Management Summary

Kontinuierliche Penetrationstests schließen die Lücke zwischen punktuellen Sicherheitsprüfungen und einer dynamischen Angriffsfläche, die sich durch neue Releases, Cloud-Ressourcen und Schwachstellen laufend verändert.
Der Markt verwendet den Begriff »kontinuierlich« uneinheitlich: On-Demand-Tests, geplante Scanner, CI/CD-Prüfungen und agentenbasiertes Red-Teaming liefern sehr unterschiedliche Aussagekraft.
KI-gestützte Erkennung erhöht Geschwindigkeit und Skalierung offensiver Sicherheitstests, ersetzt aber nicht die menschliche Validierung von Ausnutzbarkeit und Relevanz.
Für CISOs entsteht der eigentliche Mehrwert erst durch ein validiertes Risikobild: belastbare Befunde, weniger False Positives und ein aktueller Blick auf reale Angriffsmöglichkeiten.
Der kombinierte Ansatz aus kontinuierlicher KI-gestützter Erkennung und von Experten validierten Penetrationstests macht offensive Sicherheit messbar, auditierbar und strategisch steuerbar.

Angela Heindl-Schober, CMO bei Synack (c)

»Kontinuierlich« ist im Bereich der offensiven Sicherheit zum überstrapazierten Begriff geworden. Was kontinuierliche Penetrationstests wirklich auszeichnet und warum viele Marktangebote das Versprechen nicht einlösen, erklärt Angela Heindl-Schober von Synack.

Für die meisten Sicherheitsverantwortlichen ist der Penetrationstest nach wie vor ein jährliches Ereignis, das eine Momentaufnahme liefert, die schon fast in dem Moment veraltet ist, in dem der Bericht vorliegt. Zwischen den Tests werden Code-Versionen veröffentlicht, Cloud-Ressourcen hochgefahren und neue Sicherheitslücken entstehen unbemerkt.

Die Lücke zwischen dem, was Unternehmen getestet haben, und dem, was Angreifer erreichen können, ist zu einem der unangenehmsten blinden Flecken in der Unternehmenssicherheit geworden. »Kontinuierliche« Tests sollten diese Lücke schließen. Doch wenn man sich heute auf dem Markt umschaut, ist der Begriff so weit gedehnt, dass er fast alles bedeuten kann.

Was sind kontinuierliche Penetrationstests?

Kontinuierliche Penetrationstests sind die Praxis, offensive Sicherheitstests automatisch und wiederholt an Systemen und Ressourcen durchzuführen. Dies bedeutet, nicht im Rahmen eines einmaligen, zeitlich begrenzten Einsatzes zu testen, sondern nach einem wiederkehrenden Zeitplan, bei jeder wesentlichen Änderung oder fortlaufend. Das Ziel besteht darin, die Ergebnisse angesichts einer sich ständig verändernden Angriffsfläche auf dem neuesten Stand zu halten, sodass Risiken kontinuierlich gemessen werden, anstatt einmal erfasst und dann veraltet zu sein.

Diese Idee ist Teil eines umfassenderen Wandels in der Branche. Gartners »Continuous Threat Exposure Management« (CTEM)-Framework definiert Sicherheit neu im Sinne einer kontinuierlichen Erkennung, Priorisierung und Validierung von Sicherheitslücken – statt periodischer, episodischer Überprüfungen. NetSPI argumentiert ähnlich, dass kontinuierliche Tests zum neuen Standard für moderne Sicherheitsprogramme geworden sind [1].

Warum »kontinuierlich« vier verschiedene Bedeutungen hat

Das Schlüsselwort ist »kontinuierlich«, denn ein Test zu einem bestimmten Zeitpunkt ist bereits am Tag seiner Fertigstellung veraltet. Die Angriffsfläche ist kein statisches Gebilde, das man einmal im Jahr dokumentiert, sondern ein lebendiges Ziel, das sich täglich verändert.

Bei näherem Hinsehen, wie Anbieter den Begriff »kontinuierlich« definieren, kristallisieren sich vier unterschiedliche Modelle heraus. Jedes bezeichnet sich selbst als »kontinuierlich«. Nur einige verhalten sich auch tatsächlich so, und fast keines überprüft die gewonnenen Ergebnisse.

On-Demand-Testpools: Unternehmen erwerben einen Pool von Tests und starten jeden einzelnen manuell. Das ist nicht wirklich kontinuierlich, weil jeder Test aktiv ausgelöst werden muss und die menschliche Validierung eingeschränkt bleibt.
Geplante autonome Scanner: Ein wöchentlicher oder monatlicher Rhythmus wiederholt denselben umfassenden Test automatisch. Die Prüfung erfolgt regelmäßig, jedoch ohne menschliche Validierung.
Diff-basierte CI/CD-Tests: Diese Tests werden bei jedem Code-Deployment ausgelöst, prüfen aber nur den geänderten Code. Sie laufen kontinuierlich in der Pipeline, liefern aber ebenfalls keine menschlich validierten Ergebnisse.
Ständig aktives, agentenbasiertes Red-Teaming: Eine Plattform überprüft die Live-Umgebung kontinuierlich und läuft größtenteils autonom.

Zwei Muster fallen besonders auf. Erstens sind mehrere »kontinuierliche« Angebote in Wirklichkeit On-Demand-Tools, die häufig manuell gestartet werden müssen. Sie sind insofern »kontinuierlich«, als man oft testen kann, nicht aber, dass die Tests von selbst ablaufen. Zweitens – und noch wichtiger: Die Modelle, die wirklich automatisiert sind, verzichten fast ausnahmslos auf eine menschliche Überprüfung. Sie liefern rohe, maschinengenerierte Ergebnisse, einschließlich Fehlalarme, und überlassen es dem Team, das Wesentliche vom Rauschen zu trennen. Das ist der Kompromiss, den der Markt stillschweigend akzeptiert hat: Geschwindigkeit im Austausch gegen Vertrauen. Unternehmen sollten aber genau diesen Kompromiss nicht eingehen.

Einsatz und Grenzen von KI bei Penetrationstests

KI hat den Erkundungsteil von Penetrationstests grundlegend verändert. Moderne KI-basierte Testsysteme können eine Angriffsfläche erfassen, wahrscheinliche Schwachstellen ableiten, Schritte hin zu einem Exploit verketten – und das in einem Umfang und einer Geschwindigkeit, die kein menschliches Team erreichen kann. Das ist Realität, und deshalb haben sich autonome Tests zu einer Selbstverständlichkeit entwickelt.

Doch Erkennung ist nicht gleichbedeutend mit Sicherheit. Eine KI, die tausend potenzielle Probleme meldet, hat das Risiko nicht verringert, sondern es zu einem Triage-Problem gemacht. Die Frage, auf die jeder Sicherheitsverantwortliche eine Antwort braucht, ist enger gefasst und schwieriger: »Welche dieser Schwachstellen kann ein echter Angreifer gerade jetzt in meiner Umgebung ausnutzen?«

Um diese Frage zuverlässig zu beantworten, muss nach wie vor ein Mensch in den Prozess eingebunden sein. Das ist die Grenze, die einen Scanner von einem Penetrationstest trennt, und es ist die Grenze, die die meisten »KI-Penetrationstest«-Produkte stillschweigend überschreiten.

Teams fragen oft, ob kontinuierliche Tests die herkömmlichen Einsätze ersetzen. Sie erfüllen unterschiedliche Anforderungen, doch bei einer sich schnell verändernden Angriffsfläche ist der Unterschied in den Ergebnissen eklatant. Einmalige Tests zeigen, was am Tag des Tests ausnutzbar war. Kontinuierliche Tests zeigen, was gerade jetzt ausnutzbar ist – und halten Sicherheitsteams darüber auf dem Laufenden.

Sara Continuous: KI-Erkennung, von Menschen validierte Beweise

Der Ansatz von Synack kombiniert Sara, eine agentenbasierte KI, mit dem Synack Red Team (SRT) auf einer einzigen Plattform, die von Grund auf für »Human-in-the-Loop«-Tests entwickelt wurde. Sara übernimmt die kontinuierliche Erkennung und intelligente Validierung in großem Maßstab. Der Schwachstellen-Bearbeitungsprozess von Synack stellt sicher, dass Befunde bestätigt und auf Ausnutzbarkeit geprüft werden, bevor sie geliefert werden. Das Ergebnis ist, dass jeder gelieferte Befund bewiesen ist, nicht nur vorhergesagt. Diese Kombination aus autonomer Geschwindigkeit und validierten Nachweisen – ohne dass Zugriff auf den Quellcode erforderlich ist und ohne die Belastung durch Fehlalarme – bildet die Grundlage, auf der Sara Continuous aufbaut.

Für CISOs und Führungskräfte im Sicherheitsbereich liegt der Wert von »Sara Continuous« nicht wirklich in der Testhäufigkeit, sondern in den Fragen, die sie endlich mit Sicherheit beantworten können:

Ist mein Risikobild aktuell? Kontinuierliche, validierte Abdeckung bedeutet, dass die Sicherheitslage die heutige Angriffsfläche widerspiegelt – nicht die des letzten Quartals.
Kann ich den Angaben im Bericht vertrauen? Menschliche Validierung bedeutet, dass das Team echte, ausnutzbare Schwachstellen behebt – und nicht False Positives, die ein autonomes Tool über Nacht generiert hat.
Kann ich Fortschritte im Zeitverlauf nachweisen? Kumulative Trenddaten machen Penetrationstests von einer reinen Compliance-Maßnahme zu einem messbaren Programm zur Risikominderung, das Sicherheitsverantwortliche dem Vorstand präsentieren können.
Kann ich gegenüber Aufsichtsbehörden und Wirtschaftsprüfern meine Sorgfalt nachweisen? Kontinuierliche Tests auf FedRAMP-zugelassener Infrastruktur unterstützen selbst anspruchsvolle Compliance-Anforderungen.

Wie Unternehmen kontinuierliche Penetrationstests angehen sollten

Das Modell von Synack integriert kontinuierliche, KI-gesteuerte Erkennung mit von Experten geleiteten Penetrationstests als Service (PTaaS) für Ressourcen mit höchster Priorität. Die Logik ist einfach: Automatisierung ohne Validierung erzeugt nur Volumen, und Validierung ohne kontinuierliche Abdeckung erzeugt blinde Flecken. Beides zusammen einzusetzen, ist der Weg, wie Unternehmen von einer Liste von Befunden zu einem validierten Programm zur Risikominderung gelangen. Entscheidend ist, dass die Erkundungsebene kontinuierlich die von Menschen validierte Testebene versorgt.

[1] Why Continuous Testing is the New Standard for Modern Security – NetSPI

FAQ

Was sind kontinuierliche Penetrationstests?
Kontinuierliche Penetrationstests prüfen Systeme, Anwendungen und Ressourcen nicht nur zu einem festen Zeitpunkt, sondern wiederholt, ereignisbasiert oder fortlaufend. Ziel ist ein aktuelles Risikobild der sich laufend verändernden Angriffsfläche.

Warum reichen klassische Penetrationstests oft nicht mehr aus?
Klassische Penetrationstests liefern eine Momentaufnahme. Sobald neue Code-Versionen, Cloud-Ressourcen oder Konfigurationen hinzukommen, kann das Testergebnis veraltet sein. Kontinuierliche Penetrationstests reduzieren diesen blinden Fleck.

Welche Rolle spielt KI-gestützte Erkennung?
KI-gestützte Erkennung kann Angriffsflächen schneller analysieren, potenzielle Schwachstellen priorisieren und Tests in großem Maßstab unterstützen. Sie erhöht Tempo und Abdeckung, ersetzt aber nicht die menschliche Validierung.

Warum ist menschliche Validierung entscheidend?
Menschliche Validierung trennt reale, ausnutzbare Schwachstellen von False Positives. Erst dadurch werden automatisierte Befunde zu belastbaren Nachweisen, die Sicherheitsteams priorisieren und gegenüber Management oder Prüfern begründen können.

Welchen Nutzen haben CISOs von kontinuierlichen Penetrationstests?
CISOs erhalten ein aktuelles, validiertes Risikobild, können Fortschritte im Zeitverlauf nachweisen und Sicherheitsprogramme stärker an realer Ausnutzbarkeit statt an reinen Befundlisten ausrichten.

262 Artikel zu „Penetrationstest“

News | Business Process Management | Digitalisierung | Künstliche Intelligenz | Services

KI-Penetrationstests selbst entwickeln oder kaufen?

14. Juli 2026

Vorstände und CIOs drängen Sicherheitsteams dazu, interne KI-Penetrationstest-Tools selbst zu entwickeln – aber lohnt sich das? Mit jedem neuen Frontier Model Release – sei es Mythos von Anthropic oder ChatGPT 5.5 – stehen Sicherheits- und Penetrationstest-Teams unter dem zunehmenden Druck seitens von Vorständen, CEOs und CIOs, interne KI-Tools zu entwickeln. Bevor sie sich für die…