Kontinuierliche Penetrationstests: Modelle, Testtakt und Kosten

Der Begriff beschreibt ein Ergebnis — Tests, die mit Änderungen Schritt halten — und keine Methode. In der Praxis wird Ihnen eines von drei Modellen angeboten:

• PTaaS (Penetration Testing as a Service). Menschliche Tester, die über eine Plattform arbeiten: Sie buchen Tests, sehen Findings, sobald sie gefunden werden, sprechen mit den Testern und erhalten Retests innerhalb eines Zeitfensters. Cobalt, Synack, HackerOne, NetSPI, Bishop Fox und BreachLock verkaufen dieses Modell, oft ergänzt um Automatisierung und inzwischen KI-Agenten.
• Autonome kontinuierliche Tests. Software, die den Angriff selbst ausführt, nach Zeitplan, ohne einen Tester pro Durchlauf. Horizon3.ai NodeZero, Pentera und XBOW sind Beispiele, ebenso Zero Hunt. Siehe autonome Penetrationstests und KI-Pentesting-Agenten.
• Hybrid. Eine Plattform führt automatisierte oder KI-gestützte Tests kontinuierlich aus, und menschliche Tester verifizieren Findings oder testen, was die Software nicht kann.

Verwandte Begriffe überschneiden sich: Continuous Automated Red Teaming (CART) meint meist dieselbe Idee, angewandt auf die externe Angriffsfläche, und Gartners Adversarial Exposure Validation fasst automatisierte Pentests mit Breach and Attack Simulation zusammen.

Falls Sie nach dem OWASP Continuous Penetration Testing Framework gesucht haben: Die Projektseite existiert, sie erklärt aber nur die Absicht, die Praxis zu standardisieren, und das Repository wurde seit 2022 nicht verändert. Es gibt kein Framework-Dokument, dem man folgen könnte.

• Veränderung. Jeder neue Server, jede Firewall-Regel, jedes Cloud-Konto und jedes Software-Release kann einen Pfad öffnen, den der Bericht des Vorjahres nie gesehen hat.
• Neue Schwachstellen. Edge-Geräte, VPNs und Dateiübertragungsserver erhalten laufend kritische CVEs, die innerhalb weniger Tage nach der Offenlegung ausgenutzt werden. Ein Test im März sagt nichts über eine im Juni veröffentlichte CVE aus.
• Drift. Fixes werden rückgängig gemacht, vorübergehende Ausnahmen werden dauerhaft, und Zugangsdaten werden wiederverwendet.
• Nachweis der Behebung. Ohne Retest ist ein geschlossenes Ticket eine Behauptung, kein Nachweis.

Nichts davon macht den jährlichen, von Menschen geführten Test nutzlos. Es macht ihn zur tiefgehenden Prüfung, nicht zur einzigen.

Die meisten Regeln setzen ein Minimum und fügen einen Auslöser bei Änderungen hinzu — genau diesen Teil beantworten kontinuierliche Tests:

• PCI DSS v4.0.1, Anforderung 11.4: interne und externe Penetrationstests mindestens alle 12 Monate und nach jedem wesentlichen Upgrade oder jeder wesentlichen Änderung an Infrastruktur oder Anwendungen. Siehe PCI DSS 11.3 und 11.4.
• DORA, Art. 24(6): angemessene Tests mindestens jährlich an allen IKT-Systemen und -Anwendungen, die kritische oder wichtige Funktionen unterstützen; Art. 26 ergänzt TLPT mindestens alle drei Jahre für die bestimmten Unternehmen. Siehe DORA-Penetrationstests über TLPT hinaus.
• NIS2, Art. 21(2)(f): Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen, ohne festgelegte Häufigkeit. In Italien verlangt das Allegato 2 der ACN von wesentlichen Einrichtungen, Vulnerability Assessments und/oder Penetrationstests periodisch und vor der Inbetriebnahme durchzuführen. Siehe NIS2-Pflichten und -Fristen.
• NIST SP 800-53 Rev. 5, CA-8: Penetrationstests in einer von der Organisation festgelegten Häufigkeit.

Das Muster: eine jährliche Untergrenze und Tests nach wesentlichen Änderungen. Wenn sich jede Woche etwas ändert, sollte auch jede Woche getestet werden.

1. 1Externe Angriffsfläche: wöchentlich. Aus dem Internet erreichbare Dienste ändern sich am schnellsten und werden zuerst angegriffen.
2. 2Internes Netzwerk und Active Directory: monatlich, aus einer Assumed-Breach-Position mit einem gewöhnlichen Benutzerkonto (Gray-Box).
3. 3Nach jeder wesentlichen Änderung: neuer Standort, Fusion, großes Release, Änderung an Firewall oder Identity Provider.
4. 4Nach einem relevanten KEV-Eintrag: Testen Sie die betroffenen Systeme, solange der Patch aussteht, und erneut danach. Siehe das KEV-Playbook für Notfall-Patches.
5. 5Vor der Inbetriebnahme eines relevanten Systems, wie es die italienischen NIS2-Regeln von wesentlichen Einrichtungen verlangen.
6. 6Nach jedem Fix: Führen Sie denselben Test erneut aus, um das Finding mit Nachweis zu schließen.
7. 7Einmal im Jahr: ein von Menschen geführter Test von Geschäftslogik, individuellen Anwendungen und allem, was die Vorschrift qualifizierten Testern vorbehält.

Öffentliche Preise sind selten, aber die Modelle sind klar und entscheiden darüber, was kontinuierliche Tests Sie kosten werden:

• Credits oder Testerstunden (PTaaS). Sie kaufen ein Kontingent an Testzeit. Cobalt zum Beispiel verkauft Credits im Wert von je acht Pentest-Stunden. Häufiger zu testen bedeutet, mehr Credits zu kaufen.
• Abonnements pro Testfenster. Eine feste Anzahl von Tests oder ein Testzeitraum pro Jahr, manchmal mit kontinuierlichem Monitoring dazwischen.
• Jahreslizenz (autonome Plattformen). Bepreist nach Assets, IPs oder Standorten, mit unbegrenzten Durchläufen. Hier kostet wöchentliches Testen genauso viel wie monatliches — das macht einen hohen Takt bezahlbar.

Wenn Sie Angebote vergleichen, kalkulieren Sie den Takt, den Sie brauchen, nicht den aus der Broschüre: 52 externe und 12 interne Durchläufe pro Jahr, plus Retests. Mehr dazu unter Kosten automatisierter Pentests.

• Wer oder was führt jeden Test durch? Ein Mensch, Software oder Software, deren Ergebnisse ein Mensch prüft?
• Was bedeutet kontinuierlich im Vertrag? Durchläufe pro Monat, enthaltene Retests, Tests nach Änderungen auf Anfrage?
• Kann es das interne Netzwerk und Active Directory testen, oder nur aus dem Internet erreichbare Assets?
• Wohin gehen Findings, Zugangsdaten und Nachweise? In die Cloud des Herstellers, in eine Region Ihrer Wahl oder an Ihren eigenen Standort?
• Wie wird der Scope durchgesetzt, und wer kann einen Test sofort stoppen?
• Welcher Nachweis gehört zu jedem Finding, und belegt ein Retest den Fix?
• Auf welche Vorschriften werden die Berichte abgebildet, und gehören die dazu, denen Sie unterliegen?

Der Bewertungsleitfaden macht daraus einen Pilotplan.

Was ist der Unterschied zwischen kontinuierlichen Penetrationstests und PTaaS? PTaaS ist ein Bereitstellungsmodell: menschliche Tester auf einer Plattform, als Abonnement gekauft. Kontinuierliche Penetrationstests sind das Ziel, so oft zu testen, wie sich etwas ändert; PTaaS ist ein Weg dorthin, autonome Testsoftware ein anderer.

Sind kontinuierliche Penetrationstests dasselbe wie Schwachstellenscans? Nein. Ein Scanner listet auf, was verwundbar sein könnte. Ein Penetrationstest, kontinuierlich oder nicht, versucht es auszunutzen und Findings zu Angriffspfaden zu verketten. Siehe Vulnerability Assessment vs. Penetrationstest.

Ersetzen kontinuierliche Tests den jährlichen Pentest? Für Breite und Frequenz können sie das; für Tiefe bei Geschäftslogik und individuellen Anwendungen sowie dort, wo eine Vorschrift qualifizierte Tester oder TLPT verlangt, behalten Sie einen von Menschen geführten Test bei.

Gibt es einen Standard für kontinuierliche Penetrationstests? Nein. Das gleichnamige OWASP-Projekt hat seit 2022 nichts veröffentlicht. Für autonome Plattformen deckt der OWASP Autonomous Penetration Testing Standard Scope, Sicherheit, menschliche Aufsicht und Nachweise ab.

Wie setzt Zero Hunt kontinuierliche Penetrationstests um? Zero Hunt ist ein autonomes KI-Red-Team für Netzwerke und Infrastruktur auf einer On-Premise-Appliance mit eigenen Modellen, sodass keine Kundendaten sie verlassen. Kampagnen laufen einmalig, täglich, wöchentlich, monatlich oder nach individuellem Zeitplan, im Black-Box- oder Gray-Box-Modus, und ein Operator kann nach einer Änderung eine Kampagne starten. Ein erneuter Durchlauf nach einem Fix belegt die Behebung mit signiertem Nachweis. Fünf Autonomiestufen bestimmen, welche Aktionen auf einen Operator warten, der Scope wird bei Tool-Aufrufen und in generierten Skripten validiert, und Findings werden 34 Compliance-Frameworks weltweit zugeordnet. Zero Hunt veröffentlicht noch keine Benchmark-Zahlen; die Evaluierungsmethodik ist in Vorbereitung.