---
title: "Black-Box vs. White-Box | DIBITS"
description: "Black-Box, White-Box oder Grey-Box? Welche Informationslage beim Penetrationstest sinnvoll ist, Vor- und Nachteile – und was das BSI empfiehlt."
url: https://dibits.de/faq/pentesting/black-box-vs-white-box/
language: de
---

Wissen

# Black-Box vs. White-Box

![Symbol: Würfel mit halb geöffneter Seite – Black-Box und White-Box](https://dibits.de/assets/img/noun-249036-1200.webp)

Bei der Untersuchung der IT-Sicherheit Ihres Unternehmens spielt der [Penetrationstest](https://dibits.de/services/pentesting/) eine entscheidende Rolle. Dieser Test ist im Prinzip ein Angriff auf Ihre Systeme, um Schwachstellen zu identifizieren, bevor sie von echten Angreifern ausgenutzt werden können. Dabei kann die **Informationslage** **der untersuchenden Spezialisten** ein entscheidender Faktor über die Dauer und Vollständigkeit eines Tests sein. Es gibt **zwei** Hauptarten von Informationslagen bei einem Penetrationstest: **White-Box und Black-Box**. Jeder dieser Tests bietet einen **unterschiedlichen** Ansatz und Einblick in die Sicherheit Ihres Netzwerks und Ihrer Anwendungen.

## White-Box Testing

Beim White-Box Testing verfügt unser Spezialist **Kenntnis und Zugriff** auf die interne **Struktur**, den **Code** oder die **Architektur** der zu testenden Software oder Systeme. Diese Methode ermöglicht eine **gründliche** Überprüfung der **internen Sicherheitsmechanismen** und **Logik**. Je nach Tiefe dieser Informationen spricht man auch von einem **Grey-Box** Test, vor allem dann, wenn die Informationen nicht sehr umfangreich sind. White-Box Tests sind **besonders effektiv**, um **verborgene Fehler in komplexen Systemen** zu finden, einschließlich Probleme, die von der Softwareentwicklung herrühren. Sie ermöglichen es unseren Spezialisten, gezieltere Tests durchzuführen und bieten die **umfassendste Abdeckung** aller Schwachstellen. Ein passendes Szenario hierfür könnte beispielsweise ein **Angriff von (Ex-) Mitarbeitenden** oder eines **externen Dienstleisters** sein, der in der Regel **tiefere Einblicke** in die verwendeten Systeme hat. Informationen, die in diese Kategorie passen, sind beispielsweise IP-Adressen, genutzte Software, Netzpläne oder auch API-Strukturen, Konfiguration und Code einer Software.

## Black-Box Testing

Black-Box Testing simuliert einen **externen Angriff** auf die Systeme eines Unternehmens, **ohne** dass **vorherige Kenntnisse** über die internen Strukturen oder die Architektur vorliegen. Unsere Spezialisten erhalten keinen Zugriff auf den Quellcode oder die Systemkonfiguration. Diese Art von Test ahmt die Vorgehensweise eines echten Angreifers nach, der **wenig bis kein Wissen** über die innere Struktur der Zielnetzwerke oder Anwendungen hat. Black-Box Tests sind sehr nützlich, um **Sicherheitslücken** in der Benutzeroberfläche und anderen **öffentlich zugänglichen Bereichen** zu identifizieren, und sie testen die **Effektivität der generellen Sicherheitsmaßnahmen**. Der **Nachteil** ist, dass unter Umständen Sicherheitslücken übersehen werden können, wenn diese beispielsweise in unbekannten Funktionen auftreten. Zudem sind diese Tests meist **aufwendiger** und **zeitintensiver** durchzuführen, allerdings benötigen die Spezialisten dafür **kaum Informationen von Ihnen**, um loszulegen.

Wichtig: Natürlich benötigt ein Spezialist auch hier einen **Scope**, mit dem er arbeiten darf. Daher müssen in der Regel trotzdem beispielsweise bei externen Tests die IP-Adressen oder Zugangspunkte angegeben werden. Dabei sind diese Informationen allerdings nur sehr dürftig und reichen nicht aus, um daraus tieferes Wissen zu ziehen.

## Was passt zu mir?

Die Auswahl des richtigen Typs hängt zum einen von dem zu **testenden Objekt**, zum anderen aber auch von **vielen weiteren Faktoren ab**. Dazu gehören die spezifischen Sicherheitsanforderungen Ihres Unternehmens, die Vorgehensweise beim Test und Ihre IT-Infrastruktur. Bei der DIBITS **helfen** wir **Ihnen**, die **beste Teststrategie** zu wählen, um die **Sicherheit** Ihrer IT-Systeme zu **maximieren** und Ihr Unternehmen vor **zukünftigen Angriffen zu schützen.**

**Nice-To-Know**

Das BSI empfiehlt in seinem [Leitfaden für IS-Penetrationstests](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Sicherheitsberatung/Pentest_Webcheck/Leitfaden_Penetrationstest.pdf?__blob=publicationFile&v=3) generell White-Box Tests, um die Nachteile von Black-Box Tests auszuschließen und die Gefahren zu minimieren.

![Computer mit transparentem Gehäuse – Sinnbild für einen White-Box-Test](https://dibits.de/assets/img/bw-1024.webp)

Direkter Draht

Fragen zu diesem Thema oder zur Sicherheit Ihrer eigenen IT? Sprechen Sie direkt mit uns – Klartext statt Verkaufsgespräch.

[Frage stellen](https://dibits.de/kontakt/#kontaktformular)

[+49 (0) 7502 57 79 520](tel:+4975025779520)

Weiterlesen

- [Wie wir Daten schützen](https://dibits.de/faq/wie-wir-daten-schuetzen/)
- [Der Scope eines Penetrationstests](https://dibits.de/faq/pentesting/scope/)