Netzwerk-Penetrationstest: Ihre externe Infrastruktur
Ein Netzwerk-Penetrationstest prüft die Infrastruktur unter Ihren Anwendungen: exponierte Dienste, offene Ports, Edge-Appliances und Cloud-Netzwerk-Einstellungen, über die ein Angreifer Fuß fasst. Matproof Sentinel kartiert Ihre externe Netzwerk-Angriffsfläche, testet sie aus dem Internet und prüft jeden Befund erneut. So sehen Sie, was tatsächlich ausnutzbar ist. Mit einer Read-only-Rolle prüft Sentinel auch Ihre AWS-Netzwerk-Konfiguration. Sie erhalten einen audit-tauglichen Bericht mit Mapping auf ISO 27001, NIS2 und DORA. Kostenloser 3-Minuten-Scan, vollständiger Bericht ab €149.
Warum Tests auf Netzwerkebene in einer Cloud-first-Welt weiterhin zählen
Selbst Cloud-native Organisationen laufen auf Netzwerken: VPCs und Security-Groups, VPN- und Identity-Gateways, interne Dienste, die einander implizit vertrauen, und die Management-Oberflächen, die sich unbemerkt an den Rändern ansammeln. Ein Netzwerk-Penetrationstest beantwortet eine Frage, die ein Anwendungstest nicht beantwortet: Was kann ein Angreifer auf der Infrastrukturebene aus dem Internet erreichen und ausnutzen? Er findet exponierte Dienste, verwundbare Edge-Appliances (die wiederkehrende Ursache prominenter Breaches) und fehlkonfigurierte Cloud-Netzwerk-Controls. Ein interner Netzwerktest ist eine eigene Aufgabe. Er startet im Inneren Ihres Netzwerks und prüft laterale Bewegung und Segmentierung. Das übernimmt ein spezialisierter Pentester vor Ort oder per VPN. NIS2 Art. 21 und DORA Art. 24 erwarten beide technische Tests auf Infrastrukturebene, und Cyber-Versicherer verlangen zunehmend den Nachweis, dass die aus dem Internet erreichbaren Systeme getestet wurden.
- Edge-Appliances (VPN, Firewall, File-Transfer, Mail) bleiben ein Top-Initial-Access-Vektor. Bekannte CVE-RCEs werden binnen Tagen ausgenutzt. Netzwerk-Testing bestätigt, ob Ihre erreichbar und ausnutzbar sind.
- Vergessene Hosts, offene Datenbank-Ports und exponierte Admin-Oberflächen fehlen oft in der Asset-Liste. Ein externer Scan findet, was das Internet sieht.
- Schwache TLS-Einstellungen und Legacy-Protokolle auf öffentlichen Endpunkten übersieht man leicht. Sind sie gefunden, lassen sie sich schnell beheben.
- Cloud-Netzwerk-Controls driften: zu weit gefasste Security-Groups, exponierte Management-Ports und vergessene Peering-Routen sind verbreitet und genau das, was Infrastruktur-Testing aufdeckt.
- NIS2 Art. 21, DORA Art. 24 und ISO 27001:2022 A.8.20–A.8.22 (Netzwerksicherheit und Segregation) erwarten getestete — nicht nur dokumentierte — Netzwerk-Controls.
Was Matproof in einem Netzwerk-Penetrationstest prüft
- Externe Dienst-Exposition: offene Ports, Management-Oberflächen, aus dem Internet erreichbare Datenbanken, RDP/SSH-Exposition, Standard-/schwache Credentials
- Edge-Appliance-Schwachstellen: VPN-, Firewall- und File-Transfer-Geräte werden gefingerprintet und auf bekannte RCE- und Auth-Bypass-CVEs geprüft
- AWS-Cloud-Netzwerk-Konfiguration über eine Read-only-Rolle (Prowler): zu permissive Security-Groups, exponierte Management-Ports, öffentlicher Speicher
- DNS- und Zertifikats-Checks: Subdomains, verwaiste Einträge sowie abgelaufene oder schwache Zertifikate
- TLS- und Protokoll-Härtung (RFC 8446), schwache Cipher und exponierte Legacy-Protokolle
- Exponierte Dateien auf öffentlichen Hosts: Backups, Konfigurationsdateien und Versionskontroll-Ordner
- Befunde risikobewertet mit CVSS 3.1 und gemappt auf ISO 27001 A.8.20–A.8.22, NIS2 Art. 21 und DORA Art. 24 für audit-taugliche Evidenz
Beispiel-Befund
Port der Produktionsdatenbank aus dem Internet erreichbar
Ein typischer Befund im externen Netzwerktest: Ein PostgreSQL-Server antwortet auf Port 5432 jeder Adresse im Internet. Eine Security-Group-Regel erlaubt 0.0.0.0/0 auf diesem Port. Sie war für einen kurzen Test gedacht und wurde nie entfernt. Der Server nimmt Passwort-Logins an, also kann jeder Zugangsdaten raten oder wiederverwenden. Eine Datenbank, die nur aus dem Anwendungs-Subnetz erreichbar sein sollte, ist einer der häufigsten und schädlichsten Befunde im externen Netzwerktest.
Behebung: Entfernen Sie die öffentliche Regel und erlauben Sie Port 5432 nur aus dem Anwendungs-Subnetz oder über einen privaten Endpunkt. Nutzen Sie Deny-by-Default-Regeln statt gedrifteter Allow-Lists. Rotieren Sie die Datenbank-Zugangsdaten. Testen Sie danach erneut aus dem Internet, ob der Port geschlossen ist. Sentinel dokumentiert den Zustand vorher und nachher im Bericht als Evidenz für ISO 27001 A.8.20 und die DORA-Testanforderungen.
Referenz: CWE-284 Improper Access Control · ISO 27001:2022 A.8.20 Networks Security · NIS2 Art. 21 technische Maßnahmen
Netzwerk-Pentest: kostenloser Scan vs Matproof Sentinel vs klassische Beratung
| — | Kostenloser Scan | Matproof Sentinel | Klassische Beratung |
|---|---|---|---|
| Automatisierte Scan-Engine | ✓ (3-min Vorschau) | ✓ Vollständiger Scan | ✗ Nur manuell |
| OWASP Top 10 Abdeckung | Partiell | ✓ Vollständig | ✓ Vollständig |
| Proof-of-Exploit-Evidenz | ✗ | ✓ Bestätigte Befunde (Request/Response) | ✓ Pro Befund |
| Regulatorisches Mapping (DORA/NIS2/ISO 27001) | ✗ | ✓ Automatisiert | ✓ Manuell |
| Audit-tauglicher PDF-Bericht | ✗ | ✓ Sofort | ✓ 2–4 Wochen Lieferzeit |
| Kontinuierliche / wiederkehrende Scans | ✗ | ✓ Pro Deploy | ✗ Jährliches Engagement |
| Zeit bis zum ersten Ergebnis | ~3 Min. | ~30 Min. Vollscan | 2–4 Wochen |
| Preis | €0 | Ab €149 | €8.000–€25.000 |
| Quellcode-Review (SAST) | ✗ | ✓ Im Growth-Plan | ✓ Im Scope |
| API-Testing (REST/GraphQL) | ✗ | ✓ Automatisiert | ✓ Manuell |
Preise für Netzwerk-Penetrationstests
- 1 vollständiger Pentest-Scan
- KI-priorisierte Befunde mit CVSS 3.1
- Erneut geprüfte Findings mit Request/Response-Nachweis
- PDF-Bericht (audit-tauglich)
- Regulatorisches Mapping (DORA, NIS2, BSI)
- 3 vollständige Sentinel-Pentests pro Monat
- Kontinuierliches Monitoring
- CI/CD-Integration (GitHub, GitLab)
- Alle Regulierungs-Mappings
- Prioritäts-Support
- 10 Sentinel-Pentests pro Monat
- Weitere Scans für je €149
- Alle 10 Agenten, inkl. Cloud (Prowler) und Mobile (MobSF)
- Laufende Zeitpläne: stündlich, täglich oder wöchentlich
- Authentifizierte Scans (Session-Cookies, Bearer-Token)
- Webhook-Zustellung und Prioritäts-Support
Häufige Fragen zum Netzwerk-Penetrationstest
Was ist ein Netzwerk-Penetrationstest?
Ein Netzwerk-Penetrationstest prüft Ihre Infrastruktur, etwa exponierte Dienste, Edge-Appliances und Cloud-Netzwerk-Konfiguration, statt der Anwendungslogik, die darauf läuft. Er hat einen externen Teil (was ein Angreifer aus dem Internet erreichen und ausnutzen kann) und einen internen Teil (wie weit sich ein Angreifer bewegen kann, sobald er drin ist). Sentinel übernimmt den externen Teil. Den internen Teil übernimmt ein spezialisierter Pentester.
Ist ein Netzwerk-Penetrationstest noch relevant, wenn wir vollständig in der Cloud sind?
Ja. Cloud-Umgebungen sind weiterhin Netzwerke: VPCs, Security-Groups, VPN- und Identity-Gateways sowie interne Service-Vertrauensbeziehungen haben allesamt eine Angriffsfläche auf Netzwerkebene. Zu permissive Security-Groups, exponierte Management-Ports und öffentlicher Speicher sind verbreitete Cloud-Netzwerk-Befunde. Sentinel prüft sie aus dem Internet und, mit einer Read-only-Rolle, in Ihrer AWS-Konfiguration.
Was ist der Unterschied zwischen Netzwerk-, externem und internem Testing?
Netzwerk-Testing ist die Infrastrukturebene. Externes Testing betrachtet sie aus dem Internet. Internes Testing startet im Inneren Ihres Netzwerks und prüft laterale Bewegung, Privilegieneskalation und Segmentierung. Sentinel testet die externe Angriffsfläche. Für das interne Netzwerk arbeitet ein spezialisierter Pentester in Ihrer Umgebung. Viele Organisationen brauchen beides.
Was kostet ein Netzwerk-Penetrationstest?
Deutsche Anbieter mit offener Preisliste nennen für einen externen Netzwerk-Pentest ab €5.400 als Festpreis beziehungsweise €3.000–€8.000, und für einen Netzwerk-Pentest über extern und intern €8.500–€12.000 bei 5 bis 12 Testtagen (Quellen und Prüfdatum auf /de/pentest/kosten). Matproof Sentinel liefert kontinuierliches externes Netzwerk-Testing und einen audit-tauglichen Bericht ab €149 (Einzel-Scan) oder €299/Monat. Ein interner Netzwerktest durch einen spezialisierten Pentester wird separat bepreist.
Vertiefen — verwandte Artikel aus unserem Blog
Sehen Sie, was Ihr Netzwerk dem Internet zeigt
Starten Sie jetzt einen kostenlosen 3-Minuten-Scan oder erhalten Sie einen vollständigen Netzwerk-Penetrationstest-Bericht: exponierte Dienste, Edge-Appliances und TLS, erneut geprüfte Befunde mit Request/Response-Nachweis, gemappt auf ISO 27001, NIS2 und DORA, ab €149.
Kostenlosen Netzwerk-Scan starten