Was bringt ein Pentest-Bericht?
Ein Pentest-Bericht macht festgestellte Schwachstellen und ihre Bedeutung nachvollziehbar. Er hilft dem Management bei Entscheidungen und der IT bei der technischen Behebung. Die Berichtsbesprechung übersetzt die Befunde in nächste Schritte. Ein späterer Retest kann überprüfen, ob ausgewählte Schwachstellen nach einer Änderung weiterhin bestehen.
Der OWASP Web Security Testing Guide empfiehlt eine verständliche Darstellung für Management und technische Verantwortliche. Ein brauchbarer Bericht beantwortet deshalb unterschiedliche Fragen: Was bedeutet ein Befund für die Entscheidung und was braucht die IT, um ihn zu bearbeiten?
Was sollte ein verständlicher Bericht erklären?
Lesen Sie Befunde immer im Zusammenhang mit dem Prüfungsumfang und dem Testzeitraum. Eine nicht geprüfte Anwendung lässt sich aus dem Ergebnis eines anderen Tests nicht beurteilen. Spätere Änderungen und neu bekannt gewordene Schwachstellen sind nicht automatisch mitbewertet.
- Prüfungsumfang und Zeitpunkt: Welche Systeme und Bereiche wurden wann betrachtet?
- Befunde: Welche Schwachstellen wurden festgestellt und welche Auswirkungen haben sie?
- Einordnung: Welche Risiken sollten zuerst bearbeitet werden?
- Empfehlungen: Welche nächsten Schritte werden vorgeschlagen?
Der OWASP Web Security Testing Guide behandelt die verständliche Aufbereitung für Management und technische Verantwortliche. Die konkrete Struktur und die vereinbarten Leistungen klären Sie mit Ihrem Prüfer.
Was braucht die Geschäftsführung?
Für das Management steht die Entscheidung im Vordergrund: Welche Risiken erfordern Ressourcen und wer übernimmt die nächsten Schritte? Eine lange Liste technischer Einzelheiten ersetzt die verständliche Einordnung ihrer Bedeutung nicht. Halten Sie für die interne Besprechung fest, welche Entscheidungen noch offen sind und welche Angaben Ihnen dafür fehlen.
Besprechen Sie offene Fragen zu möglichen Auswirkungen und der Reihenfolge der Maßnahmen gemeinsam mit der IT. Ein Pentest ist eine Prüfung im vereinbarten Umfang; aus einem Bericht folgt keine pauschale Sicherheitsgarantie für das gesamte Unternehmen.
Was braucht die IT für die Behebung?
Für die Bearbeitung eines Befunds sollte klar sein, welche Komponente betroffen ist, was beobachtet wurde und welche Abhilfe vorgeschlagen wird. Prüfen Sie beim Lesen, ob Ihre IT diese Angaben zuordnen kann. Unklare Begriffe oder fehlende Angaben gehören auf die Fragenliste für die Ergebnisbesprechung.
Behandeln Sie den Bericht vertraulich. Er kann sensible Informationen über Ihre Systeme enthalten. Der OWASP-Leitfaden empfiehlt, den Bericht gegen unbefugten Zugriff zu schützen.
Wie wird aus dem Bericht ein Maßnahmenplan?
Für Ihre interne Nachverfolgung können Sie jeden relevanten Befund mit einer zuständigen Person, einem nächsten Schritt und einem Bearbeitungsstand verbinden. Die folgende Liste ist eine redaktionelle Arbeitshilfe für die eigene Organisation.
- Befunde und Dringlichkeit gemeinsam verstehen.
- Zuständigkeit für jede Maßnahme festlegen.
- Umsetzung und Abhängigkeiten mit der eigenen IT abstimmen.
- Änderungen und offene Punkte nachvollziehbar dokumentieren.
- Für die Nachprüfung geeignete Befunde und einen Termin abstimmen.
Was ist ein Retest?
Ein Retest prüft erneut, ob zuvor festgestellte Schwachstellen nach ihrer Bearbeitung weiterhin vorliegen. Er beantwortet damit eine andere Frage als die ursprüngliche Suche nach Schwachstellen. Die Prüfung ausgewählter Befunde ist nicht automatisch ein neuer vollständiger Pentest.
Ob ein Retest enthalten ist und welche Befunde er umfasst, ergibt sich aus der Vereinbarung mit dem Prüfer. Ein Retest ist nicht automatisch kostenlos oder bei jedem Pentest inkludiert. Beim Angebotsvergleich lohnt sich deshalb eine eigene Frage nach Umfang, Voraussetzungen und Aufwand der Nachprüfung. Weitere Hinweise finden Sie unter Pentest-Kosten und Aufwand.
Fragen für die Berichtsbesprechung
- Welche Befunde haben für unsere Systeme die höchste Dringlichkeit?
- Welche Auswirkungen und technischen Details müssen wir noch klären?
- Welche Änderungen sollten wir zuerst angehen und wer übernimmt sie?
- Welche offenen Fragen ergeben sich aus dem ursprünglichen Scope?
- Für welche Befunde ist eine Nachprüfung sinnvoll und wie wird sie vereinbart?
Wenn der Test noch bevorsteht, hilft unsere Checkliste zur Pentest-Vorbereitung. Für die Auswahl des Prüfungsumfangs lesen Sie den Vergleich von Web-Pentest und externem Pentest.
Quellen und Praxisbelege
Fachlicher Hintergrund: OWASP Web Security Testing Guide: Reporting, Version 4.2. Der Leitfaden beschreibt Empfehlungen zur Berichtsaufbereitung, keine verbindlichen Vertragsleistungen eines bestimmten Anbieters.
Ein bereits veröffentlichtes Beispiel liefert das SEC4YOU-Advisory zur OpenAtlas-SQL-Konsole. Die Zeitleiste dokumentiert:
- 10. Juni 2025: Vereinbarung eines Retests in der Demo-Umgebung.
- 12. Juni 2025: Retest erfolgreich abgeschlossen und Bericht aktualisiert.
Diese Daten beschreiben einen einzelnen veröffentlichten Fall. Daraus lässt sich keine allgemeine Bearbeitungsdauer oder Erfolgsquote ableiten. Weitere öffentlich dokumentierte Beispiele finden Sie unter Sicherheitsforschung. Die passenden Leistungsbeschreibungen stehen beim Infrastruktur-Pentest und Web-App-Pentest.