Penetrationstest: Bedeutung und Definition

Definition: Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf IT-Systeme, Anwendungen oder Netzwerke, mit dem Sicherheitslücken aufgespürt werden sollen, bevor echte Angreifer sie ausnutzen. Er setzt eine klare schriftliche Beauftragung durch den Berechtigten voraus.

Das unbefugte Verschaffen von Zugang zu besonders gesicherten Daten ist strafbar (§ 202a StGB), ebenso das Abfangen von Daten (§ 202b StGB) und die Datenveränderung oder Computersabotage (§§ 303a, 303b StGB). Eine wirksame Einwilligung des Berechtigten schließt die Unbefugtheit aus; bei Cloud- oder Hosting-Systemen müssen gegebenenfalls auch Dritte wie der Provider zustimmen. Regelmäßige Tests sind Teil angemessener technischer und organisatorischer Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO) und gehören für NIS-2-Einrichtungen zum Risikomanagement (§ 30 BSIG). Werden personenbezogene Daten eingesehen, ist der Dienstleister regelmäßig Auftragsverarbeiter (Art. 28 DSGVO).

Bedeutung für Sie

Ohne Erlaubnis des Systeminhabers kann ein Angriffstest strafbar sein, auch wenn er gut gemeint ist. Regeln Sie Umfang, Zeitraum, Testmethoden, Vertraulichkeit und Haftung vorab schriftlich und stellen Sie sicher, dass der Auftraggeber über die getesteten Systeme verfügen darf.

Mehr dazu: Cybersecurity

Rechtsgrundlagen

• § 202a StGB Normtext § 202a StGB (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab) 1 Urteil zu § 202a StGB
• § 303b StGB Normtext § 303b StGB (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)
• Art. 32 DSGVO Normtext Art. 32 DSGVO (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab) 7 Urteile zu Art. 32 DSGVO
• § 30 BSIG Normtext § 30 BSIG (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)