Sollte man bei Pentest-Angeboten einen Musterbericht anfordern und was muss drinstehen?

Sich hinter NDAs zu verstecken, ist in der Branche die klassische Ausrede für Pfuscher. Jede seriöse Firma hat eine neutrale oder bereinigte Vorlage im Corporate Design in der Schublade liegen.

Lasst euch aber auch von den 50 Seiten nicht blenden. Schaut genau rein: Wenn da seitenweise Low-Risk-Bibliotheken und allgemeine Erklärungen aus dem Netz stehen, ist das oft auch nur ein automatisierter Scanner-Dump.

Wir haben letztes Jahr 40.000 TL für unseren ersten Pentest bezahlt. Von den 60 Seiten waren gefühlt 50 nur allgemeine Infotexte aus dem Netz. Wir haben uns beschwert, mussten am Ende aber zahlen, weil der Scope im Vertrag nicht klar genug definiert war.

wie lange braucht ein Entwicklerteam im Schnitt, um die Findings aus so einem Bericht zu fixen? und kostet der Nachtest (Re-Test) dann eigentlich extra?

Der Bericht sollte zwingend Folgendes enthalten: 1) Eine Auflistung der Out-of-Scope-Bereiche, 2) Die CVSS-Bewertungslogik, 3) Zeitplan und Konditionen für den Nachtest (Re-Test).

Wenn eure Großkunden euch auditieren, schauen sie nicht nur auf den Bericht selbst, sondern auch darauf, ob die Firma und die Tester anerkannte Zertifizierungen vorweisen können. Schreibt das am besten gleich mit in die Leistungsbeschreibung.

Wer keinen Bericht rausrückt wirft höchstwahrscheinlich nur ein automatisiertes Tool an und drückt am nächsten Tag auf Export. naja geht das Risiko gar nicht erst ein, wäre reine Glückssache.

Das hört man oft, aber bei uns war es nie so. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Ich hoffe, das hilft dir weiter.

Ich schreibe das, damit ihr denselben Fehler nicht macht. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Ich hoffe, das hilft dir weiter.

Gut gemacht. Nur weil alle es tun, heißt es nicht dass es richtig ist.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich stimme zu. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

An deiner Stelle würde ich so vorgehen.

Du hast recht.

ich stimme zu möchte das sogar besonders betonen. überstürzte Entscheidungen sind oft solche die man sechs Monate spääter korrigieren muss.

wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt. halt ich hoffe, das hilft dir weiter.

Ich fasse kurz zusammen, was bisher gesagt wurde. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ja, die Situation bei muster penetrationstest-bericht ist genau so. Ein nicht getestetes Backup ist kein Backup.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Bei uns war es so. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Du hast recht, ich bin denselben Weg gegangen. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Ich hoffe, das hilft dir weiter.