Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf die eigenen Systeme, um Schwachstellen zu finden, bevor es andere tun. Unterschieden wird nach Informationsstand des Testers: Black Box ohne Vorwissen, White Box mit vollem Zugang zu Unterlagen und Quelltext, Grey Box als Mittelweg, der die Sicht eines Angreifers mit gestohlenem Mitarbeiterzugang nachbildet. Vom automatisierten Schwachstellenscan unterscheidet er sich grundlegend, denn dieser gleicht bekannte Muster ab, während ein Test das Zusammenspiel mehrerer kleiner Schwächen zu einem tatsächlichen Angriffsweg verknüpft.
Vor Beginn ist eine schriftliche Beauftragung zwingend, die Umfang, Zeitraum, erlaubte Methoden und Ansprechpartner festlegt: Ohne diese Erlaubnis wäre dasselbe Vorgehen strafbar (§ 118a StGB), und bei Systemen in fremden Rechenzentren ist zusätzlich die Zustimmung des Betreibers einzuholen.
Ergebnis ist ein Bericht mit priorisierten Funden und Empfehlungen, dessen Wert allerdings erst durch die Behebung und einen Nachtest entsteht. Sinnvoll ist die Wiederholung in festem Abstand und nach größeren Änderungen, weil ein Test immer nur den Stand eines Zeitpunkts abbildet.