklicher Genehmigung, festgelegtem Umfang und dem klaren Auftrag, Erkenntnisse zur Behebung zu melden. Der Web Security Testing Guide (WSTG) des Open Worldwide Application Security Project (OWASP) beschreibt sie als Praxis, bei der „der Tester wie ein Angreifer handelt und versucht, Schwachstellen zu finden und auszunutzen“. Er setzt sie direkt mit Penetrationstests. NIST SP 800-115 beschreibt Penetrationstests als „Sicherheitstests, bei denen Prüfende reale Angriffe nachahmen, um Wege zur Umgehung der Sicherheitsfunktionen einer Anwendung, eines Systems oder eines Netzwerks zu finden“.

Der Unterschied zwischen Ihrem Programm für ethisches Hacking und kriminellem Hacking lässt sich auf ein Wort reduzieren: Autorisierung. Das Glossar der CISA National Initiative for Cybersecurity Careers and Studies (NICCS) definiert ein Red Team als eine Gruppe, die „autorisiert und organisiert“ ist, um die Angriffs- oder Ausnutzungsmöglichkeiten eines potenziellen Gegners gegen die Cybersecurity-Position eines Unternehmens zu simulieren.

Arten von Hackern

Nicht alle Hacker verfolgen dieselben Absichten. Die Sicherheitsbranche unterscheidet sie nach Motivation und Autorisierung:

• White-Hat-Hacker sind autorisierte Sicherheitsexperten, die Systeme mit ausdrücklicher Genehmigung testen. Sie halten sich an festgelegte Einsatzregeln, melden dem Unternehmen sämtliche Erkenntnisse zur Behebung und handeln jederzeit im gesetzlichen Rahmen. Ethisches Hacking ist White-Hat-Hacking.
• Black-Hat-Hacker handeln ohne Autorisierung und mit böswilliger Absicht. Sie nutzen Schwachstellen aus, um finanzielle Vorteile zu erzielen, Spionage zu betreiben oder Störungen zu verursachen. Ihre Aktivitäten sind nach Gesetzen wie dem US-amerikanischen Computer Fraud and Abuse Act (CFAA) strafbar.
• Gray-Hat-Hacker liegen zwischen diesen beiden Gruppen. Sie finden möglicherweise Schwachstellen ohne ausdrückliche Genehmigung, legen sie aber in der Regel offen, statt sie auszunutzen. Unabhängig von ihrer Absicht bewegen sie sich in einer rechtlichen Grauzone. Unternehmen können sich für Compliance-Zwecke nicht auf Erkenntnisse von Gray-Hat-Hackern verlassen.

In der Praxis gibt es weitere Varianten. Sicherheits-Researcher, die an Bug-Bounty-Programmen teilnehmen, handeln gemäß den Autorisierungsbedingungen des Programms als White-Hat-Hacker. Script Kiddies verwenden vorgefertigte Anwendungen ohne tiefgreifendes technisches Verständnis und verursachen dabei häufig unbeabsichtigte Schäden an Systemen und Netzwerken.

Dieses Spektrum macht die Rolle des ethischen Hackings deutlich: Es ist stets autorisiert, klar begrenzt und dient immer dem getesteten Unternehmen.

Welche Rolle spielt ethisches Hacking in der Cybersecurity?

Ihr Programm für ethisches Hacking verbindet offensive Sicherheit mit der Validierung Ihrer Abwehr. Laut NIST SP 800-115 erfüllen Penetrationstests drei Aufgaben: Sie prüfen, ob Sicherheitskontrollen die Anforderungen erfüllen, identifizieren ausnutzbare Schwachstellen und stärken die proaktive Netzwerkabwehr.

Dieser proaktive Ansatz ist wichtig, denn Angreifer nutzen zunehmend bekannte Schwachstellen als Einstieg. Verizons Data Breach Investigations Report (DBIR) 2026 ergab, dass 31 % der Sicherheitsverletzungen mit der Ausnutzung einer Schwachstelle begannen. Damit überholte dieser Zugangsweg gestohlene Zugangsdaten. Zugleich stieg die mittlere Dauer bis zur vollständigen Behebung durch Patches auf 43 Tage. Programme für ethisches Hacking machen dieses Zeitfenster sichtbar. Und liefern Ihnen die Belege, um es zu schließen.

Das Ethical Hacking Maturity Model des SANS Institute beschreibt, wie Unternehmen von Schwachstellenscans über Penetrationstests zu Red Teaming und Purple Teaming übergehen. Jede Art der Prüfung liefert einen eigenen Mehrwert. Mit zunehmender Reife verzichten Unternehmen nicht auf frühere Methoden. Stattdessen kombinieren sie Prüfungen, um verschiedene Risikodimensionen abzudecken.

So entsteht ein kontinuierlicher Validierungszyklus. Ihre Angriffstests zeigen, ob Ihre Abwehrtechnologien, einschließlich der SentinelOne Singularity™ Platform, reale Angriffstechniken unter realistischen Bedingungen tatsächlich stoppen.

So funktioniert ethisches Hacking

Ein professioneller Test umfasst sechs Phasen und richtet sich nach NIST SP 800-115, dem Penetration Testing Execution Standard (PTES) und OWASP WSTG v4.2.

Phase 1: Vorbereitung und Festlegung des Umfangs

Der Umfang Ihres Tests muss klären, warum Sie ihn benötigen, wie Ihr Team bei einem erfolgreichen Eindringen in ein System vorgehen soll und welche Geräte die Ergebnisse beeinflussen können. PTES legt diese Punkte als Mindestanforderungen für die Vorbereitung fest. NIST SP 800-115 erfordert einen Projektmanagementplan, der Ziele, Umfang, Teamrollen, Einschränkungen, Zeitplan und Ergebnisse abdeckt. Der Koordinationsbedarf steigt mit dem Risiko: Ein Penetrationstest an einem kritischen System erfordert in der Regel mehr Abstimmung als ein Test an einem unkritischen System.

Phase 2: Informationsbeschaffung

Sie sammeln so viele Informationen wie möglich über Ihr Zielsystem. PTES bezeichnet dies als Intelligence Gathering: „Aufklärung über ein Zielsystem, um möglichst viele Informationen für einen späteren Angriff darauf zu sammeln.“

Phase 3: Scanning und Schwachstellenanalyse

Sie identifizieren aktive Dienste durch Port-Scanning und kennzeichnen bekannte Schwachstellen mit Schwachstellenscannern. PTES sieht vor, dass Sie im Verlauf des Tests einen Angriffsbaum erstellen.

Phase 4: Ausnutzung von Schwachstellen

Sie versuchen, durch die Ausnutzung bestätigter Schwachstellen Zugriff zu erlangen. NIST SP 800-115 beschreibt dies als Angriffsphase, die „zur Entdeckungsphase zurückkehrt, sobald neue Informationen vorliegen.“

Phase 5: Post-Exploitation

Sie ermitteln den Wert jedes kompromittierten Systems und behalten die Kontrolle für eine spätere Nutzung. PTES Post-Exploitation definiert dies als „Ermittlung des Werts des kompromittierten Systems und Aufrechterhaltung der Kontrolle darüber für eine spätere Nutzung.“ Dabei gilt eine verbindliche Vorgabe: „Wenn Post-Exploitation-Methoden von den vereinbarten Rules of Engagement abweichen, müssen die Rules of Engagement eingehalten werden.“

Phase 6: Berichterstattung

Sie dokumentieren den gesamten Prozess so, dass Ihre Stakeholder ihn nachvollziehen können. Laut PTES erfasst die Berichterstattung „den gesamten Prozess so, dass er für den Kunden verständlich ist und ihm den größtmöglichen Nutzen bietet.“ Die Ergebnisse werden anhand des Common Vulnerability Scoring System (CVSS) bewertet, das von FIRST.Org verwaltet wird und Schweregradwerte zur Priorisierung liefert.

Jede Phase baut auf der vorherigen auf. Wie stark die einzelnen Phasen gewichtet werden, hängt von der Art des Auftrags ab.

Arten von Ethical Hacking

Ethical Hacking umfasst mehrere eigenständige Disziplinen. Jede beantwortet eine andere Frage zu Ihrer Verteidigung.

• Penetrationstests sind die am stärksten formal standardisierte Disziplin. Tester arbeiten innerhalb eines definierten Umfangs, um bestimmte Schwachstellen zu identifizieren und auszunutzen.
• Red Teaming verfolgt einen breiteren, zielorientierten Ansatz. Ein Red Team simuliert einen potenziellen Gegner, der Ihr gesamtes Unternehmen angreift. Es kombiniert Netzwerkangriffe, Social Engineering und physisches Eindringen, um ein Ziel zu erreichen und dabei Ihre Abwehrmaßnahmen zu umgehen.
• Bug-Bounty-Programme berechtigen unabhängige Researcher, Schwachstellen zu finden. Bug-Bounty-Jäger wählen ihre Ziele selbst und priorisieren möglicherweise höher vergütete Funde statt einer systematischen Abdeckung.
• Purple Teaming bringt offensive und defensive Teams in Echtzeit zusammen. Das Red Team führt Angriffstechniken aus, während das Blue Team seine Fähigkeiten überprüft und optimiert.

Fachleute in diesen Disziplinen verfügen in der Regel über formale Zertifizierungen, die ihre Fähigkeiten und Methodenkenntnisse bestätigen.

Wichtige berufliche Zertifizierungen

Mehrere branchenweit anerkannte Zertifizierungen bestätigen Fähigkeiten im Ethical Hacking. Arbeitgeber, regulatorische Rahmenwerke und staatliche Prüfprogramme setzen sie häufig voraus oder verlangen sie.

Der CREST-Zertifizierungspfad führt vom Practitioner Security Analyst (CPSA) über den Registered Penetration Tester (CRT) und den Certified Tester for Infrastructure or Application (CCT INF/CCT APP) bis hin zu den Stufen Certified Red Team Specialist und Manager.

Zertifizierungen bestätigen die Qualifikation. Tools setzen sie in die Praxis um.

Gängige Tools für Ethical Hacking

Ethical Hacker nutzen spezialisierte Software für jede Phase eines Auftrags. Die folgenden Tools bilden die Grundausstattung für Penetrationstests, Red Teaming und Schwachstellenbewertungen. Wer professionell im Ethical Hacking arbeitet, sollte mit diesen Tools vertraut sein.

Kein einzelnes Tool deckt jedes Testszenario ab. Effektives Ethical Hacking verbindet automatisierte Scans mit manuellen Tests und kreativer Problemlösung. Die Auswahl und Kombination der Tools entscheidet darüber, ob ein Auftrag nur grundlegende Probleme aufdeckt oder komplexe Angriffspfade, die echte Gegner ausnutzen würden.

Unternehmen sollten ihre Tools auf die Art des Auftrags abstimmen. Bei Webanwendungen stehen Proxy-basierte Tools zum Abfangen des Datenverkehrs im Vordergrund. Infrastrukturtests setzen auf Netzwerkscanner und Exploitation-Frameworks. Red-Team-Einsätze können auch Social-Engineering-Toolkits und individuelle Command-and-Control-Frameworks einbeziehen. Die meisten dieser Tools sind Open Source oder bieten kostenlose Community-Versionen. Damit sind sie sowohl für professionelle Tester als auch für Unternehmen zugänglich, die interne Programme aufbauen.

Mit der richtigen Methodik und den passenden Tools schaffen Ethical-Hacking-Programme konkreten Mehrwert für Unternehmen.

Die wichtigsten Vorteile von Ethical Hacking

Ein gut umgesetztes Ethical-Hacking-Programm schafft Mehrwert in vier Bereichen: Schwachstellen erkennen, Abwehrmaßnahmen prüfen, regulatorische Anforderungen erfüllen und Risiken reduzieren.

Sie finden Schwachstellen, bevor Angreifer es tun. Ethical Hacker nutzen dieselben Techniken wie echte Gegner, melden ihre Erkenntnisse aber, statt die Schwachstellen auszunutzen.

Sie prüfen Ihre Abwehrmaßnahmen unter realistischen Bedingungen. Ethical Hacker verknüpfen Schwachstellen, testen, ob Ihr Endpoint-Schutz reale Angriffsabläufe stoppt, und decken Lücken auf, die Scans allein nicht finden.

Sie belegen die Erfüllung regulatorischer Anforderungen. Mehrere wichtige Regelwerke schreiben Penetrationstests vor oder setzen sie voraus:

• Der Payment Card Industry Data Security Standard (PCI DSS) v4.0.1 schreibt in Anforderung 11.4 Penetrationstests mindestens alle 12 Monate und nach wesentlichen Änderungen an der Infrastruktur oder an Anwendungen vor.
• Der Digital Operational Resilience Act der EU (DORA) schreibt bedrohungsorientierte Penetrationstests für Finanzunternehmen vor.
• Die vorgeschlagene, noch nicht verabschiedete Aktualisierung der HIPAA Security Rule würde regelmäßige Penetrationstests vorschreiben.
• SOC 2 Trust Services Criteria CC4.1 und CC7.1 begründen durch die Prüfungspraxis eine faktische Erwartung, auch ohne ausdrückliche Pflicht zu Penetrationstests.

Sie reduzieren Risiken durch vorausschauende Investitionen. Ethisches Hacking deckt ausnutzbare Schwachstellen auf, bevor daraus ein Sicherheitsvorfall wird, und liefert Ihrem Team konkrete Prioritäten für die Behebung.

Der Nutzen ist real. Die Grenzen auch.

Herausforderungen und Grenzen des ethischen Hackings

Fünf Einschränkungen verdienen Aufmerksamkeit. Keine davon ist ein Grund, Tests einzustellen. Jede weist auf eine bessere Vorgehensweise hin.

Momentaufnahmen bei Tests verlieren schnell ihre Aussagekraft

Eine Analyse im ISACA-Journal benennt eine grundlegende Schwäche: "Die Beschränkung des Testumfangs, um günstige Ergebnisse zu erzielen, gefährdet die externe Validität von Penetrationstests." Ihre Umgebung verändert sich ständig. Cloud-native Infrastruktur ist kurzlebig. Ein System, das zu Beginn eines Tests existierte, kann bereits anders aussehen, wenn der Bericht eintrifft. Diese Lücke spricht für kontinuierliche Validierung.

Rechtliche Unklarheit schafft dauerhafte Risiken

Der CFAA stellt unbefugten Zugriff unter Strafe, definiert aber nicht eindeutig, was "ohne Berechtigung" bedeutet. Eine juristische Analyse der Berechtigung nach dem CFAA beleuchtet diese Lücke. Laut einer Richtlinie des US-Justizministeriums von 2022 wird Sicherheitsforschung in gutem Glauben nicht strafrechtlich verfolgt. Das ist eine Ermessensentscheidung der Strafverfolgungsbehörden, kein gesetzlicher Schutz. Die Richtlinie kann zurückgezogen oder anders ausgelegt werden. Schriftliche, unterzeichnete Rules of Engagement sind Ihre stärkste Absicherung.

Der Fachkräftemangel ist eine strukturelle Einschränkung

Unternehmen mit Fachkräftemangel im Bereich Cybersecurity können hochwertige Testprogramme schwerer aufrechterhalten und müssen möglicherweise stärker auf externe Spezialisten und autonome Anwendungen setzen.

KI und Cloud-native Umgebungen entwickeln sich schneller als etablierte Methoden

KI-Systeme können auf Arten versagen, die außerhalb klassischer Kategorien für Sicherheitstests liegen. Der OWASP-Leitfaden für KI-Tests dokumentiert gezielte Manipulation, Prompt Injection, Model Poisoning, Halluzinationen mit betrieblichen Folgen und übermäßige Handlungsautonomie von KI. Das Testen dieser Systeme erfordert Fachwissen sowohl in Cybersecurity als auch in maschinellem Lernen. Diese kombinierte Kompetenz ist heute nicht in ausreichendem Umfang verfügbar.

Skriptbasierte Anwendungen ersetzen kein menschliches Urteilsvermögen

Skriptbasierte Anwendungen für Penetrationstests arbeiten mit vordefinierten Mustern und erkennen bekannte Schwachstellen effizient. Sie übersehen jedoch Zero-Day-Schwachstellen und komplexe Angriffsketten, deren Erkennung kreatives Denken erfordert. Lassen Sie Anwendungen nach bekannten Schwachstellen suchen. Setzen Sie menschliche Tester für Aufgaben ein, die Kontextverständnis verlangen.

Für jede dieser Einschränkungen gibt es eine praktische Antwort.

Bewährte Vorgehensweisen für ethisches Hacking

Diese Vorgehensweisen sorgen dafür, dass Tests sicher, wiederholbar und rechtlich abgesichert sind.

1. Dokumentieren Sie Ihre Rules of Engagement (ROE), bevor die Tests beginnen. ISACA legt fest, dass ROE die vereinbarten Ziele, klare Grenzen, erforderliche Genehmigungen und die Verteilung der rechtlichen Verantwortung bei unerwarteten Ausfällen oder finanziellen Verlusten regeln müssen. Das auftraggebende Unternehmen und das Testteam müssen die ROE vor Beginn jedes Tests unterzeichnen und sicher aufbewahren. Das Framework von DeMarco Law wendet den medizinischen Grundsatz primum non nocere ("zuerst keinen Schaden anrichten") an: Für Benutzer oder Systeme darf kein zusätzliches Risiko entstehen, das über das zum Nachweis der Schwachstelle erforderliche Maß hinausgeht.
2. Nutzen Sie etablierte Frameworks für wiederholbare Tests und klare Governance. Laut SANS zeigt die Nutzung von Frameworks wie MITRE ATT&CK und PTES "der Unternehmensführung, Stakeholdern und Kunden, dass ein Unternehmen ein wiederholbares, professionelles Angebot hat."
3. Setzen Sie auf kontinuierliche Validierung. Jährliche Tests lassen lange Lücken zwischen den Bewertungen. Integrieren Sie Sicherheitstests in Ihre CI/CD-Pipelines. OWASP empfiehlt technische Schutzmaßnahmen, bei denen der einfachste Weg für Entwickler zugleich der sicherste ist.
4. Definieren Sie den Umfang von Social-Engineering-Tests nach ethischen Grundsätzen. Social-Engineering-Szenarien sollten Schwachstellen in Prozessen, im Sicherheitsbewusstsein und im menschlichen Verhalten aufdecken. Red-Team-Tests mit E-Mail-Phishing dürfen niemals Schadsoftware in der Nutzlast enthalten. Tests dürfen Benutzer keinem zusätzlichen Risiko aussetzen, das über das zum Nachweis der Schwachstelle erforderliche Maß hinausgeht.
5. Behandeln Sie industrielle Steuerungssysteme und Operational Technology (ICS/OT) als grundlegend andere Umgebungen. OT-Umgebungen bergen neben Cybersecurity-Risiken auch Risiken für die physische Sicherheit.

Unabhängig von Disziplin oder Methode liefert jeder ethische Hacking-Test Erkenntnisse, auf die Ihre Sicherheitsanwendungen reagieren müssen.

Validieren Sie die Ergebnisse ethischer Hacking-Tests mit SentinelOne

Ethisches Hacking zeigt, wo Ihre Verteidigung versagt. Die Singularity™ Platform von SentinelOne gibt Ihrem Team die Möglichkeit zu prüfen, ob die Behebung wirksam ist, bevor ein echter Angriff sie auf die Probe stellt.

Die Validierung läuft so ab: Ihre Penetrationstester führen Angriffstechniken aus. Die Singularity Platform reagiert autonom. Sie vergleichen die Ergebnisse mit den erwarteten Resultaten und passen die Konfiguration entsprechend an. Die Plattform wurde gegen Cobalt Strike-Beacons, Credential Dumping und laterale Bewegung bei simulierten Penetrationstests. Bei den 2024 MITRE ATT&CK® Evaluations: Enterprise erzielte SentinelOne eine Erkennungsrate von 100 % ohne Verzögerungen und mit 88 % weniger Alerts als der Median aller bewerteten Anbieter.

Durch offizielle Partnerschaften mit Keysight und SafeBreach können Sie Angriffe sicher simulieren und kontinuierlich überprüfen, ob die Plattform korrekt bereitgestellt wurde. Für Cloud-Umgebungen nutzt Singularity Cloud Native Security als Teil von Singularity Cloud Security seine Offensive Security Engine, um Cloud-Schwachstellen aus der Perspektive eines Angreifers zu testen. Verified Exploit Paths zeigt, welche tatsächlich ausnutzbar sind, damit Ihr Team zuerst die kritischsten Sicherheitslücken schließt.

Purple AI™ beschleunigt die Untersuchung von Ergebnissen aus Penetrationstests. Als agentischer KI-Sicherheitsanalyst wandelt Purple AI natürlichsprachliche Abfragen in umfassende Suchen über EDR-, Identitäts- und Netzwerkprotokolle hinweg um. Agentic Investigations integriert forensische Analysen in den Untersuchungsprozess. Untersuchungen, die früher Stunden oder Tage dauerten, dauern jetzt Minuten. Laut einer IDC Business Value-Studie identifiziert Purple AI Bedrohungen 63 % schneller und beschleunigt die Behebung um 55 %.

Die Plattform deckt jede Angriffsfläche ab, die Ihre Penetrationstester prüfen: Endpunkte (Windows, Linux, macOS), Cloud-Workloads (VMs, Container, Kubernetes), Identitätssysteme (Singularity Identity für Active Directory und Entra ID) und Netzwerke. Dabei unterstützt Singularity Network Discovery die Kontrolle nicht autorisierter Geräte und IoT-Geräte. Hinzu kommen die Funktionen von Singularity AI SIEM für tiefgehende Untersuchungen und Datenanalysen in Echtzeit. 

Vereinbaren Sie Ihre SentinelOne-Demo und erfahren Sie, wie die Plattform Ihre Sicherheitslage anhand realer Angriffstechniken überprüft.

Entfesseln Sie AI-gestützte Cybersicherheit

Verbessern Sie Ihre Sicherheitslage durch Echtzeit-Erkennung, maschinelle Reaktion und vollständige Transparenz Ihrer gesamten digitalen Umgebung.

Demo anfordern

Fazit

Ethisches Hacking nutzt autorisierte offensive Tests mit definiertem Umfang, um ausnutzbare Schwachstellen vor echten Angreifern zu finden. Es folgt strukturierten Frameworks (NIST SP 800-115, PTES, OWASP), erfüllt regulatorische Vorgaben von PCI DSS v4.0.1 bis DORA und liefert messbaren operativen Nutzen. 

Die Grenzen punktueller Tests, Fachkräftemangel und KI-gestützte Angriffsmethoden erfordern eine kontinuierliche Überprüfung. Kombinieren Sie diesen Ansatz mit der autonomen Verteidigung der Singularity Platform. So wird aus jedem Befund eines Penetrationstests eine überprüfte Behebung. Sie finden die Lücke zuerst. Sie schließen sie zuerst.