*Von [Sila Ozeren Hacioglu](https://www.linkedin.com/in/silaozeren/), Security Research Engineer bei **Picus Security**.* Die anfängliche Begeisterung für automatisierte Penetrationstest-Tools wird oft von einer Phase abnehmender Erträge gefolgt. Das Dashboard leuchtet zunächst mit kritischen Funden, Lateral-Movement-Pfaden und Schwachstellen bei Legacy-Dienstkonten auf. Das Red Team fühlt sich gestärkt, und der CISO glaubt, dass das "menschliche Element" automatisiert wurde. Aber die Hochzeitsreise endet. Beim vierten oder fünften Durchlauf werden neue Erkenntnisse rar. Das Tool beginnt, dieselben veralteten Probleme zu melden, und das einst glänzende Dashboard wird zu einer weiteren Lärmquelle. Dieses Phänomen ist als **Validierungslücke** bekannt: die wachsende Diskrepanz zwischen dem, was Organisationen tatsächlich validieren, und dem, was sie als validiert melden. Wenn sich Ihr automatisiertes Penetrationstest-Tool überambitioniert und unterliefert anfühlt, erleben Sie eine Marktverschiebung. Die Branche erkennt, dass automatisiertes Pentesting zwar ein mächtiges *Feature* ist, aber eine *gefährliche Strategie, wenn es isoliert eingesetzt wird*. ## Der POC-Abgrund: Wo Entdeckungen sterben gehen Das Muster eines aufregenden ersten Durchlaufs, gefolgt von signifikant abnehmenden Erträgen, ist kein Anekdote. Sicherheitsexperten nennen es den **Proof-of-Concept (PoC) Cliff**: der steile Abfall neuer Erkenntnisse, sobald das Tool seinen festen Umfang erschöpft hat. Dies ist kein Abstimmungsproblem. Konstruktionsbedingt liefern automatisierte Penetrationstest-Lösungen im ersten Durchlauf ihre besten Ergebnisse. Innerhalb weniger Zyklen sind ausnutzbare Pfade innerhalb ihres Umfangs erschöpft. Dies bedeutet jedoch nicht, dass Ihre Umgebung sicher ist; es bedeutet lediglich, dass das Tool seine Grenzen erreicht hat, während tiefere Probleme ungetestet bleiben. Dies ist die strukturelle Decke eines Tools, das gegen eine deterministische Oberfläche arbeitet. Es ist eine architektonische Einschränkung, keine operative. Automatisiertes Pentesting kettet seine Schritte aneinander. Schritt B hängt von Schritt A ab, und Schritt C hängt von Schritt B ab. Sobald Sie den spezifischen Pfad patchen, den das Tool bevorzugt, wird es bei Schritt A blockiert, und die Schritte B bis Z werden nie ausgeführt. Das Tool kann möglicherweise 20 Lateral-Movement-Techniken testen, aber wenn es früh in der Kette gefangen wird, bleiben diese Techniken im Dunkeln. Sie erhalten das falsche Gefühl von "Mission erfüllt", während der Rest Ihrer Angriffsfläche unerforscht bleibt. Hier zieht **Breach and Attack Simulation (BAS)** eine klare Grenze. BAS kettet nicht an; es führt Tausende von unabhängigen, atomaren Simulationen durch. Jede Technik erhält ihre eigene saubere Ausführung. Ein blockierter Exfiltrationsversuch über DNS verhindert nicht, dass im nächsten Schritt Exfiltration über HTTPS getestet wird. Eine fehlgeschlagene Lateral-Movement-Technik hindert das Tool nicht daran, 19 weitere zu testen. Das eine testet den Pfad. Das andere testet den Schild. ## Klärung der Verhältnisse: BAS vs. Automatisiertes Pentesting Um das "Warum" des PoC-Abgrunds besser zu verstehen, müssen wir einen wachsenden Punkt der Verwirrung in der Branche ansprechen. Während Breach and Attack Simulation (BAS) und automatisiertes Penetesting das übergeordnete Ziel der Validierung teilen, verwenden sie unterschiedliche Methoden, um unterschiedliche Fragen zu beantworten. Betrachten Sie BAS als eine Reihe unabhängiger Messungen. Es emuliert kontinuierlich und sicher gegnerische Techniken, Malware-Payloads, Lateral Movement und Exfiltration, um zu überprüfen, ob Ihre spezifischen Sicherheitskontrollen (Firewalls, WAF, EDR, SIEM) tatsächlich ihre Arbeit tun. Seine Hauptaufgabe ist es zu testen, ob Ihre Abwehrmaßnahmen bekannte Bedrohungsverhalten blockieren oder darauf aufmerksam machen. Jeder Test steht für sich als Überprüfung Ihrer Abwehrstärke. Automatisiertes Penetration Testing hingegen ist gerichtet. Es verfolgt einen chirurgischeren, gegnerischen Ansatz, indem es Schwachstellen und Fehlkonfigurationen so miteinander verknüpft, wie es ein echter Angreifer tun würde. Es ist hervorragend darin, komplexe Angriffspfade aufzudecken, wie z. B. Kerberoasting in **Active Directory** oder die Eskalation von Berechtigungen, um ein Domain Admin-Konto zu erreichen. Obwohl beide oft als "Validierungsmethoden" angesehen werden, unterscheiden sich die beiden in Mission und Ergebnissen grundlegend. Das eine sagt Ihnen, wie stark Ihre einzelnen Abwehrmaßnahmen sind; das andere sagt Ihnen, wie weit ein Angreifer trotz dieser Abwehrmaßnahmen vordringen kann. ## Die "Einfachheitsfalle": Warum Pentesting nicht BAS ist Kürzlich haben einige Anbieter die Idee vorgeschlagen, dass automatisiertes Pentesting BAS ersetzen kann und sollte. Auf dem Papier klingt das großartig. In Wirklichkeit ist dies kein Upgrade; es ist eine Verschleierung der Abdeckung, die als Vereinfachung getarnt ist. Wie wir gerade gesehen haben, beantworten automatisiertes Pentesting und BAS-Tools grundlegend unterschiedliche Fragen. Um ein modernes Unternehmen zu sichern, benötigen Sie die Antworten auf beide: * **BAS fragt:** *"Erfüllen meine Firewalls, EDRs, WAFs und SIEMs ihre Aufgaben im gesamten **MITRE ATT&CK** Framework?"* Es konzentriert sich auf die *Effektivität* Ihrer Abwehrkontrollen. * **Automatisiertes Pentesting fragt:** *"Kann ein Angreifer mit bekannten Exploits von Punkt A nach Punkt B gelangen?"* Es konzentriert sich auf den *Erfolg* spezifischer Angriffspfade.  **Abbildung 1. Beispiel-Angriffsketten-Szenario: Was automatisiertes Pentesting & BAS validiert** Wenn Sie BAS-Bewertungen durch automatisiertes Pentesting ersetzen, hören Sie auf, Ihre Präventions- und Erkennungsstapel zu validieren. Sie wissen vielleicht, dass ein Angreifer nicht über einen bestimmten Exploit auf Ihre Datenbank zugreifen kann, aber Sie haben keine Sichtbarkeit darüber, ob Ihr EDR überhaupt blinken würde, wenn er eine andere, nicht-ausnutzende Technik versuchen würde. ## Die sechs blinden Flecken der modernen Angriffsfläche Während Marketingmaterialien eine "umfassende" Abdeckung versprechen, ist die Realität, dass automatisiertes Pentesting typischerweise nur die Oberfläche von Infrastruktur- und Anwendungspfaden kratzt.  **Abbildung 2. Sechs Ebenen der Angriffsfläche einer Organisation** Wie oben gezeigt, erhalten zwei Oberflächen keine Abdeckung durch automatisiertes Pentesting. Vier erhalten bestenfalls eine teilweise Abdeckung. Keine einzige Oberfläche ist vollständig abgedeckt. Das sind 0 von 6 vollständig validiert. Dies schafft eine massive Validierungslücke, in der die heutigen Angriffe tatsächlich stattfinden: 1. **Netzwerk- & Endpunktkontrollen:** Exploit-Pfade werden identifiziert, aber es gibt keine Bestätigung, ob Firewalls, WAF, IPS, DLP oder EDR die Bedrohungen tatsächlich blockieren, für die sie konfiguriert sind. Kontrollen versagen lautlos, und "konfiguriert" wird fälschlicherweise mit "effektiv" gleichgesetzt. 2. **Erkennungs- & Reaktionsstapel:** Automatisiertes Pentesting hat keine Sichtbarkeit darüber, ob SIEM-Regeln und EDR-Erkennungslogik tatsächlich ausgelöst werden. Das Tool agiert als Angreifer, es kann den Verteidiger nicht beobachten. Die Erkennungsabdeckung wird angenommen, nicht gemessen. 3. **Infrastruktur- & Anwendungsangriffspfade:** Diese Tests stoßen oft auf einen "POC-Abgrund". Während Infrastrukturpfade abgebildet werden, variiert die Abdeckung komplexer Angriffsketten auf Anwendungsebene, und diese bleiben oft offen und für Angreifer verfügbar. 4. **Identität & Berechtigungen:** Bestehende Pfade werden durchlaufen, aber es gibt keine systematische Validierung von Active Directory-Konfigurationen, IAM-Richtlinien und Berechtigungsgrenzen. 5. **Cloud- & Container-Umgebungen:** Dynamische Kubernetes-Richtlinien und Cloud-Sicherheitskontrollen bleiben häufig dunkel und werden nicht neu validiert, da sich Konfigurationen ändern. Die Sichtbarkeit von Fehlkonfigurationen und Richtlinienabweichungen wird angenommen, nicht aktiv getestet. 6. **KI & maschinelles Lernen:** Automatisiertes Pentesting validiert nicht die Effektivität von KI-gesteuerten Sicherheitstools oder identifiziert Schwachstellen in KI-Modellen. Dies hinterlässt einen erheblichen blinden Fleck angesichts zunehmend ausgefeilter KI-gestützter Angriffe.