Wat is een pentest?

Een pentest (voluit penetratietest) is een afgesproken, gecontroleerde aanval op je systemen door ethical hackers, met als doel de zwakke plekken te vinden die een echte aanvaller zou misbruiken. Je krijgt een rapport met wat er gevonden is, hoe ernstig het is en wat je eerst oplost.

Het verschil met een vulnerability scan zit in het woord aanval. Een scanner somt bekende zwakke plekken op; een pentester probeert ze echt uit en combineert ze tot een aanvalspad, bijvoorbeeld van een vergeten testaccount naar je klantendatabase. Daarom lees je in een pentestrapport wat iemand met je omgeving kan doen, niet alleen wat er op papier fout staat.

Een pentest duurt meestal enkele dagen tot een paar weken, afhankelijk van wat je laat testen. Bij een kritieke vondst hoor je dat tussendoor, niet pas in het rapport: je wacht geen twee weken om te horen dat je beheerportaal open staat.

Waarom laat een kmo een pentest uitvoeren?

In de praktijk zien we bij bedrijven meestal één van deze aanleidingen:

• Nieuwe website, app, API of webshop live: liever problemen ontdekken vóór klanten of aanvallers dat doen.
• Wijzigingen in infrastructuur: cloudmigratie, nieuwe firewall, identity setup, M365-tenant of VPN.
• Incident of bijna-incident: phishing, verdachte logins, datalekken of ransomware in de sector.
• Periodieke security check: nagaan of alles nog klopt na maanden van kleine aanpassingen.
• Digitale continuïteit is bedrijfskritisch: downtime of dataverlies heeft directe financiële impact.

Een goede pentest is dus geen vinkje voor compliance, maar een manier om risico’s concreet te maken en gericht aan te pakken.

Hoe verloopt een pentest? Van scope tot retest

Hoewel de markt soms andere termen gebruikt, volgt een degelijke pentest bijna altijd dezelfde logische stappen:

1. Scope en afspraken: Wat testen we wel en niet? Welke omgevingen? Welke impact is toegestaan? Wie is het aanspreekpunt? Wat er in zo'n opdracht hoort, staat in onze pentest checklist.
2. Verkenning (reconnaissance): In kaart brengen wat zichtbaar is: domeinen, subdomeinen, services, gebruikte technologie en cloudsporen. Vaak zitten de interessantste zwakke plekken in vergeten of oudere onderdelen.
3. Kwetsbaarheden opsporen: Automatische tooling zorgt voor snelheid en breedte, manuele analyse voor diepgang. Hier komt AI-ondersteuning vaak samen met menselijke validatie.

Professionele penetratietesten volgen internationaal erkende methodologieën: de Penetration Testing Execution Standard (PTES) voor de opdrachtstructuur, OWASP voor het testen van webapplicaties.

Volgens het Verizon 2025 DBIR zijn de meeste datalekken te wijten aan kwetsbaarheden die door professionele pentests ontdekt kunnen worden.

1. Exploitatie en aanvalsketens: Niet elke kwetsbaarheid is een risico. Pentesters tonen aan wat effectief misbruikt kan worden en hoe kleine problemen samen een groter geheel vormen.
2. Rapportage: Een onderschat onderdeel. Een goed rapport legt helder uit wat er misging, wat de impact is voor het bedrijf en hoe dit concreet kan worden opgelost.
3. Retest (inbegrepen): Fixes worden nagekeken om zeker te zijn dat ze ook echt werken. Bij Sectricity is die retest altijd inbegrepen.

Praktijkervaring: herkenbare situaties

Case 1: “Het is maar een webshop”

Bij een kmo bleek niet de techniek het probleem, maar de logica. Een combinatie van kortingsregels en orderstatussen liet toe om bestellingen te manipuleren. Geen exotische hack, wel direct financieel misbruikbaar. Wat er bij een pentest van een webapplicatie precies getest wordt, lees je in die post.

Inzicht: business logic flaws worden zelden gevonden door automatische scans, maar wel door menselijke analyse.

Case 2: “We hebben MFA, dus alles is veilig”

Tijdens een interne test bleek een legacy login-flow MFA te omzeilen. Via tokens in logs kon laterale toegang worden verkregen tot gevoelige data.

Inzicht: securitymaatregelen zijn maar zo sterk als hun zwakste implementatie.

Case 3: “We zijn te klein om interessant te zijn”

Een vergeten subdomein met zwakke authenticatie gaf toegang tot interne documenten en koppelingen.

Inzicht: aanvallers zoeken efficiëntie, niet grootte.

Verschillende soorten pentests

Vulnerability assessment

Strikt genomen geen pentest: snel en grotendeels geautomatiseerd, goed als eerste stap, maar zonder bewijs van echte impact. Meer daarover in Wat is een vulnerability assessment? en Penetratietesten vs. Vulnerability Scanning.

Black box pentest

Geen voorkennis, tester kijkt als externe aanvaller.

Ideaal voor: eerste tests en zicht op extern aanvalsoppervlak.

Grey box pentest

Beperkte info of een gebruikersaccount beschikbaar.

Ideaal voor: realistische scenario’s met authenticatie, rollen en API’s.

White box pentest

Volledige kennis van de omgeving.

Ideaal voor: maximale diepgang en efficiënte testing bij complexe omgevingen.

Red team simulatie

Focust op aanval, detectie en response, niet op het vinden van elke kwetsbaarheid. Wanneer je meer nodig hebt dan een pentest, lees je in onze red teaming gids.

Wat mag je verwachten van een goede pentest?

Een kwalitatieve pentest levert meer op dan een lijst technische bevindingen:

• Heldere samenvatting voor management
• Concreet bewijs en reproduceerbare stappen
• Impact vertaald naar bedrijfsrisico
• Praktische remediatievoorstellen
• Snelheid via automatisatie, zekerheid via menselijke validatie

AI-augmented testing versnelt het proces, maar de echte meerwaarde zit in menselijke interpretatie en validatie. Hoe je het rapport leest en waar je mag tegenspreken, staat in Een pentestrapport lezen.

Veelvoorkomende misverstanden

• “Een pentest maakt ons veilig.” Nee, het toont waar je kwetsbaar bent zodat je gericht kan verbeteren.
• “Scans volstaan.” Scans vinden veel, maar missen context, chaining en creatief misbruik.
• “Eén keer is genoeg.” Omgevingen veranderen continu. Regelmaat is belangrijker dan perfectie.

Veelgestelde vragen

Pen test, pentest of penetratietest: is dat hetzelfde?

Ja. Pentest is de ingekorte vorm van penetratietest, en "pen test" met spatie is dezelfde term zoals veel mensen hem intypen. In alle gevallen gaat het om een gecontroleerde aanval door ethical hackers, met toestemming en binnen een afgesproken scope.

Wat is het verschil tussen een pentest en een vulnerability scan?

Een scan is software die bekende zwakke plekken opsomt, snel en goedkoop, maar zonder te controleren of ze echt misbruikt kunnen worden. Een pentester gebruikt die scan als startpunt, test de vondsten met de hand en zoekt wat een scanner niet ziet, zoals logische fouten in een inlogflow. Het volledige verschil lees je in Penetratietesten vs. Vulnerability Scanning en Wat is een vulnerability assessment?.

Hoe lang duurt een pentest?

Van enkele dagen voor een afgebakende webapplicatie tot meerdere weken voor grote of gecombineerde omgevingen. De doorlooptijd volgt uit de scoping vooraf, inclusief tijd voor rapportage en een bespreking van de bevindingen.

Hoe vaak moet je een pentest laten uitvoeren, en is het verplicht?

Minstens een keer per jaar, en opnieuw na een grote wijziging zoals een nieuwe webapplicatie of een verhuis naar de cloud. Een wettelijke plicht voor elke kmo is er niet, maar NIS2, ISO 27001 en veel cyberverzekeraars vragen wel om een aantoonbare, herhaalde test. Verandert je omgeving vaak, dan past doorlopend testen beter dan een jaarlijkse ronde; zie Jaarlijkse Pentest of PTaaS?.

Wat gebeurt er na de pentest?

Je krijgt een technisch rapport en een samenvatting voor de directie, en een debrief waarin de testers de vondsten toelichten. Daarna los je de ernstigste punten op en controleert een retest of de fix werkt; bij Sectricity zit die retest in elke pentest. Hoe je het rapport leest en waar je mag tegenspreken staat in Een pentestrapport lezen.

Wat kost een pentest?

Dat hangt af van scope, complexiteit en diepgang; een betrouwbare prijs volgt altijd uit een scopinggesprek. In onze gids over pentest kosten lees je welke factoren de prijs bepalen en welke vragen je aan een leverancier stelt.

Kort samengevat

Een volwaardige pentest geeft bedrijven een volledig en realistisch beeld van hun digitale weerbaarheid. Door snelheid van automatisatie te combineren met menselijke expertise krijg je inzicht in wat een aanvaller echt kan bereiken en waar je het meeste risico wegneemt. Het resultaat is geen paniek, maar duidelijke prioriteiten en concrete acties.

Ontdek onze penetration testing diensten

Sectricity biedt een volledig aanbod van penetration testing diensten in België, Nederland en het Verenigd Koninkrijk. Onze ethische hackers voeren netwerk pentesten, cloud en API security testen, en mobiele applicatie pentesten uit met menselijke validatie van elke bevinding.

Heb je een auditklare pentest nodig voor NIS2, ISO 27001 of DORA? Of kies je voor continue validatie via ons RedSOC PTaaS platform? Bekijk de realistische pentest kosten of start met een gratis security scan.