Was ein Penetrationstest-Bericht enthält: Leitfaden für Käufer

Was es ist

Ein Penetrationstest-Bericht ist eine schriftliche Aufzeichnung darüber, was getestet wurde, wie, unter welchen Bedingungen und was gefunden wurde. Er sollte für zwei Zielgruppen lesbar sein. Nicht-technische Stakeholder brauchen eine kurze Zusammenfassung des Gesamtrisikos, der wichtigsten Probleme und der empfohlenen Prioritäten. Technische Teams brauchen zu jedem Befund genügend Details, um ihn zu verstehen, in einer sicheren Umgebung nachzuvollziehen und zu beheben. Ein guter Bericht hält auch seine eigenen Grenzen fest: was außerhalb des Scopes lag, was nicht getestet werden konnte und welche Umstände die Abdeckung beeinflusst haben, etwa nicht verfügbare Testkonten oder ein verkürztes Zeitfenster. Ohne diese Grenzen könnten Leser annehmen, der Bericht decke mehr ab, als er tatsächlich tut.

Für wen es gedacht ist

Dieser Leitfaden ist hilfreich für:

• Käufer, die Angebote vergleichen und wissen möchten, welches Ergebnis sie tatsächlich erhalten
• Engineering-Verantwortliche, die Befunde erhalten und die Behebung planen müssen
• Führungskräfte, die eine Zusammenfassung mit einem Kunden, Partner, Prüfer oder Vorstand teilen müssen, ohne das Ergebnis zu überzeichnen
• Teams, die bereits einen Bericht erhalten haben und kaum damit arbeiten konnten

Was es zu klären hilft

Wenn Sie die erwartete Struktur kennen, können Sie prüfen:

• ob Scope und Rules of Engagement im Bericht mit dem Vereinbarten übereinstimmen
• ob jeder Befund Nachweise, eine klare Schweregradbewertung und praktische Hinweise zur Behebung enthält
• welche Probleme sofortiges Handeln erfordern und welche in normale Entwicklungszyklen eingeplant werden können
• welche Aussagen sich gefahrlos extern teilen lassen und welche nur für technisches Personal bestimmt sind

Was ist enthalten

• Management Summary: Gesamtbild, wichtigste Befunde und empfohlene Prioritäten in verständlicher Sprache
• Scope und Rules of Engagement: Ziele, Umgebungen, Benutzerrollen, Daten, Testzeitraum und Ausschlüsse
• Zusammenfassung der Methodik: der gewählte Ansatz und die genutzten Referenzrahmen, etwa OWASP-Leitlinien für Webanwendungen
• Befundregister: jedes Problem mit Titel, Schweregrad, betroffenem Asset, Beschreibung, Nachweisreferenz und geschäftlicher Auswirkung
• Technische Details: Schritte, mit denen Ihr Team das Problem verstehen und sicher nachvollziehen kann
• Hinweise zur Behebung: praktische Korrekturen und, wo sinnvoll, kurzfristige Gegenmaßnahmen
• Einschränkungen: was nicht getestet werden konnte und warum
• Abschnitt Nachtest: der Status vereinbarter Befunde, nachdem Ihr Team sie behoben hat, sofern ein Nachtest vereinbart ist

Was nicht enthalten ist

• Eine Aussage, dass das System nach dem Test sicher ist oder keine Schwachstellen mehr aufweist
• Befunde außerhalb des vereinbarten Scopes, die so dargestellt werden, als seien sie getestet worden
• Zertifizierung, Compliance-Freigabe oder ein formales Prüfungsurteil
• Umsetzung von Korrekturen, sofern dies nicht gesondert vereinbart ist

Wann man es wählt

Lesen Sie diesen Leitfaden, bevor Sie ein Testangebot unterschreiben, damit Sie einen Beispielbericht anfordern und die Struktur bestätigen können. Er ist auch nützlich, wenn ein Bericht eintrifft: Nutzen Sie die oben genannten Abschnitte als Checkliste, um zu prüfen, ob etwas fehlt. Wenn ein Stakeholder Sie gebeten hat, „den Pentest-Bericht zu schicken“, entscheiden Sie vorab, ob er das vollständige technische Dokument benötigt oder eine Management Summary und ein Schreiben zum Behebungsstatus. Vollständige technische Details breit zu teilen erhöht das Risiko, weil sie Schwachstellen in Ihren Systemen beschreiben.

Unser Ansatz

Klären Sie vor Testbeginn, wie Schweregrade bewertet werden. Viele Anbieter nutzen eine Skala auf Basis von Eintrittswahrscheinlichkeit und Auswirkung, teils mit Bezug auf CVSS; entscheidend ist, dass sie konsistent und erläutert ist. Vereinbaren Sie, wie Nachweise gespeichert und geteilt werden und wer Ihre benannten Ansprechpartner sind. Planen Sie nach Eingang des Berichts eine Nachbesprechung, damit Entwickler Fragen stellen können, solange der Kontext frisch ist. Überführen Sie das Befundregister in Tickets mit Verantwortlichen und Zielterminen und beheben Sie zuerst die Probleme mit dem höchsten Schweregrad. Fordern Sie dann einen Nachtest der vereinbarten Befunde an, damit der Bericht festhalten kann, was behoben wurde. Unser Service Penetration Testing liefert eine Management Summary, eine Zusammenfassung von Scope und Rules of Engagement, ein nach Schweregrad gestuftes Befundregister mit Nachweisreferenzen, technische Details zu jedem Befund, eine priorisierte Roadmap zur Behebung und ein Nachtestergebnis, sofern ein Nachtest vereinbart ist. Unabhängig vom Anbieter sollten Sie jede Berichtsversion aufbewahren, festhalten, welche Befunde als Risiko akzeptiert statt behoben wurden, und notieren, wer diese Entscheidung getroffen hat. Diese Dokumentation ist oft ebenso wertvoll wie der Test selbst, wenn das nächste Mal jemand nach Ihrer Sicherheitslage fragt.

Penetration Testing

Häufig gestellte Fragen

Verwandte Artikel