Auf Basis der Forschungsarbeiten von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Ein Team von IT-Sicherheitsexperten greift die eigenen Systeme an. Nicht aus Sabotage, sondern im Auftrag. Sie schlüpfen in die Rolle echter Angreifer, suchen nach Schwachstellen, testen Passwörter, versuchen in Netzwerke einzudringen – und dokumentieren alles. Was klingt wie eine paradoxe Übung, ist heute eine der wirksamsten Methoden der Cyberabwehr: der Penetrationstest. Und für viele Unternehmen ist er längst keine freiwillige Kür mehr, sondern gesetzliche Pflicht.

Teichmann hat in seiner Forschung sowohl die regulatorischen Anforderungen als auch die strafrechtlichen Grenzen solcher Tests präzise analysiert. Die Frage, was Unternehmen bei Penetrationstests und Red Teaming dürfen, müssen und was sie unbedingt vermeiden sollten, hat eine Antwort – aber sie ist komplexer als viele vermuten (Teichmann & Boticiu, An Overview of the Benefits, Challenges, and Legal Aspects of Penetration Testing and Red Teaming, International Cybersecurity Law Review 2023, S. 1–11).

Was Penetrationstests und Red Teaming sind

Ein Penetrationstest ist ein autorisierter, simulierter Angriff auf IT-Systeme, Netzwerke oder Anwendungen mit dem Ziel, Sicherheitslücken zu identifizieren, bevor echte Angreifer dies tun. Der Penetrationstester handelt im Auftrag des Unternehmens, mit dessen ausdrücklicher schriftlicher Genehmigung, innerhalb eines definierten Umfangs und zu einem vereinbarten Zeitpunkt.

Red Teaming geht einen Schritt weiter. Während ein klassischer Penetrationstest oft auf spezifische Systeme fokussiert ist, simuliert ein Red Team einen vollständigen, realistischen Angriff auf das Unternehmen – häufig ohne dass das interne IT-Sicherheitsteam davon weiß. Ziel ist nicht nur die Identifikation technischer Schwachstellen, sondern die Prüfung der gesamten Detektions- und Reaktionsfähigkeit der Organisation (Teichmann & Boticiu, ICLR 2023, S. 1–11).

Der Unterschied ist bedeutsam: Ein Penetrationstest beantwortet die Frage „Welche technischen Schwachstellen haben wir?" Ein Red-Team-Einsatz beantwortet die Frage „Könnte ein echter Angreifer unser Unternehmen kompromittieren – und würden wir es überhaupt merken?"

Warum Penetrationstests heute Pflicht sind – oder bald werden

DORA verpflichtet bedeutende Finanzinstitute ausdrücklich zu regelmäßigen bedrohungsorientierten Penetrationstests, sogenannten Threat-Led Penetration Tests (TLPT). Diese Red-Team-Übungen müssen mindestens alle drei Jahre durchgeführt werden, von unabhängigen, qualifizierten Testern und nach einem EU-weit harmonisierten Rahmen. Die Ergebnisse sind der Aufsichtsbehörde mitzuteilen, kritische Befunde innerhalb festgelegter Fristen zu beheben. Vorbild ist das TIBER-EU-Framework, das in Deutschland bereits als TIBER-DE etabliert war (Teichmann, Digital Operational Resilience Act – EU-weit einheitliche IT-Sicherheitsregeln für Finanzinstitute, BB 2025, S. 2760–2770).

NIS-2 verlangt von wesentlichen und wichtigen Einrichtungen angemessene technische und organisatorische Maßnahmen. Regelmäßige Penetrationstests gelten als anerkannter Bestandteil des Stands der Technik und sind damit implizit gefordert. Wer sie nicht durchführt, riskiert, bei einem Vorfall nachweisen zu müssen, dass er ohne diese Maßnahmen trotzdem dem Stand der Technik entsprach – ein schwer zu führender Nachweis (Teichmann, NIS2-Schulungspflicht der Geschäftsleitung, Computer und Recht 2025, S. 718–725).

Das IT-Sicherheitsgesetz 2.0 verpflichtet KRITIS-Betreiber seit Mai 2023 zum Einsatz von Systemen zur Angriffserkennung, die laufend und automatisiert Betriebsparameter überwachen. Penetrationstests sind dabei das Instrument, mit dem geprüft wird, ob diese Erkennungssysteme tatsächlich funktionieren (Teichmann, IT-Sicherheitsgesetz 2.0 in der Praxis: Angriffserkennung und kritische Komponenten, BB 2025, S. 1993–1998).

Die strafrechtliche Grenze: Wann wird der Ethical Hacker zum Straftäter?

§ 202a StGB stellt das Ausspähen von Daten unter Strafe – bis zu drei Jahre Freiheitsstrafe für jeden, der sich unbefugt Zugang zu besonders gesicherten Daten verschafft. § 202c StGB – der sogenannte Hackerparagraph – stellt bereits das Vorbereiten solcher Handlungen unter Strafe, also das Beschaffen oder Herstellen von Angriffstools. Und § 303b StGB, die Computersabotage, greift wenn IT-Systeme durch Testhandlungen gestört werden.

Der entscheidende Rechtfertigungsgrund ist die Einwilligung des Berechtigten. Wer als Eigentümer oder Betreiber einem Penetrationstester ausdrücklich die Erlaubnis erteilt, hebt damit die Rechtswidrigkeit der sonst strafbaren Handlungen auf.

Aber diese Einwilligung muss bestimmten Anforderungen genügen. Sie muss von der Person erteilt werden, die tatsächlich verfügungsberechtigt ist. Sie muss vor Beginn des Tests erteilt werden – eine nachträgliche Genehmigung heilt eine Straftat nicht. Sie muss den konkreten Umfang des Tests abdecken: Handlungen außerhalb des vereinbarten Scopes verlieren den Schutz der Einwilligung. Und sie muss schriftlich dokumentiert sein, weil im Streitfall bewiesen werden muss, dass eine wirksame Einwilligung vorlag (Teichmann & Boticiu, ICLR 2023, S. 1–11).

Was der Vertrag leisten muss

Ein rechtssicherer Penetrationstest-Vertrag muss mehrere Kernelemente enthalten. Der Scope muss präzise definiert werden: Welche Systeme, Netzwerke, Anwendungen und IP-Adressbereiche dürfen getestet werden? Was ist ausdrücklich ausgeschlossen? Der Zeitraum muss festgelegt werden. Die erlaubten Methoden müssen beschrieben werden: Darf Social Engineering eingesetzt werden? Physischer Zugang? Denial-of-Service-Simulationen? Datenexfiltration zum Test der Erkennung?

Regelungen für den Notfall sind Pflichtbestandteil: Was passiert, wenn der Tester auf tatsächliche, nicht simulierte Angriffe stößt? Eine Hotline-Nummer, über die der Test sofort abgebrochen werden kann, ist obligatorisch. Und Vertraulichkeitsregelungen müssen sicherstellen, dass die Testergebnisse nicht in falsche Hände gelangen (Teichmann & Boticiu, ICLR 2023, S. 1–11).

Drittanbieter und Cloud: Das unterschätzte Rechtsproblem

In der modernen IT-Landschaft nutzen nahezu alle Unternehmen Cloud-Dienste, SaaS-Anwendungen und externe Hosting-Provider – und diese Drittanbieter haben eigene Nutzungsbedingungen, die Penetrationstests auf ihrer Infrastruktur einschränken oder verbieten können. Die großen Cloud-Anbieter erlauben Tests auf gemieteter Infrastruktur, verlangen dafür aber entweder eine vorherige Anmeldung oder schließen bestimmte Testmethoden aus. Wer dies ignoriert, riskiert nicht nur die Kündigung des Cloud-Vertrags, sondern auch rechtliche Konsequenzen.

Das NIS-2-Regime adressiert dieses Problem über die Lieferkettenverantwortung: Unternehmen müssen die Sicherheit ihrer IT-Dienstleister aktiv managen und haben das Recht, Sicherheitsaudits einzufordern. Dieses Prüfrecht sollte bereits beim Vertragsschluss mit IT-Dienstleistern verankert werden – ein Penetrationstest, der Drittanbieter-Infrastruktur nicht abdeckt, liefert nur ein unvollständiges Bild der tatsächlichen Angriffsfläche.

Red Teaming und die besondere Sorgfalt

Bei Red-Team-Übungen ohne Wissen des Blue Teams entstehen besondere Risiken. Das interne IT-Sicherheitsteam kann auf den simulierten Angriff reagieren wie auf einen echten: Systeme herunterfahren, externe Stellen informieren, Notfallpläne aktivieren. Teichmann empfiehlt daher eine klare Eskalationsstruktur: Eine kleine Gruppe von Vertrauenspersonen – typischerweise CISO und Geschäftsführung – weiß von der Übung und kann im Notfall eingreifen. Eine sofort erreichbare Hotline ist obligatorisch. Und die Rechtsdokumentation muss so gestaltet sein, dass sie im Ernstfall gegenüber Behörden oder Strafverfolgung sofort vorgelegt werden kann (Teichmann & Boticiu, ICLR 2023, S. 1–11).

Ergebnisse ernst nehmen – rechtlich zwingend

Teichmanns Forschung zeigt, dass viele Unternehmen Penetrationstests durchführen lassen, ohne die Ergebnisse wirklich zu nutzen. Ein Test, dessen Befunde in einer Schublade verschwinden, ist nicht nur verschwendetes Budget – er schafft rechtlich eine gefährliche Situation. Wer weiß, dass Schwachstellen existieren, und sie nicht behebt, handelt schuldhaft. Unter DORA sind Finanzinstitute ausdrücklich verpflichtet, kritische Befunde aus TLPT-Tests innerhalb festgelegter Fristen zu adressieren und der Aufsicht darüber zu berichten (Teichmann, BB 2025, S. 2760–2770).

Fazit: Angriff als beste Verteidigung – rechtlich abgesichert

Penetrationstests und Red-Team-Übungen sind heute das wirksamste Instrument, um die tatsächliche Widerstandsfähigkeit eines Unternehmens gegen Cyberangriffe zu messen. Kein technisches Konzept und kein Sicherheitsaudit kann ersetzen, was ein ethisch simulierter Angriff ans Licht bringt.

Teichmanns Forschung zeigt: Die rechtlichen Grundlagen für solche Tests sind klar, aber anspruchsvoll. Wirksame Einwilligung, präziser Scope, rechtssichere Verträge und ein strukturierter Remediation-Prozess sind die Grundvoraussetzungen. Und für immer mehr Unternehmen ist dieser Test keine Option mehr – sondern Pflicht.

Alle Quellenangaben beziehen sich auf veröffentlichte wissenschaftliche Beiträge von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Die vollständige Bibliographie ist im Publikationsverzeichnis (Stand Mai 2026) dokumentiert.