Was ist VAPT? Schwachstellenbewertung und Penetrationstests erklärt

VAPT steht für Vulnerability Assessment and Penetration Testing (Schwachstellenbewertung und Penetrationstests). Es ist ein Oberbegriff für zwei sich ergänzende Sicherheitsaktivitäten: das Auffinden der Schwachstellen in einem System (die Schwachstellenbewertung) und der sichere Nachweis, welche davon tatsächlich ausgenutzt werden können (der Penetrationstest).

Im Softwaretest ist Penetration Testing das sicherheitstechnische Gegenstück zum funktionalen Test: Statt zu prüfen, ob die Software das tut, was sie soll, prüft es, ob ein Angreifer sie dazu bringen kann, das zu tun, was sie nicht soll.

Bei einer Schwachstellenbewertung geht es um Breite. Sie identifiziert und listet systematisch potenzielle Schwachstellen in einem System auf, fehlende Patches, schwache Konfigurationen, offengelegte Dienste, mithilfe einer Kombination aus Werkzeugen und Prüfung. Das Ergebnis ist ein Katalog dessen, was möglicherweise falsch ist.

Bei einem Penetration Test geht es um Tiefe. Er ist überwiegend manuell und geht einen Schritt weiter, indem er versucht, die Schwachstellen auszunutzen, die ein Angreifer wirklich verwenden würde, sie miteinander zu verketten, Kontrollen zu umgehen und an Daten oder Funktionen zu gelangen, auf die er keinen Zugriff haben sollte. Das Ergebnis ist der Nachweis dessen, was tatsächlich möglich ist, und wie schwerwiegend es ist.

Für sich allein erzeugt eine Schwachstellenbewertung eine lange, nicht priorisierte Liste, häufig aufgebläht mit False Positives und theoretischen Problemen, die kein Angreifer erreichen könnte. Für sich allein kann ein Penetration Test einige wenige Pfade tiefgehend untersuchen, verfehlt aber die Breite.

Als VAPT kombiniert erhalten Sie beides: einen weiten Überblick darüber, wo die Schwachstellen liegen, sowie einen validierten, ausgenutzten Nachweis, welche davon von Bedeutung sind, sodass die Behebung nach dem tatsächlichen Risiko geordnet wird und nicht nach dem Schweregrad des Scanners.

Umfang: VAPT kann Webanwendungen, APIs, Cloud-Umgebungen, interne und externe Netzwerke sowie mobile Apps als Ziel haben, schriftlich vereinbart, bevor irgendein Test beginnt.

Methode: Gutes VAPT ist überwiegend manuell, mit Werkzeugen als Unterstützung. Die Tests laufen gegen vereinbarte Umgebungen mit vereinbarten Konten und lösen niemals zerstörerische oder die Verfügbarkeit beeinträchtigende Aktionen aus, ohne ausdrückliche Freigabe.

Ergebnis: ein schriftlicher Bericht mit einer Zusammenfassung für die Geschäftsleitung, reproduzierbaren Befunden (exakte Schritte und Nachweise), einer nach dem tatsächlichen Risiko geordneten Behebung und, sofern vereinbart, einem Nachtest, der bestätigt, dass die Korrekturen Bestand haben.

Ein Schwachstellenscan ist eine automatisierte Prüfung auf bekannte Probleme und nur eine Eingabe für die Bewertungshälfte von VAPT. Scans sind schnell und günstig, aber sie markieren Signaturen, anstatt über Ihr System zu urteilen.

VAPT fügt die beiden Dinge hinzu, die Scanner nicht leisten können: manuelle Tests, die Ihre Business-Logik verstehen, und die tatsächliche Ausnutzung, die die Auswirkung belegt. Die Fehler, die zu echten Sicherheitsverletzungen führen, fehlerhafte Zugriffskontrolle (Broken Access Control), Umgehungen der Authentifizierung, verkettete Exploits, sind in der Regel diejenigen, die nur ein Mensch findet.

Die üblichen Auslöser sind vor einem größeren Launch, nach wesentlichen Änderungen an einem System und in regelmäßigem Abstand, mindestens jährlich, und häufiger bei risikoreichen oder regulierten Systemen.

Compliance ist ebenfalls ein häufiger Treiber: Rahmenwerke wie SOC 2, ISO 27001 und PCI DSS erwarten de facto regelmäßige Tests, und der indische DPDP Act knüpft seine höchsten Strafen daran, dass angemessene Sicherheitsvorkehrungen nicht getroffen werden, was VAPT unmittelbar belegt.