40-seitigen Pentest-Bericht bekommen — gibt es Beispielberichte zum Vergleichen?

Wenn im Bericht kein Proof-of-Concept bzw. Exploit-Nachweis steht, hat der Test so nie stattgefunden. Wenn sie etwa behaupten, eine SQL-Injection gefunden zu haben, müssen sie Schritt für Schritt zeigen, wie sie harmlose Beispieldaten aus der DB gezogen haben. Einfach nur die Warnmeldung des Tools reinzuklatschen reicht nicht.

Uns ist vor zwei Jahren für 2.500 GBP genau dasselbe passiert. Der Sicherheitsprüfer unseres Kunden hat den Bericht direkt abgewiesen mit der Begründung, das sei kein Pentest, sondern nur ein einfacher Schwachstellenscan. Wir mussten damals komplett von vorn anfangen und jemand anderen beauftragen.

3.500 GBP sind auf dem britischen Markt extrem knapp bemessen für einen fundierten manuellen Pentest. Zu solchen Preisen lassen die Anbieter meist nur einen Scanner durchlaufen und exportieren das PDF. Ein echter Test erfordert mindestens 3 bis 5 Personentage manuelle Arbeit, was sich dann auch auf der Rechnung niederschlägt.

Schicken Sie den Bericht an den Dienstleister zurück und fordern Sie zwei Dinge ein: erstens eine einseitige Management-Summary zu Risiko und Auswirkungen, zweitens konkrete Schritte für Ihre Devs um die Fixes reproduzieren und prüfen zu können. Wenn im Vertrag manuelles Testing vereinbart war, müssen die zwingend nachbessern.

Wie genau ist die Leistung denn im Vertrag definiert? Steht da Vulnerability Scan oder wirklich Penetration Test? Die beiden Begriffe werden in der Branche leider oft vermischt. Wenn im Vertrag nur Schwachstellenscan steht, habt ihr rechtlich kaum Handhabe für eine Reklamation.

lasst euch bloß nicht von der seitenzahl blenden. ein knackiger, handgeschriebener 15-seiter der genau ins schwarze trifft ist zehnmal mehr wert als ein 80-seiten-dump aus nem automatischen scanner.

Es liegt in Ihrem eigenen Interesse, den Bericht von Ihrem Dienstleister überarbeiten zu lassen, bevor Sie ihn an den Großkunden weiterleiten. Ein versierter Enterprise-Auditor erkennt einen automatisierten Scan-Export sofort, was Ihrer Glaubwürdigkeit massiv schaden würde.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Um den Bericht zu prüfen, schaut euch am besten diese 3 Punkte an: 1) Wurden False Positives aussortiert oder steht da jede triviale Meldung drin? 2) Passen die Risikobewertungen zu eurem eigentlichen Business-Kontext? 3) Versteht ein Entwickler beim Lesen sofort, wie der Code gefixt werden muss?

Ein Thema, das gerade aktuell ist.

Du hast recht.

so klar geschriebene Texte sind selten.

Ich bin ein kleines Unternehmen ich erzähle es aus meiner Sicht. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Nur als Notiz, könnte nützlich sein.

Vielen Dank, das hat mir sehr geholfen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Im Großen und Ganzen richtig, aber ein Punkt fehlt. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Wer bei pentest bericht hetzt, stolpert alle an derselben Stelle.

In der Theorie stimmt das in der Praxis läuft es nicht so. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Wenn deine Situation anders ist ändert sich das natürlich.

Ich stimme zu.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Das hatte ich auch schon überlegt. Ein automatisierter Scan-Report ist kein Penetrationstest.