Penetrationstester & Ethical Hacker

Was macht ein Penetration Tester?

Er prüft Systeme, indem er sie angreift – vertraglich beauftragt, zeitlich begrenzt und mit einem festgelegten Umfang. Geprüft werden Webanwendungen und Schnittstellen, interne Netze und Verzeichnisdienste, Cloud-Umgebungen, Mobil- und Fachanwendungen, gelegentlich auch Menschen über Phishing-Kampagnen und Gebäude über Zugangstests. Die Arbeit besteht aus Aufklärung, dem Finden eines Einstiegs, dem Ausweiten der Rechte und dem Nachweis, wie weit man kommt.

Das Produkt ist aber nicht der Einbruch, sondern der Bericht. Er muss jeden Befund reproduzierbar beschreiben, sein Risiko einordnen und sagen, was zu ändern ist – für Entwickler technisch genau, für die Leitung in einem Absatz verständlich. Wer gut prüft und schlecht schreibt, liefert nichts Verwertbares. Dazu kommen die Abschlussbesprechung, Nachtests nach der Behebung und in vielen Häusern die Arbeit am Schwachstellenmanagement, also an der Frage, warum derselbe Befund im nächsten Jahr wieder auftaucht.

Wie wird man Penetration Tester?

Es gibt keinen Ausbildungsberuf und kein Studium, das direkt in diesen Beruf führt. Was zählt, ist nachweisbares Können in den Grundlagen: Betriebssysteme, Netzprotokolle, Webtechnik, Verzeichnisdienste und eine Skriptsprache. Die üblichen Herkünfte sind die Systemadministration, die Softwareentwicklung und ein Informatikstudium mit eigenem Interesse am Thema.

Der Nachweis nach außen läuft über Zertifikate, und sie sind nicht gleich viel wert. Das OSCP verlangt eine praktische Prüfung über 24 Stunden an einem Labornetz samt Bericht und gilt deshalb als belastbar. Die GIAC-Prüfungen aus dem SANS-Umfeld sind fachlich angesehen und sehr teuer. Das CEH wird häufig in Anzeigen genannt, ist in der Standardvariante aber eine Multiple-Choice-Prüfung über 125 Fragen; es belegt Wissen und keine Ausnutzung. Wer nur dieses Zertifikat hat, sollte etwas Eigenes vorlegen können – Berichte aus Übungslabors, Beiträge zu Werkzeugen, Funde aus legalen Programmen.

Ein Hinweis zur Suche, der vielen Bewerbern Zeit spart: Im deutschen Markt wird nicht als Ethical Hacker ausgeschrieben. Der Begriff kommt in Stellentiteln praktisch nicht vor, ebenso wenig Red Team, Offensive Security oder Bug Bounty. Gesucht wird nach Pentester, Penetrationstester und Penetration Tester.

Was der Beruf verlangt

Zuerst Sauberkeit im Rechtlichen. Ohne schriftliche Beauftragung mit Umfang, Zeitfenster und benannten Ansprechpartnern ist dieselbe Handlung eine Straftat nach § 202a und § 303b StGB; die Beauftragung ist kein Formalismus, sondern die Grundlage des Berufs. Dazu kommt Verschwiegenheit über alles, was man dabei sieht.

Fachlich verlangt der Beruf ständiges Nachlernen, weil Werkzeuge und Angriffswege schnell veralten. Menschlich verlangt er die Fähigkeit, unangenehme Ergebnisse ohne Triumph zu überbringen – Sie sitzen einem Team gegenüber, dessen Arbeit Sie gerade auseinandergenommen haben. Die Arbeitszeiten sind meist regulär, Prüfungen an produktiven Systemen liegen aber oft in Wartungsfenstern am Abend oder am Wochenende.

Aussichten

Die Nachfrage ist stabil und die Zahl der Stellen klein, weil die meisten Unternehmen Penetrationstests einkaufen statt eigene Tester einzustellen. Wer angestellt prüfen will, findet die Stellen überwiegend bei Prüf- und Beratungshäusern und bei einigen Konzernen mit eigenem Team. Regulatorisch wächst der Bedarf: DORA verlangt von bedeutenden Finanzunternehmen bedrohungsgeleitete Tests, NIS2 und ISO 27001 verlangen Wirksamkeitsprüfungen. Weiterwege führen in die Sicherheitsarchitektur, in die Beratung und in die Leitung eines Prüfteams.