Black Box
Was ist ein Black-Box-Test?
Ein Black-Box-Test ist ein Prüfverfahren, bei dem der Tester keinen Einblick in den Quellcode oder die Systemarchitektur hat.
Er testet das System wie ein externer Angreifer, basierend auf öffentlich sichtbaren Schnittstellen.
Aufbau & Methoden
Testziele:
-
realistische Simulation externer Angriffe
-
Ermittlung offener Schwachstellen ohne Insiderwissen
Methoden:
-
Port Scanning
-
Fingerprinting
-
Fuzzing
-
Reconnaissance (Recon)
Getestet werden typischerweise:
-
Webanwendungen
-
APIs
-
Login-Mechanismen
-
Session-Handling
Black-Box-Tests liefern besonders valide Ergebnisse, wenn sie mit White-Box-Analysen kombiniert werden.
Einsatz in der Praxis
Häufig genutzt:
-
in Bug-Bounty-Programmen
-
bei externen Penetrationstests
-
für Testsysteme vor dem Go-Live
Sie decken reale Schwachstellen auf – etwa vergessene Admin-Interfaces oder ungeschützte APIs.
Standardbezug
-
OWASP Testing Guide: umfangreiche Methodensammlung
-
ISO 27001 – A.12.6: fordert regelmäßige Tests auf Schwachstellen
-
BSI Penetrationstest-Modul (SYS.4.4)
Verwandte Begriffe
-
Penetrationstest
-
Reconnaissance
-
Vulnerability Assessment
-
API Testing
Beispiel aus der Praxis
Bei einem externen Test wurde über eine öffentlich auffindbare Admin-Schnittstelle eine veraltete PHP-Version entdeckt.
Ein Exploit ermöglichte das Ablegen eines Backdoorscripts – vollständig ohne Authentifizierung.