Unprivilegierter Test
Was ist ein Unprivilegierter Test?
Ein Unprivilegierter Test ist ein Sicherheitstest, bei dem der Prüfer keine Zugangsdaten wie Benutzername oder Passwort besitzt. Ziel ist es, Schwachstellen aus der Sicht eines externen, anonymen Angreifers zu identifizieren.
Unprivilegierte Tests folgen typischerweise dem Black-Box-Modell und basieren auf Informationen, die öffentlich zugänglich oder durch Reconnaissance gesammelt wurden (z. B. über WHOIS, Shodan, passive DNS-Informationen oder Webanalysen). Es wird bewusst auf interne Systemkenntnisse verzichtet, um die reale Angriffsperspektive eines externen Bedrohungsakteurs zu simulieren.
Zum Einsatz kommen Tools wie:
-
Nmap (Port-Scanning)
-
Nikto (Webserver-Scanning)
-
DirBuster (Verzeichnis-Brute-Forcing)
-
OWASP ZAP (DAST für Webanwendungen)
Fokusbereiche sind Exposed Services, fehlerhafte Port-Konfigurationen, unsichere APIs und VPN-Endpunkte. Die Ergebnisse eines unprivilegierten Tests helfen Unternehmen, die öffentliche Angriffsfläche (Attack Surface) besser zu verstehen und gezielte Härtungsmaßnahmen wie IP-Filter, WAFs oder Netzwerksegmentierung einzuleiten.
Anwendung in der Praxis
Ein E-Commerce-Anbieter beauftragt einen externen Dienstleister mit einem unprivilegierten Penetrationstest. Ohne vorherige Zugangsdaten beginnt das Testteam mit DNS-Enumeration und Port-Scanning. Dabei entdecken sie eine veraltete API mit schwacher Authentifizierung und ein offenes Admin-Interface ohne Zugriffskontrolle. Der Bericht empfiehlt die sofortige Absicherung der API, Einführung von IP-Whitelisting und eine WAF-Regel zur Blockierung verdächtiger Requests.
Verwandte Begriffe
-
Penetration Test
-
Attack Surface
-
External Network (Testvektor)
-
Reconnaissance
-
OWASP ZAP