Der Zustand des Pentestings im Jahr 2025: Warum AI-getriebene Sicherheitsvalidierung jetzt ein strategisches Gebot ist

Der Bericht zum Zustand des Pentestings 2025 von Pentera zeichnet ein beeindruckendes Bild einer Cyber-Sicherheitslandschaft, die unter Belagerung steht und sich schnell verändert. Dies ist nicht nur eine Geschichte über die Verteidigung digitaler Grenzen, sondern auch ein Plan, wie Unternehmen ihre Sicherheitsansätze transformieren, getrieben von Automatisierung, AI-basierten Tools und dem unerbittlichen Druck realer Bedrohungen.

Angriffe Persistieren Trotz Größerer Sicherheits-Stacks

Trotz der Implementierung immer komplexerer Sicherheits-Stacks berichteten 67% der US-Unternehmen, dass sie in den letzten 24 Monaten einen Angriff erlebt haben. Diese waren nicht nur geringfügige Vorfälle – 76% berichteten über einen direkten Einfluss auf die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten, und 36% erlebten ungeplante Ausfälle, während 28% finanzielle Verluste erlitten.

Die Korrelation ist klar: Wenn die Komplexität des Stacks steigt, steigen auch die Alarme – und die Angriffe. Unternehmen, die mehr als 100 Sicherheitstools verwenden, erlebten im Durchschnitt 3.074 wöchentliche Alarme, während diejenigen, die zwischen 76-100 Tools verwendeten, 2.048 Alarme pro Woche erlebten

Dieser Schwall von Daten überfordert jedoch oft die Sicherheitsteams, verzögert die Reaktionszeiten und ermöglicht es realen Bedrohungen, durch die Lücken zu schlüpfen.

Cyber-Sicherheits-Versicherungen Gestalten Tech-Adoption

Cyber-Versicherer sind zu unerwarteten Treibern der Cyber-Sicherheits-Innovation geworden. Ein beeindruckender 59% der US-Unternehmen implementierten neue Sicherheitstools speziell auf Anfrage ihrer Versicherer, und 93% der CISOs berichteten, dass Versicherer ihre Sicherheitsposturen beeinflussten. In vielen Fällen gingen diese Empfehlungen über die Einhaltung von Vorschriften hinaus – sie prägten die Technik-Strategie.

Der Aufstieg des Software-basierten Pentestings

Manuelles Pentesting ist nicht mehr der Standard. Über 55% der Organisationen verlassen sich jetzt auf software-basiertes Pentesting innerhalb ihrer internen Programme, während weitere 49% externe Anbieter nutzen. Im Gegensatz dazu verlassen sich nur 17% noch ausschließlich auf internes manuelles Testen.

Dieser Übergang zu automatisiertem adversarialen Testen spiegelt einen breiteren Trend wider: die Notwendigkeit von skalierbarer, wiederholbarer und Echtzeit-Validierung in einer Ära immer weiterentwickelter Bedrohungen. Diese automatisierten Plattformen simulieren Angriffe, die von Datei-losem Schadcode bis hin zu Privilegien-Eskalation reichen, und ermöglichen es Unternehmen, ihre Widerstandsfähigkeit kontinuierlich und ohne Unterbrechung zu bewerten.

Sicherheits-Budgets Wachsen – Schnell

Sicherheit wird nicht billiger, aber Unternehmen priorisieren sie dennoch. Das durchschnittliche jährliche Budget für Pentesting beträgt 187.000 US-Dollar und macht 10,5% des gesamten IT-Sicherheits-Ausgaben aus. Größere Unternehmen (10.000+ Mitarbeiter) geben sogar noch mehr aus – im Durchschnitt 216.000 US-Dollar pro Jahr.

Im Jahr 2025 planen 50% der Unternehmen, ihre Pentesting-Budgets zu erhöhen, und 47,5% erwarten, ihre gesamten Sicherheits-Ausgaben zu steigern. Nur 10% erwarten eine Verringerung der Investitionen. Diese Zahlen unterstreichen den Aufstieg der Sicherheit von einer operativen Notwendigkeit zu einer Vorstands-Priorität.

Sicherheits-Tests Spielen Nach

Hier ist ein erstaunlicher Bruch: 96% der Unternehmen berichten über Infrastruktur-Änderungen mindestens quartalsweise, aber nur 30% führen Pentesting mit der gleichen Häufigkeit durch. Das Ergebnis? Neue Schwachstellen schlüpfen durch ungetestete Änderungen, erweitern die Angriffsfläche mit jedem Software-Push oder Konfigurations-Update.

Nur 13% der großen Unternehmen mit über 10.000 Mitarbeitern führen quartalsweise Pentests durch. Währenddessen führen fast die Hälfte noch immer nur einmal im Jahr Tests durch – ein gefährlicher Rückstand in der heutigen dynamischen Bedrohungs-Umgebung.

Risiko-Abstimmung Ist Schärfer Als Jemals

Ermutigend ist, dass Sicherheits-Führer die Tests dort priorisieren, wo tatsächlich Angriffe stattfinden. Fast 57% priorisieren web-fähige Assets, gefolgt von internen Servern, APIs, Cloud-Infrastruktur und IoT-Geräten. Diese Abstimmung spiegelt ein wachsendes Bewusstsein wider, dass Angreifer nicht diskriminieren – sie nutzen jede verfügbare Schwachstelle über die gesamte Angriffsfläche hinweg.

APIs sind insbesondere zu einem Schwerpunkt-ziel für Angreifer und Verteidiger geworden. Diese Schnittstellen sind für Geschäfts-Operationen immer wichtiger, aber oft fehlt es an Sichtbarkeit und Standard-Überwachung, was sie anfällig für Ausnutzung macht.

Operationalisierung von Pentest-Ergebnissen

Pentest-Berichte werden nicht mehr auf die Seite gelegt. Stattdessen übertragen 62% der Unternehmen die Ergebnisse sofort an die IT für Priorisierung der Behebung, während 47% die Ergebnisse an die Geschäftsleitung weiterleiten und 21% direkt an ihre Vorstände oder Aufsichtsbehörden berichten.

Dieser Schritt zur Aktion spiegelt eine tiefere Integration des Pentestings in das strategische Risiko-Management wider – nicht nur die Einhaltung von Vorschriften. Sicherheits-Validierung wird Teil des Geschäfts-Gesprächs.

Was Hindert Den Fortschritt?

Während die Trendlinien positiv sind, bleiben wichtige Hemmnisse bestehen. Die beiden größten Barrieren für häufigeres Pentesting sind Budget-Beschränkungen (44%) und ein Mangel an verfügbaren Pentestern (48%) – letzteres spiegelt einen globalen Mangel von 4 Millionen Cyber-Sicherheits-Experten wider, laut Weltwirtschaftsforum.

Operatives Risiko, wie die Angst vor Ausfällen während des Testens, bleibt ein Anliegen für 30% der CISOs.

Von Compliance-Verpflichtung zu Strategischem Instrument

Pentesting hat sich weit über seine ursprüngliche Funktion als regulatorische Anforderung hinausentwickelt. Heute unterstützt es strategische Initiativen, einschließlich M&A-Due-Diligence und Entscheidungen auf Vorstands-Ebene. Fast ein Drittel der Befragten nennen “Vorstands-Anweisung” und “Vorbereitung auf M&A” als wichtige Gründe für die Durchführung von Pentests.

Dies markiert eine grundlegende Transformation: von einer reaktiven Überprüfung zu einer proaktiven und kontinuierlichen Messung der Cyber-Resilienz.

Schlussgedanken

Der Bericht zum Zustand des Pentestings 2025 ist mehr als nur ein Status-Update – es ist ein Weckruf. Da Angriffsflächen wachsen und Bedrohungs-Akteure immer sophistizierter werden, können Unternehmen nicht mehr langsame, manuelle oder isolierte Ansätze für Sicherheits-Tests dulden. AI-getriebenes, software-basiertes Pentesting schließt diese Lücke mit Geschwindigkeit, Skalierbarkeit und Einblicken.

Die Unternehmen, die in dieser neuen Ära gedeihen werden, sind diejenigen, die Sicherheits-Validierung nicht nur als technische Notwendigkeit, sondern als strategisches Gebot betrachten.

Für weitere Einblicke laden Sie den vollständigen Bericht zum Zustand des Pentestings 2025 von Pentera herunter.