Wie übergeben wir Pentest-Befunde an Entwickler – welches Format und welche Priorisierung?

Der CVSS-Score im Bericht spiegelt nicht immer das reale Risiko wider. Eine XSS-Lücke tief im Admin-Panel hat vielleicht einen hohen Score, während eine schwache Passwort-Policy auf dem öffentlichen Login nur als mittel eingestuft ist. Zieht immer zuerst das vor, was von außen ohne Auth erreichbar ist und Daten abfließen lassen kann.

Packt in jedes Ticket die exakten Reproduktionsschritte. Wenn der Dev die Lücke lokal nicht nachstellen kann, fasst er sie nicht an – dann heißt es nur "works on my machine" und das Ticket geht postwendend zurück.

Letztes Jahr hab ich einen 110-Seiten-Bericht einfach per Rundmail an die Entwickler geschickt. Zwei Monate später beim Audit stellte sich heraus: Es wurde absolut gar nichts gemacht, weil jeder dachte, der andere kümmert sich darum. Wenn man das nicht in Einzeltickets gießt und Leuten direkt zuweist, liest den Bericht kein Mensch.

entwicklern n pdf hinzuklatschen ist der größte fehler überhaupt. naja niemand liest 80 seiten sicherheits-prosa. url und parameter ins ticketsystem kippen, zuweisen fertig.

Traut den Berichten der Pentest-Buden auch nicht blind. Um die Seitenzahl aufzublähen, packen die gerne zehn banale Scanner-Outputs wie "Information Disclosure: Versionsnummer im Header" mit rein und stufen das als hoch ein. Sowas blockiert die Entwickler nur unnötig.

Ihr braucht intern feste Remediation-SLAs in eurer Sicherheitsrichtlinie: Kritisch innerhalb von 3 Tagen, hoch innerhalb von 15 Tagen und mittel innerhalb von 45 Tagen. Das muss schriftlich festgehalten sein.

bei uns steht demnächst auch ein Test an: Prüfen die Sicherheitsfirmen die geschlossenen Lücken eigentlich kostenlos nach oder stellen die dafür direkt ne neue Rechnung aus?

Setzt Entwickler und Tester für ein einziges Meeting an einen Tisch. Innerhalb eines halben Tages ist alles geklärt.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Je schwerer es ist eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Ich hoffe das hilft dir weiter.

Ich würde sagen, lass uns nichts überstürzen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

da verstehe ich etwas nicht ganz dann ehrlich gesagt maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen die man nicht sieht.

das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

ich würde mich freuen, wenn du das Ergebnis postest.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Viel Erfolg.

Ich schreibe mal meine Erfahrung auf. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Wenn deine Situation anders ist, ändert sich das natürlich.

Man sollte der Reihe nach vorgehen. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Ich stimme zu möchte das sogar besonders betonen. Entscheidend ist nicht die Zahl sondern worauf sie sich bezieht.

Bei uns war der größte Zeitfresser die Unklarheit darüber wer entscheidet. Korrigiert mich, falls ich falsch liege.

Man sollte der Reihe nach vorgehen. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Nur als Notiz, könnte nützlich sein.

Notiert, danke. Fehler auf der pentest befunde übergabe-Seite sind meist rückgängig zu machen, aber teuer.