Penetrationstest für Legacy-Software: Wann er sinnvoll ist und was er kostet
Ihr Kunde schickt einen Fragebogen. Punkt 14 lautet: "Wann wurde Ihre Anwendung zuletzt einem Penetrationstest unterzogen?" Sie wissen die Antwort. Nie. Die Software läuft seit 2014, der ursprüngliche Entwickler ist weg, und bisher hat sich niemand beschwert.
Ein Penetrationstest für Software ist eine Prüfung mit den Mitteln eines Angreifers. Ein Tester versucht gezielt, in Ihr System einzudringen. Er arbeitet mit Ihrem Wissen und Ihrer Erlaubnis. Seine Methoden sind aber dieselben wie die eines echten Angreifers. Am Ende steht ein Bericht, der zeigt, wo es gelungen ist.
Für Legacy-Software ist so ein Test meist aufschlussreicher als für ein frisches Projekt. Er ist aber auch teurer, und nicht in jeder Lage die richtige Wahl. Dieser Artikel erklärt, wann ein Pentest sinnvoll ist, was er kostet und was Sie danach tun.
Was ein Pentest prüft und was nicht
Ein Penetrationstest beantwortet eine Frage: Kommt jemand rein? Der Tester schaut auf Login, Formulare, Schnittstellen (APIs, also Verbindungen zu anderen Programmen) und auf den Server dahinter. Er probiert bekannte Angriffsmuster aus, zum Beispiel manipulierte Eingaben, die Datenbankbefehle einschleusen. Findet er einen Weg, dokumentiert er ihn Schritt für Schritt.
Was der Test nicht liefert: eine Bewertung Ihrer Code-Qualität. Ein Pentest sieht die Anwendung von außen. Er sagt nichts darüber, ob der Code wartbar ist oder wie viele Abhängigkeiten seit Jahren keine Updates bekommen haben. Dafür gibt es das Security Audit für Legacy-Software, das von innen prüft. Beide Verfahren ergänzen sich.
Man unterscheidet außerdem zwei Varianten. Beim Blackbox-Test kennt der Tester nichts außer der Adresse. Beim Whitebox-Test bekommt er Quellcode und Zugänge. Für alte Systeme empfehle ich meistens eine Mischung. Der Tester sieht den Code, verhält sich aber wie ein Außenstehender. So findet er in weniger Tagen mehr.
Warum Legacy-Systeme beim Pentest anders abschneiden
Alte Software wurde für eine andere Bedrohungslage gebaut. 2012 waren viele Angriffsmuster, die heute automatisiert im Netz laufen, noch Randthemen. Der Code ist deshalb selten nachlässig geschrieben. Er ist nur nicht gegen Dinge geschützt, die es damals kaum gab.
Dazu kommt ein zweiter Effekt. Sicherheitslücken in alten Frameworks und Bibliotheken sind öffentlich dokumentiert. Jede davon hat eine CVE-Nummer, also einen Eintrag in einer weltweit zugänglichen Datenbank. Ein Pentester muss diese Lücken nicht selbst entdecken. Er schlägt sie nach und probiert sie aus. Bei einer PHP-7-Anwendung mit einem Framework von 2016 dauert das oft keine Stunde. Warum das gerade bei PHP so schnell geht, steht im Artikel zu PHP-Sicherheit 2026.
Das Ergebnis ist deshalb bei Legacy-Systemen selten eine Überraschung. Der Bericht listet meist zehn bis dreißig Funde. Einige davon sind kritisch. Das klingt schlimm, ist aber ein Vorteil: Sie wissen danach konkret, wo Sie stehen. Vorher hatten Sie nur ein ungutes Gefühl. Warum alte Software ein Sicherheitsrisiko bleibt, ohne dass jemand es merkt, erklärt ein eigener Artikel.
Wann ein Penetrationstest sinnvoll ist
Ein Pentest kostet Geld und bringt nur dann etwas, wenn Sie mit dem Ergebnis arbeiten können. Aus meiner Erfahrung lohnt er sich in vier Situationen.
Erstens, wenn ein Kunde, ein Versicherer oder eine Behörde ihn verlangt. Dann geht es nur noch um das Wie. Legen Sie den Umfang vorab schriftlich fest. Sonst testet der Dienstleister die halbe Firma und Sie zahlen für Dinge, die niemand gefragt hat.
Zweitens, wenn die Anwendung Kundendaten verarbeitet und über das Internet erreichbar ist. Ein Shop zum Beispiel, oder ein Kundenportal. Hier ist der Schaden bei einem Einbruch am größten, und die DSGVO verlangt angemessene technische Maßnahmen. Ein dokumentierter Test ist ein Nachweis, dass Sie hingeschaut haben.
Drittens, vor einer Übernahme oder einem Verkauf. Wer eine Firma mit Software kauft, will wissen, was er sich einhandelt. Ein Pentest ist dafür günstiger als eine böse Überraschung ein Jahr später.
Viertens, nach einer größeren Änderung. Eine neue Schnittstelle etwa, oder ein neues Login-Verfahren. Solche Umbauten öffnen gern Türen, die vorher zu waren.
Und wann ist ein Pentest keine gute Idee? Wenn Sie schon wissen, dass das System auf einer PHP-Version ohne Support läuft und seit Jahren keine Updates bekommen hat. Dann brauchen Sie keinen Bericht, der Ihnen das bestätigt. Investieren Sie das Geld lieber direkt in das Upgrade. Den Test machen Sie danach.
Was ein Pentest kostet
Die Preise hängen vom Umfang ab, nicht von der Größe Ihrer Firma. Ein Tester rechnet in Tagen. Eine kleine Webanwendung mit Login und wenigen Funktionen braucht zwei bis vier Tage. Ein Portal mit mehreren Rollen, Schnittstellen und Zahlungsabwicklung eher acht bis fünfzehn.
Bei Tagessätzen zwischen 1.000 und 1.800 Euro landen Sie damit zwischen 3.000 und 25.000 Euro. Automatisierte Scans gibt es deutlich günstiger, teilweise für ein paar hundert Euro im Monat. Die finden bekannte Lücken, aber keine Logikfehler. Ob ein Nutzer die Rechnung eines anderen Nutzers sehen kann, merkt ein Scanner nicht. Ein Mensch schon.
Rechnen Sie außerdem mit Kosten nach dem Test. Der Bericht ist nur das erste Drittel der Arbeit. Die Funde müssen jemand beheben, und bei alten Systemen ist das oft die größere Rechnung. Klären Sie vorher, wer das übernimmt. Ein Pentest ohne Plan für die Behebung ist ein teures Dokument im Schrank.
Was Sie mit dem Bericht anfangen
Ein guter Bericht sortiert die Funde nach Schweregrad, meist in vier Stufen von kritisch bis informativ. Fangen Sie oben an. Kritische Funde bedeuten in der Regel: Jemand kann Daten lesen oder Code ausführen. Die schließen Sie innerhalb weniger Tage. Notfalls mit einem Provisorium, etwa indem Sie eine Funktion vorübergehend abschalten.
Mittlere Funde sammeln Sie in einer Liste und arbeiten sie mit der normalen Wartung ab. Niedrige Funde sind oft Hinweise auf fehlende Sicherheits-Header oder ausführliche Fehlermeldungen. Die sind schnell erledigt und trotzdem lohnend, weil sie Angreifern Informationen nehmen.
Wichtig ist der Nachtest. Nach der Behebung prüft der Tester noch einmal, ob die Lücken wirklich zu sind. Viele Anbieter haben das im Preis drin. Fragen Sie danach.
Und dann kommt der Teil, den viele vergessen: Ein Pentest ist eine Momentaufnahme. Zwei Monate später gibt es neue Lücken in denselben Bibliotheken. Damit Sie das mitbekommen, brauchen Sie ein laufendes CVE-Monitoring. Das ist keine große Sache, aber es muss jemand machen.
Fazit
Ein Penetrationstest für Legacy-Software lohnt sich, wenn ein Nachweis gefordert ist, wenn Kundendaten im Spiel sind oder wenn eine Übernahme ansteht. Er kostet je nach Umfang zwischen 3.000 und 25.000 Euro, plus die Behebung. Bei Systemen ohne Updates seit Jahren sparen Sie sich den Test und sanieren zuerst.
Sie sind unsicher, ob Ihr System reif für einen Pentest ist oder ob erst ein Sicherheits-Audit dran ist? Sprechen Sie uns an. Das Erstgespräch ist kostenlos, und wir sagen Ihnen offen, welcher Weg bei Ihnen der günstigere ist.
