Kontinuierliche Penetrationstests: Was IT-Sicherheitsverantwortliche wissen müssen

Für die meisten Sicherheitsverantwortlichen ist der Penetrationstest nach wie vor ein jährliches Ereignis, das eine Momentaufnahme liefert, die schon fast in dem Moment veraltet ist, in dem der Bericht vorliegt.

Zwischen den Tests werden Code-Versionen veröffentlicht, Cloud-Ressourcen hochgefahren und neue Sicherheitslücken entstehen unbemerkt.

Die Lücke zwischen dem, was Unternehmen getestet haben, und dem, was Angreifer erreichen können, ist zu einem der unangenehmsten blinden Flecken in der Unternehmenssicherheit geworden. „Kontinuierliche“ Tests sollten diese Lücke schließen. Doch wenn man sich heute auf dem Markt umschaut, ist der Begriff so weit gedehnt, dass er fast alles bedeuten kann.

Was sind kontinuierliche Penetrationstests?

Kontinuierliche Penetrationstests sind die Praxis, offensive Sicherheitstests automatisch und wiederholt an Systemen und Ressourcen durchzuführen. Dies bedeutet, nicht im Rahmen eines einmaligen, zeitlich begrenzten Einsatzes zu testen, sondern nach einem wiederkehrenden Zeitplan, bei jeder wesentlichen Änderung oder fortlaufend. Das Ziel besteht darin, die Ergebnisse angesichts einer sich ständig verändernden Angriffsfläche auf dem neuesten Stand zu halten, sodass Risiken kontinuierlich gemessen werden, anstatt einmal erfasst und dann veraltet zu sein.

Diese Idee ist Teil eines umfassenderen Wandels in der Branche. Gartners „Continuous Threat Exposure Management“ (CTEM)-Framework definiert Sicherheit neu im Sinne einer kontinuierlichen Erkennung, Priorisierung und Validierung von Sicherheitslücken – statt periodischer, episodischer Überprüfungen. NetSPI argumentiert ähnlich, dass kontinuierliche Tests zum neuen Standard für moderne Sicherheitsprogramme geworden sind.

Warum „kontinuierlich“ vier verschiedene Bedeutungen hat

Das Schlüsselwort ist „kontinuierlich“, denn ein Test zu einem bestimmten Zeitpunkt ist bereits am Tag seiner Fertigstellung veraltet. Die Angriffsfläche ist kein statisches Gebilde, das man einmal im Jahr dokumentiert, sondern ein lebendiges Ziel, das sich täglich verändert.

Bei näherem Hinsehen, wie Anbieter den Begriff „kontinuierlich“ definieren, kristallisieren sich vier unterschiedliche Modelle heraus. Jedes bezeichnet sich selbst als „kontinuierlich“. Nur einige verhalten sich auch tatsächlich so, und fast keines überprüft die gewonnenen Ergebnisse.

• On-Demand-Testpools: Sie erwerben einen Pool von Tests und starten jeden einzelnen manuell. Dies ist nicht kontinuierlich, denn jeder Test wird manuell ausgelöst. Die Validierung durch Menschen ist eingeschränkt.
• Geplante autonome Scanner: Unternehmen legen einen wöchentlichen/monatlichen Rhythmus fest; derselbe umfassende Test wird automatisch wiederholt. Dies erfolgt kontinuierlich, im festgelegten Rhythmus, aber es gibt keine Validierung durch Menschen.
• Diff-basierte CI/CD-Tests: Diese werden bei jedem Code-Deployment ausgelöst, testen aber nur den geänderten Code. Ja, in der Pipeline. Dies erfolgt kontinuierlich, in der Pipeline, aber es gibt ebenso keine Validierung durch Menschen.
• Ständig aktives, agentenbasiertes Red-Teaming: Eine Plattform überprüft die Live-Umgebung kontinuierlich und läuft größtenteils autonom.

Zwei Muster fallen besonders auf. Erstens sind mehrere „kontinuierliche“ Angebote in Wirklichkeit On-Demand-Tools, die häufig manuell gestartet werden müssen. Sie sind insofern „kontinuierlich“, als man oft testen kann, nicht aber, dass die Tests von selbst ablaufen. Zweitens – und noch wichtiger: Die Modelle, die wirklich automatisiert sind, verzichten fast ausnahmslos auf eine menschliche Überprüfung. Sie liefern rohe, maschinengenerierte Ergebnisse, einschließlich Fehlalarme, und überlassen es dem Team, das Wesentliche vom Rauschen zu trennen. Das ist der Kompromiss, den der Markt stillschweigend akzeptiert hat: Geschwindigkeit im Austausch gegen Vertrauen. Unternehmen sollten aber genau diesen Kompromiss nicht eingehen.

Einsatz und Grenzen von KI bei Penetrationstests

KI hat den Erkundungsteil von Penetrationstests grundlegend verändert. Moderne KI-basierte Testsysteme können eine Angriffsfläche erfassen, wahrscheinliche Schwachstellen ableiten, Schritte hin zu einem Exploit verketten – und das in einem Umfang und einer Geschwindigkeit, die kein menschliches Team erreichen kann. Das ist Realität, und deshalb haben sich autonome Tests zu einer Selbstverständlichkeit entwickelt.

Doch Erkennung ist nicht gleichbedeutend mit Sicherheit. Eine KI, die tausend potenzielle Probleme meldet, hat das Risiko nicht verringert, sondern es zu einem Triage-Problem gemacht. Die Frage, auf die jeder Sicherheitsverantwortliche eine Antwort braucht, ist enger gefasst und schwieriger: „Welche dieser Schwachstellen kann ein echter Angreifer gerade jetzt in meiner Umgebung ausnutzen?“

Um diese Frage zuverlässig zu beantworten, muss nach wie vor ein Mensch in den Prozess eingebunden sein. Das ist die Grenze, die einen Scanner von einem Penetrationstest trennt, und es ist die Grenze, die die meisten „KI-Penetrationstest“-Produkte stillschweigend überschreiten.

Teams fragen oft, ob kontinuierliche Tests die herkömmlichen Einsätze ersetzen. Sie erfüllen unterschiedliche Anforderungen, doch bei einer sich schnell verändernden Angriffsfläche ist der Unterschied in den Ergebnissen eklatant. Einmalige Tests zeigen, was am Tag des Tests ausnutzbar war. Kontinuierliche Tests zeigen, was gerade jetzt ausnutzbar ist – und halten Sicherheitsteams darüber auf dem Laufenden.

Sara Continuous: KI-Erkennung, von Menschen validierte Beweise

Der Ansatz von Synack kombiniert Sara, eine agentenbasierte KI, mit dem Synack Red Team (SRT) auf einer einzigen Plattform, die von Grund auf für „Human-in-the-Loop“-Tests entwickelt wurde. Sara übernimmt die kontinuierliche Erkennung und intelligente Validierung in großem Maßstab. Der Schwachstellen-Bearbeitungsprozess von Synack stellt sicher, dass Befunde bestätigt und auf Ausnutzbarkeit geprüft werden, bevor sie geliefert werden. Das Ergebnis ist, dass jeder gelieferte Befund bewiesen ist, nicht nur vorhergesagt. Diese Kombination aus autonomer Geschwindigkeit und validierten Nachweisen – ohne dass Zugriff auf den Quellcode erforderlich ist und ohne die Belastung durch Fehlalarme – bildet die Grundlage, auf der Sara Continuous aufbaut.

Für CISOs und Führungskräfte im Sicherheitsbereich liegt der Wert von „Sara Continuous“ nicht wirklich in der Testhäufigkeit, sondern in den Fragen, die sie endlich mit Sicherheit beantworten können:

• Ist mein Risikobild aktuell? Kontinuierliche, validierte Abdeckung bedeutet, dass die Sicherheitslage die heutige Angriffsfläche widerspiegelt – nicht die des letzten Quartals.
• Kann ich den Angaben im Bericht vertrauen? Menschliche Validierung bedeutet, dass das Team echte, ausnutzbare Schwachstellen behebt – und nicht False Positives, die ein autonomes Tool über Nacht generiert hat.
• Kann ich Fortschritte im Zeitverlauf nachweisen? Kumulative Trenddaten machen Penetrationstests von einer reinen Compliance-Maßnahme zu einem messbaren Programm zur Risikominderung, das Sicherheitsverantwortliche dem Vorstand präsentieren können.
• Kann ich gegenüber Aufsichtsbehörden und Wirtschaftsprüfern meine Sorgfalt nachweisen? Kontinuierliche Tests auf FedRAMP-zugelassener Infrastruktur unterstützen selbst die anspruchsvollsten Compliance-Anforderungen.

Wie man kontinuierliche Penetrationstests angeht

Das Modell von Synack integriert kontinuierliche, KI-gesteuerte Erkennung mit von Experten geleiteten Penetrationstests als Service (PTaaS) für Ressourcen mit höchster Priorität. Die Logik ist einfach: Automatisierung ohne Validierung erzeugt nur Volumen, und Validierung ohne kontinuierliche Abdeckung erzeugt blinde Flecken. Beides zusammen einzusetzen, ist der Weg, wie Unternehmen von einer Liste von Befunden zu einem validierten Programm zur Risikominderung gelangen. Entscheidend ist, dass die Erkundungsebene kontinuierlich die von Menschen validierte Testebene versorgt.