Hat sich Pentesting durch KI wirklich verändert?
Georg: Verändert – ja, definitiv. Aber der Versuch war auch vorher schon da: mit Scannern, mit Tools, die automatisiert nach Schwachstellen suchen. Das ist also keine völlig neue Idee, die mit KI erst entstanden ist. Was sich ändert, ist eher das Werkzeug – nicht der Grundgedanke dahinter.
Kann KI den Pentester irgendwann ersetzen?
Georg: Nein – zumindest nicht ohne Mensch dahinter. Ohne jemanden, der die Zusammenhänge erkennt, funktioniert es nicht richtig. Eine KI kann einzelne Schwachstellen finden, aber ob zwei scheinbar harmlose Findings in Kombination ein echtes Risiko für ein bestimmtes Kundensystem ergeben – das muss jemand einordnen, der versteht, wie die Systeme und Prozesse beim Kunden zusammenhängen. Genau das ist der Teil, der Pentesting ausmacht, und den kann im Moment kein Tool allein leisten.
Was hat sich für euch im Testing-Alltag konkret verändert?
Georg: Für uns beim Testen hat sich vor allem bei den Spielregeln etwas verändert. Wir dürfen nicht einfach Daten an eine KI weitergeben und sie dann auf Kundensysteme loslassen. Und wir stellen auch keine Kundendaten in KI-Tools ein. Das klingt nach einer Einschränkung, ist aber genau der Punkt: Vertraulichkeit hat bei uns Vorrang vor der bequemsten Abkürzung, die ein neues Tool gerade anbietet.
Ein kurzer Auschnitt aus unserem Interview:
Wo genau setzt ihr KI dann ein?
Georg: Wir setzen auf lokale Modelle, damit wir keine Daten an Drittanbieter weitergeben. Damit lassen wir zum Beispiel Code lesen oder Dinge durchsuchen, um effizienter zu werden – und teilweise sind die Modelle wirklich gut darin, etwas zu finden, vor allem wenn Source Code zur Verfügung steht oder man ihn sich verschafft.
Wo es uns darüber hinaus hilft, ist im Reporting: vor allem bei Umformulierungen für Nicht-IT-Experten, wenn wir versuchen, eine gefundene Lücke verständlich auszuformulieren.
Fazit
KI verändert die Werkzeuge im Pentesting – nicht die Grundregeln. Automatisierung ersetzt keinen erfahrenen Pentester, der Zusammenhänge erkennt, und sie ersetzt erst recht nicht den sorgsamen Umgang mit Kundendaten. Bei BrightFlare heißt das: neue Tools nutzen, wo sie wirklich helfen – aber niemals auf Kosten von Vertraulichkeit und Datenschutz.
Mehr zu unserem Awareness & Security Testing Leistungen finden Sie hier.
