Neun Monate alter Prüfbericht gegen 3,4 Stunden Angriffszeit
Der Pentest-Bericht liegt im Qualitätsmanagement-Ordner, das Zertifikat hängt gerahmt im Flur neben der Kaffeeküche. Nur hat niemand nachgerechnet, wie viel von dem geprüften Zustand neun Monate später überhaupt noch existiert. Genau da setzt die Idee des kontinuierlichen Pentests an!
So oder ähnlich läuft es in jedem zweiten Mittelständler. Im Januar prüft ein Dienstleister die externe Infrastruktur, findet vier Befunde mittlerer Kritikalität, alle werden geschlossen. Im März wird ein neuer VPN-Konzentrator in Betrieb genommen. Im Mai zieht das CRM in die Cloud, mit einem Service-Account, dessen Passwort in einer Pipeline-Variablen liegt. Im Juli übernimmt ein Dienstleister die Fernwartung einer Produktionslinie, MFA wird „vorerst“ ausgenommen, weil das Wartungstool sie nicht unterstützt.
Im Oktober klickt eine Sachbearbeiterin auf einen Login-Prompt, der aussieht wie Microsoft 365. Ab diesem Moment läuft eine andere Uhr als die des Prüfzyklus.
Angreifer brauchen nach dem initialen Zugriff im Mittel nur 3,4 Stunden bis zum Active-Directory-Server, ausgewertet über 661 Fälle aus Incident Response und Managed Detection. Die durchschnittliche Zeit bis zur ersten lateralen Bewegung lag 2025 bei 29 Minuten, der schnellste beobachtete Wert bei 27 Sekunden. Identitätsbezogene Ursachen wie gestohlene Zugangsdaten, Brute-Force und Phishing standen in 67,32 Prozent der Vorfälle am Anfang.
Ein Angreifer braucht im Schnitt einen halben Arbeitstag bis zur Domänenkontrolle, laut Sophos exakt 3,4 Stunden. Ein Jahres-Pentest beschreibt einen Zustand, der zu diesem Zeitpunkt oft seit Monaten nicht mehr existiert.
Was ein Penetrationstest methodisch leistet und wo der Stichtag endet
Ein Penetrationstest ist in Deutschland sauber definiert. Der BSI-Leitfaden beschreibt fünf Phasen, von der Vorbereitung über Informationsbeschaffung und Bewertung bis zu aktiven Eindringversuchen und Nachbereitung. Diese Methodik ist belastbar und auditfest. Sie bezieht sich allerdings auf ein abgegrenztes Engagement mit Start, Ende und festem Scope.
Dieser Zuschnitt erzeugt eine strukturelle Eigenschaft, die oft als Mangel missverstanden wird. Ein Pentest sagt nichts über den Zustand am Folgetag aus. Mit jeder Infrastrukturänderung und jeder neuen Anwendung entsteht nach Einschätzung von Security-Insider neue Angriffsfläche, während der Test selbst nur eine Momentaufnahme liefert.
| Regelwerk | Was verlangt wird | Faktisches Prüfintervall |
|---|---|---|
| NIS2, Art. 21 | Risikobasierte technische und organisatorische Maßnahmen, keine feste Testfrequenz | meist jährlich |
| § 39 BSIG (KRITIS) | Nachweis der Umsetzung gegenüber dem BSI | alle 3 Jahre |
| BSI-Durchführungskonzept | Fünf-Phasen-Methodik, fünf Aggressivitätsklassen | pro Engagement |
Die NIS2-Richtlinie verlangt einen risikobasierten Ansatz und nennt dabei keine feste Häufigkeit für Penetrationstests. Betreiber kritischer Anlagen müssen ihre Nachweise nach § 39 BSIG alle drei Jahre erbringen. Der Jahresrhythmus ist Branchenkonvention und Budgetlogik, keine gesetzliche Pflicht.
Breakout-Zeit, und warum sie fällt
Breakout-Zeit misst die Spanne zwischen dem ersten Zugriff und der ersten lateralen Bewegung. Sie ist das Zeitfenster, in dem Verteidiger einen Vorfall noch auf ein System begrenzen können. Gegenüber dem Vorjahr beschleunigte sich dieser Wert laut CrowdStrike um 65 Prozent. Dahinter stecken nicht nur hochprofessionelle Gruppen, auch KI-gestützte Werkzeuge erlauben inzwischen weniger versierten Akteuren komplexe Angriffsketten in hoher Geschwindigkeit.
Die Kette vom gestohlenen Login bis zur Domänenkontrolle
Der typische Ablauf zeigt, warum Prüfintervalle und Angriffstempo nicht zusammenpassen. Er ist technisch unspektakulär und genau deshalb so verlässlich.
Kein Schritt dieser Kette braucht eine exotische Schwachstelle. In gut der Hälfte der untersuchten Fälle fehlte eine Mehrfaktor-Authentifizierung oder sie war falsch konfiguriert. Das Auslesen von Zugangsdaten aus Arbeitsspeicher und Registry läuft über Techniken, die im MITRE-Framework unter T1003 seit Jahren dokumentiert sind. Wer prüfen will, ob diese Kette im eigenen Netz trägt, braucht einen gezielten Active-Directory-Pentest und nicht nur einen externen Perimeter-Scan.
Das Problem liegt im Verhältnis der Zeitachsen. Der Angreifer arbeitet in Stunden, die Ransomware zündet nachts, wenn kaum jemand auf das SIEM schaut. Der Verteidiger arbeitet in Quartalen, manchmal in Dreijahreszyklen. Zwischen dem Tag, an dem eine Fehlkonfiguration entsteht, und dem Tag, an dem jemand sie bemerkt, liegen bei jährlicher Prüfung rein rechnerisch bis zu zwölf Monate.
Drei Denkfehler, die den Jahresrhythmus am Leben halten
- Belegt den Zustand genau eines Stichtags
- Jede spätere Änderung bleibt ungeprüft
- Neue CVEs tauchen im Bericht nicht auf
- Die Richtlinie nennt keine feste Frequenz
- Gefordert ist ein risikobasierter Ansatz
- Hohe Änderungsrate heißt kürzere Intervalle
- KI-Unterstützung senkt die Einstiegshürde
- Breakout-Zeit sank um 65 Prozent
Die Breakout-Zeit sank laut CrowdStrike binnen eines Jahres um 65 Prozent.
Prüfzyklus an die Änderungsrate koppeln, nicht ans Budgetjahr
- Änderungsrate messen: Zählt, wie viele externe Dienste, Subdomains und Zugänge in den letzten zwölf Monaten dazugekommen sind. Diese Zahl bestimmt euer sinnvolles Prüfintervall, nicht der Kalender.
- MFA lückenlos durchsetzen: Alle privilegierten und Remote-Zugänge, inklusive Wartungszugänge von Dienstleistern. In über der Hälfte der Fälle fehlte sie oder war fehlkonfiguriert.
- Active Directory härten und beobachten: Tiering privilegierter Konten, Protokollierung von Credential-Dumping-Techniken nach T1003, Alarmierung auf untypische Replikationsanfragen.
- Attack-Surface-Management einführen: Jedes neue System muss innerhalb von Tagen im Prüfumfang landen, nicht erst beim nächsten Engagement. Hier setzt kontinuierliche Prüfung konkret an.
- Nacht- und Wochenendabdeckung klären: Ransomware-Payloads wurden außerhalb der Geschäftszeiten ausgeführt. Wer reagiert bei euch um 3:15 Uhr am Sonntag?
- Jahres-Pentest behalten, aber neu schneiden: Die manuelle Tiefe bleibt unersetzt. Verlagert den Scope auf Angriffspfade und Annahmen statt auf Asset-Listen, die ohnehin veralten.
Ziel ist es, dass eine neue Fehlkonfiguration direkt auffällt und nicht nach dem nächsten Budgetjahr!
Antworten auf die häufigsten Fragen zum Prüfintervall
Wie oft sollte man einen Penetrationstest durchführen?
Es gibt keine gesetzlich festgelegte Frequenz. Die NIS2-Richtlinie fordert einen risikobasierten Ansatz, in der Praxis empfehlen Sicherheitsfachleute mindestens jährliche Tests. Sinnvoll ist, das Intervall an der Änderungsrate der eigenen Infrastruktur auszurichten und zusätzlich nach jeder größeren Architekturänderung zu prüfen.
Wie lange brauchen Angreifer bis zum Active Directory?
Nach dem initialen Zugriff benötigen Angreifer im Mittel 3,4 Stunden, um den Active-Directory-Server zu erreichen. Die durchschnittliche Zeit bis zur ersten lateralen Bewegung lag 2025 bei 29 Minuten. Detektion und Reaktion müssen folglich innerhalb von Minuten greifen, nicht innerhalb von Arbeitstagen.
Was ist ein kontinuierlicher Pentest und wann lohnt er sich?
Bei kontinuierlicher Prüfung, tritt eine fortlaufende Beziehung zu einem Testing-Anbieter an die Stelle einzelner Beauftragungen. Das lohnt sich besonders für Organisationen mit häufigen Releases, wachsender Cloud-Nutzung oder vielen externen Zugängen.
Der Pentest bleibt, der Jahresrhythmus gehört überdacht
Niemand sollte aus diesen Zahlen schließen, dass Penetrationstests nichts taugen. Die Fünf-Phasen-Methodik des BSI liefert genau die Tiefe, die kein automatisiertes Werkzeug ersetzt. Was nicht mehr trägt, ist die Annahme, ein einzelner Termin pro Jahr sage etwas über die anderen 364 Tage aus.
Ursache ist das Verhältnis zweier Taktungen. Angriffe laufen in Stunden ab, Infrastrukturänderungen passieren wöchentlich, Prüfungen jährlich oder bei KRITIS sogar nur alle drei Jahre. Wer diese Lücke schließen will, muss die Beobachtung der eigenen Angriffsfläche verstetigen.
- Zeitfenster kennen: 3,4 Stunden bis zum AD-Server sind die Messlatte, an der sich Detektion und Reaktion messen lassen müssen.
- Identität zuerst: Zwei von drei Vorfällen beginnen bei kompromittierten Zugangsdaten, also gehören MFA und privilegierte Konten an den Anfang der Maßnahmenliste.
- Intervall begründen: Legt schriftlich fest, warum euer Prüfzyklus zur Änderungsrate passt.
- Von der Phishing-Mail zur Domain Admin: Der komplette Angriffspfad Schritt für Schritt nachgezeichnet
- Warum Zertifizierungen nicht bedeuten, dass ihr sicher seid: Wo Nachweis und Realität auseinanderlaufen
- MFA Bypass Techniken: Wie AiTM, MFA Fatigue und SIM-Swapping den zweiten Faktor aushebeln
Wie alt ist euer letzter Prüfbericht wirklich?
Wir prüfen Active Directories, Angriffsflächen und Identitätspfade punktuell oder fortlaufend, je nachdem wie schnell sich eure Infrastruktur verändert.
Erstgespräch anfordern →
