Ein Penetrationstest ist im Grunde ein strukturierter Angriff auf die IT-Infrastruktur eines Unternehmens. Dabei nutzt ein Penetrationstester dieselben Werkzeuge und Techniken, die ein Hacker bei seinem Angriff verwendet. Allerdings unterscheidet sich das Ziel zwischen einem böswilligen Hacker und einem professionellen Penetrationstester.
Ein Hacker versucht in der Regel, ein Unternehmen zu hacken, um Zugriff auf dessen IT-Systeme und Daten zu erlangen. Dafür braucht er lediglich eine einzige kritische Schwachstelle, die erfolgreich ausgenutzt werden kann.
Unternehmen, die einen Penetrationstest in Auftrag geben, wollen aber nicht in erster Linie erfolgreich gehackt werden, sie wollen wissen, ob das möglich ist. Dafür wird ein Penetrationstester versuchen, sämtliche Schwachstellen zu identifizieren, unabhängig von ihrer Kritikalität. Viele Schwachstellen werden ebenfalls auszunutzen versucht, aber nicht alle. Denn manche der weiteren Angriffe bedeuten ein höheres Risiko für die angegriffenen IT-Systeme.