Pentest-Tools: Die wichtigsten Werkzeuge für Penetrationstester

Ein Penetrationstest lebt von seinen Werkzeugen. Während die Methodik und Erfahrung des Testers entscheidend sind, bestimmt die Werkzeugauswahl, wie effizient Schwachstellen identifiziert und dokumentiert werden. Dieser Artikel ordnet die wichtigsten Pentest-Tools nach ihrer Rolle im Testprozess ein und zeigt, wann welches Werkzeug zum Einsatz kommt.

Einordnung: Phasen eines Penetrationstests

Phase 1          Phase 2          Phase 3          Phase 4          Phase 5
Reconnaissance   Scanning         Exploitation     Post-Exploit.    Reporting
───────────────  ───────────────  ───────────────  ───────────────  ──────────
OSINT            Nmap             Metasploit       Mimikatz         WriteHat
Maltego          Nikto            SQLMap           BloodHound       Terminalizer
theHarvester     Gobuster         Burp Suite       Chisel           LaTeX/Typst
Shodan           SSLScan          Hydra            Rubeus
Amass            Nuclei           CrackMapExec     LinPEAS
                 Burp Suite       Zydra

Jedes Tool hat seinen Platz in einer oder mehreren Phasen. Ein häufiger Fehler ist es, Tools isoliert zu betrachten - in der Praxis werden sie kombiniert und die Ergebnisse eines Tools dienen als Input für das nächste.

Phase 1: Reconnaissance

In der Aufklärungsphase sammelt der Tester öffentlich verfügbare Informationen über das Ziel. Passive Reconnaissance hinterlässt keine Spuren beim Zielsystem, aktive Reconnaissance interagiert direkt.

Shodan

Shodan durchsucht das Internet nach öffentlich erreichbaren Diensten und Geräten. Im Gegensatz zu Google indexiert Shodan nicht Webseiten, sondern Banner von Diensten wie SSH, HTTP, FTP oder industriellen Steuerungssystemen. Für Penetrationstester ist Shodan wertvoll, um die Angriffsoberfläche eines Unternehmens einzuschätzen, bevor ein einziger Scan durchgeführt wird.

Typischer Einsatz: Identifikation exponierter Dienste, veralteter Softwareversionen und fehlkonfigurierter IoT-Geräte im Scope des Tests.

OSINT-Tools

Tools wie Maltego, theHarvester und Amass sammeln systematisch E-Mail-Adressen, Subdomains, IP-Bereiche und Mitarbeiterinformationen. Diese Informationen bilden die Grundlage für gezielte Angriffe in späteren Phasen - etwa für Passwort-Spraying mit gesammelten E-Mail-Adressen oder für Social-Engineering-Szenarien.

Phase 2: Scanning und Enumeration

Scanning-Tools identifizieren aktiv offene Ports, laufende Dienste und potenzielle Schwachstellen. Diese Phase liefert die technische Grundlage für gezielte Angriffe.

Nmap

Nmap ist das Standardwerkzeug für Netzwerk-Scanning. Es identifiziert offene Ports, erkennt Dienste und deren Versionen und kann mit der Nmap Scripting Engine (NSE) erste Schwachstellen-Checks durchführen. Kaum ein Penetrationstest beginnt ohne einen Nmap-Scan.

Wichtig: Nmap-Scans sind aktiv und werden von IDS/IPS-Systemen erkannt. Die Scan-Intensität sollte mit dem Auftraggeber abgestimmt sein.

Nikto

Nikto prüft Webserver auf bekannte Fehlkonfigurationen, veraltete Softwareversionen und gefährliche Standard-Dateien. Es ist kein Schwachstellen-Scanner im engeren Sinne, sondern ein Konfigurationsprüfer, der schnell offensichtliche Probleme aufdeckt.

Gobuster

Gobuster durchsucht Webserver nach versteckten Verzeichnissen und Dateien mittels Wortlisten (Directory Brute-Forcing). Wo Nikto bekannte Pfade prüft, findet Gobuster auch unerwartete Inhalte - Admin-Panels, Backup-Dateien oder API-Endpunkte, die nicht öffentlich verlinkt sind.

SSLScan

SSLScan analysiert die TLS-Konfiguration eines Servers: unterstützte Protokollversionen, Cipher Suites, Zertifikatskette und bekannte Schwächen wie BEAST, POODLE oder Heartbleed. In Zeiten, in denen TLS-Fehlkonfigurationen zu den häufigsten Findings gehören, ist SSLScan ein unverzichtbares Werkzeug.

Nuclei

Nuclei von ProjectDiscovery ist ein Template-basierter Schwachstellen-Scanner. Die Community pflegt tausende Templates für bekannte CVEs, Fehlkonfigurationen und Informationslecks. Nuclei eignet sich besonders für das schnelle Scannen großer Scope-Bereiche und lässt sich gut in automatisierte Pipelines integrieren.

Phase 3: Exploitation

Exploitation-Tools nutzen identifizierte Schwachstellen gezielt aus, um den tatsächlichen Impact zu demonstrieren.

Metasploit Framework

Metasploit ist das umfangreichste Exploitation-Framework und bietet Module für nahezu jede Phase des Penetrationstests. Von der Schwachstellenvalidierung über die Payload-Generierung bis zur Post-Exploitation liefert Metasploit eine einheitliche Plattform. Die Meterpreter-Payloads ermöglichen eine interaktive Kontrolle kompromittierter Systeme.

Burp Suite

Burp Suite ist der De-facto-Standard für Web-Application-Penetrationstests. Als Intercepting Proxy steht es zwischen Browser und Zielapplikation und ermöglicht die manuelle Analyse und Manipulation von HTTP-Requests. Die Professional-Version ergänzt einen automatisierten Scanner, der OWASP-Top-10-Schwachstellen wie SQL Injection, XSS und CSRF identifiziert.

SQLMap

SQLMap automatisiert die Erkennung und Ausnutzung von SQL-Injection-Schwachstellen. Es unterstützt alle gängigen Datenbanksysteme und kann von der Identifikation bis zur Datenextraktion den gesamten Prozess automatisieren. In der Praxis wird SQLMap oft mit manuell identifizierten Injection-Punkten aus Burp Suite kombiniert.

Hydra

Hydra ist ein Brute-Force-Tool für Netzwerk-Authentifizierung. Es unterstützt dutzende Protokolle (SSH, FTP, HTTP, SMB, RDP und mehr) und testet systematisch Benutzername-Passwort-Kombinationen. In Penetrationstests wird Hydra eingesetzt, um schwache Passwörter bei exponierten Diensten zu identifizieren.

Zydra

Zydra ist ein spezialisiertes Tool zum Knacken passwortgeschützter Dateien - insbesondere PDF-Dokumente, ZIP-Archive und RAR-Dateien. In Penetrationstests wird es eingesetzt, wenn bei der Informationssammlung verschlüsselte Dokumente gefunden werden, die potentiell sensitive Informationen enthalten.

Phase 4: Post-Exploitation

Nach dem initialen Zugriff geht es darum, die Reichweite des Angriffs zu demonstrieren. Post-Exploitation-Tools helfen bei der Rechteausweitung, lateralen Bewegung und Persistenz.

Privilege Escalation

Tools wie LinPEAS (Linux) und WinPEAS (Windows) automatisieren die Suche nach lokalen Rechteausweitungsmöglichkeiten: falsche Dateiberechtigungen, SUID-Binaries, unquoted Service Paths, fehlende Patches und Kernel-Exploits. Sie liefern innerhalb von Sekunden eine priorisierte Liste potenzieller Angriffsvektoren.

Lateral Movement

In Active-Directory-Umgebungen kommen spezialisierte Tools zum Einsatz: BloodHound visualisiert Angriffspfade durch AD-Berechtigungen, CrackMapExec automatisiert die laterale Bewegung über SMB, und Rubeus greift Kerberos-Tickets an. Diese Tools zeigen, wie ein Angreifer von einem kompromittierten Arbeitsplatzrechner zum Domain Admin gelangt.

Phase 5: Dokumentation und Reporting

Ein Penetrationstest ist nur so wertvoll wie sein Bericht. Die Dokumentation der Ergebnisse erfordert eigene Werkzeuge.

WriteHat

WriteHat ist ein Open-Source-Reporting-Tool, das speziell für Penetrationstester entwickelt wurde. Es bietet Templates für gängige Berichtsformate, ermöglicht die kollaborative Bearbeitung und generiert professionelle PDF-Berichte mit Findings, Risikobewertungen und Handlungsempfehlungen.

Terminalizer

Terminalizer ist ein Kommandozeilen-Tool, das Terminal-Sitzungen aufzeichnet und als animiertes GIF oder Web-Player exportiert. Im Pentest-Kontext dient es der lückenlosen Dokumentation: Jeder Befehl, jede Ausgabe wird reproduzierbar festgehalten. Das ist nicht nur für den Abschlussbericht wertvoll, sondern auch für die interne Qualitätssicherung.

Installation:

# macOS
brew install terminalizer

# Linux
apt-get install terminalizer

Die wichtigsten Befehle:

Befehl	Funktion
terminalizer record demo	Neue Aufnahme starten
terminalizer play demo	Aufnahme wiedergeben
terminalizer render demo	GIF aus Aufnahme generieren
terminalizer generate demo	Web-Player erstellen
terminalizer share demo	Aufnahme auf terminalizer.com teilen

Die generierten GIFs eignen sich hervorragend, um technische Abläufe in Berichten oder Blog-Artikeln visuell nachvollziehbar zu machen - ohne dass der Leser selbst ein Terminal öffnen muss.

Rubber Ducky und Bash Bunny

Nicht direkt Reporting-Tools, aber essentiell für die Demonstration physischer Angriffsvektoren: Der Rubber Ducky simuliert eine Tastatur und führt vorgefertigte Skripte in Sekundenbruchteilen aus. Sein „großer Bruder" Bash Bunny erweitert dies um Netzwerkangriffe und Datenexfiltration. In Red-Team-Assessments zeigen diese Geräte, wie schnell ein physischer Zugang zu einem vollständigen Systemkompromiss führen kann.

Werkzeugauswahl in der Praxis

Die Auswahl der richtigen Tools hängt vom Scope, der Zielumgebung und den vereinbarten Rules of Engagement ab:

Testtyp	Kern-Tools
Web-Applikation	Burp Suite, Nuclei, SQLMap, Gobuster
Netzwerk/Infrastruktur	Nmap, Metasploit, CrackMapExec, Hydra
Cloud	ScoutSuite, Prowler, CloudSploit
Mobile (iOS/Android)	Frida, Objection, MobSF
Active Directory	BloodHound, Rubeus, Mimikatz, CrackMapExec
WLAN	Aircrack-ng, Bettercap, Wifite
IoT/OT	Shodan, Firmwalker, Binwalk

Entscheidend ist nicht die Anzahl der eingesetzten Tools, sondern ihr gezielter Einsatz im richtigen Kontext. Ein erfahrener Pentester kennt die Stärken und Grenzen jedes Werkzeugs und weiß, wann manuelles Testen dem automatisierten Scan überlegen ist.

Abgrenzung: Pentest-Tools vs. DevSecOps-Tools

Pentest-Tools und DevSecOps-Tools verfolgen unterschiedliche Ziele: Pentest-Tools simulieren einen Angreifer und suchen aktiv nach ausnutzbaren Schwachstellen. DevSecOps-Tools integrieren Sicherheitsprüfungen in den Entwicklungsprozess und finden Probleme, bevor sie in Produktion gelangen. Beide Ansätze ergänzen sich - ein detaillierter Vergleich der DevSecOps-Werkzeuge findet sich im Wiki-Artikel zu DevSecOps-Tools.