Werden auch Denial-of-Service-Angriffe getestet?

Denial-of-Service-Angriffe (DoS) werden immer nur nach vorheriger Absprache mit dem jeweiligen Kunden untersucht. Im Rahmen eines Penetrationstest werden zudem nur solche Denial-of-Service-Angriffe betrachtet, die potenziell eine Möglichkeit darstellen, mit geringem Aufwand die Verfügbarkeit des zu testenden Systems zu gefährden. Dies kann etwa an einer Fehlkonfiguration liegen oder an einem Programmfehler. Diese Art von Angriffen werden nach Absprache durchgeführt, um zu verifizieren, ob sie tatsächlich möglich sind.

Hingegen werden Angriffe, bei denen die zur Verfügung stehende Netzwerkkapazität des Kunden komplett ausgelastet wird, nicht getestet. Diese Angriffe sind für Angreifer*innen mit entsprechenden Ressourcen immer möglich und könnten potenziell Drittsysteme überlasten. Demnach sind auch Distributed-Denial-of-Service-Angriffe (DDoS) nicht Teil eines Penetrationstests.