Anders als bei einer IT‑Schwachstellenanalyse werden Funde dahingehend untersucht, ob das System tatsächlich über diesen verwundbar ist, also kein False Positiv vorliegt. Dieser Begriff beschreibt vermeintlich erkannte Schwachstellen, die jedoch nur fälschlicherweise erkannt wurden, oder nicht ausnutzbar sind. Diese werden im Unterschied zu einer IT‑Schwachstellenanalyse nicht verifiziert. Somit ist ein Penetrationstest vom Umfang und aus Kostengesichtspunkten gewichtiger als eine IT‑Schwachstellenanalyse. Es werden False Positives erkannt, reduziert und gefundene Schwachstellen aktiv ausgenutzt. Die hieraus gewonnenen Kenntnisse geben Auskunft über mögliche Schäden und das reale Ausmaß der Angreifbarkeit. Somit wird möglichst tief in die IT‑Infrastruktur eingedrungen, um dem Kunden anhand der Funde die Auswirkungen der Schwachstellen auf das Unternehmen darzulegen.
Bei einem Penetrationstest werden durch technische Untersuchungen in erster Linie Schnittstellen, die nach außen gerichtet sind, untersucht, über die ein potenzieller Angreifer in die IT‑Systeme eindringen könnte. Konfigurationsfehler sowie softwareseitige Schwachstellen sind dabei das Ziel. Wie umfangreich ein Penetrationstest abläuft, ist im Wesentlichen von der zu untersuchenden Hard- und Software abhängig. Die Prüfungsintensität wird je nach Wunsch des Beauftragenden abgesprochen und das Risiko eines Eindringens abgeschätzt und daran orientiert, ob es sich um kritische Bereiche handelt. Unsere erfahrenen IT‑Experten gehen im ausführlichen Vorgespräch mit Ihnen alle möglichen Chancen und Risiken durch und führen keine Schritte durch, die nicht vorher mit Ihnen vereinbart und vertraglich festgehalten wurden.