Black Box
Was ist ein Black-Box-Test?
Ein Black-Box-Test ist ein Prüfverfahren, bei dem der Tester keinen Einblick in den Quellcode oder die Systemarchitektur hat.
Er testet das System wie ein externer Angreifer – basierend auf öffentlich sichtbaren Schnittstellen.
Aufbau & Methoden
Testziele:
-
realistische Simulation externer Angriffe
-
Ermittlung offener Schwachstellen ohne Insiderwissen
Methoden:
-
Port Scanning
-
Fingerprinting
-
Fuzzing
-
Reconnaissance (Recon)
Getestet werden typischerweise:
-
Webanwendungen
-
APIs
-
Login-Mechanismen
-
Session-Handling
Black-Box-Tests liefern besonders valide Ergebnisse, wenn sie mit White-Box-Analysen kombiniert werden.
Einsatz in der Praxis
Häufig genutzt:
-
in Bug-Bounty-Programmen
-
bei externen Penetrationstests
-
für Testsysteme vor dem Go-Live
Sie decken reale Schwachstellen auf – etwa vergessene Admin-Interfaces oder ungeschützte APIs.
Standardbezug
-
OWASP Testing Guide: umfangreiche Methodensammlung
-
ISO 27001 – A.12.6: fordert regelmäßige Tests auf Schwachstellen
-
BSI Penetrationstest-Modul (SYS.4.4)
Verwandte Begriffe
-
Penetrationstest
-
Reconnaissance
-
Vulnerability Assessment
-
API Testing
Beispiel aus der Praxis
Bei einem externen Test wurde über eine öffentlich auffindbare Admin-Schnittstelle eine veraltete PHP-Version entdeckt.
Ein Exploit ermöglichte das Ablegen eines Backdoorscripts – vollständig ohne Authentifizierung.