Pentest-Bericht lesen: Schweregrad, Nachweis, was zuerst

Ein Penetrationstest-Bericht wird von drei Gruppen mit drei Fragen gelesen: Die Geschäftsleitung fragt “wie schlimm ist es?”, die Entwickler fragen “was genau fixe ich und wie?”, und Kunden oder Auditoren fragen “wurde ordentlich getestet, und ist es jetzt behoben?”. Ein guter Bericht beantwortet alle drei in getrennten Teilen, und wer weiß, wo er hinschauen muss, liest nicht 80 Seiten für eine Frage.

So liest du einen Bericht, und so erkennst du einen guten.

Was ein guter Bericht enthält

Erwarte diese Teile, ungefähr in dieser Reihenfolge. NIST SP 800-115 und das Durchführungskonzept des BSI für Penetrationstests beschreiben dieselbe Struktur.

Teil	Was er beantwortet	Wer ihn liest
Management-Zusammenfassung	Gesamtrisiko, die drei schlimmsten Punkte, was zuerst zu tun ist, auf ein bis zwei Seiten ohne Fachjargon	Geschäftsleitung, Kunden, Auditoren
Scope und Methode	Was getestet wurde, von wo, mit welchen Accounts, in welchem Zeitraum, was ausgenommen war, welchem Standard gefolgt wurde	Auditoren, dein Security-Team
Übersicht der Findings	Eine Tabelle aller Findings mit Schweregrad, Status und betroffener Komponente	Alle
Detaillierte Findings	Pro Finding: Beschreibung, betroffene Komponente, Reproduktionsschritte mit Nachweis, Schweregrad mit Begründung, Empfehlung zur Behebung	Entwickler
Angriffsketten	Wie sich Findings kombinieren; oft die wichtigste Seite	Security-Team, Architekten
Positive Beobachtungen	Was standgehalten hat; nützlich für Auditor und Entwickler	Security-Team
Anhang	Werkzeuge, Testaccounts, Rohdaten, CVSS-Vektoren	Wer es braucht

Hat der Bericht keinen Scope-Abschnitt, keine Reproduktionsschritte und für jedes Finding denselben generischen Text, ist er ein Scanner-Export mit Deckblatt. Siehe Penetrationstest vs. Schwachstellenscan.

Wie du den Schweregrad liest

Die meisten Berichte bewerten Findings als kritisch, hoch, mittel, niedrig und informativ, mit einem CVSS-Wert dahinter. Drei Dinge musst du wissen:

Der CVSS Base Score beschreibt die Schwachstelle, nicht dein Risiko. Der Wert beantwortet “wie ausnutzbar und wie folgenreich ist das im Allgemeinen?”. Ein guter Bericht gibt zusätzlich eine Bewertung im Kontext, die deine Umgebung berücksichtigt: Ist das System aus dem Internet erreichbar, welche Daten liegen dahinter, welche kompensierenden Maßnahmen gibt es. CVSS v4.0 hat dafür explizite Environmental- und Threat-Metriken. Zeigt der Bericht nur Base Scores, dann ergänze den Kontext selbst, bevor du planst.

Ketten zählen mehr als einzelne Werte. Drei mittlere Findings, eine Informationspreisgabe, eine vorhersagbare ID und ein fehlendes Rate Limit, können zusammen eine kritische Kontoübernahme sein. Im Abschnitt zu den Angriffsketten oder in der Management-Zusammenfassung sagt dir der Tester das. Lies ihn vor der Finding-Liste.

Informativ ist kein Rauschen. Als informativ markierte Findings sind Dinge, die der Tester nicht ausnutzen konnte, ein Angreifer mit mehr Zeit oder nach einer künftigen Codeänderung aber vielleicht schon: ausführliche Fehlermeldungen, veraltete Bibliotheken ohne bekannten Exploit, fehlende Header. Das ist billig zu beheben und gehört ins Backlog, nicht in den Papierkorb.

In welcher Reihenfolge du behebst

Die praktische Reihenfolge nach unserer Erfahrung:

1. Kritische und hohe Findings auf Systemen am Internet, vor allem alles, was Zugriff auf fremde Nutzerdaten oder Codeausführung gibt. Tage, nicht Wochen.
2. Die Ketten. Durchbrich eine Kette am billigsten Glied: Ein Fix kann einen kritischen Pfad in drei harmlose mittlere Findings verwandeln.
3. Findings zu Authentifizierung und Autorisierung jeder Stufe. Die skalieren: Ein IDOR ist meist ein Muster, kein Einzelfehler.
4. Alles Weitere nach Schweregrad, gebündelt nach Komponente, damit ein Entwickler eine Datei einmal anfasst.
5. Ursachen. Listet der Bericht sechs Injection-Findings an sechs Stellen, ist der Fix eine zentrale Eingabeschicht, nicht sechs Patches. Frag die Tester, welche Findings eine gemeinsame Ursache haben; gute Tester schreiben das in die Zusammenfassung.

Setz eine Frist pro Schweregrad und schreib sie in deinen Schwachstellenmanagement-Prozess, zum Beispiel 7 Tage für kritisch, 30 für hoch, 90 für mittel. Auditoren fragen genau danach.

Wer welchen Teil bekommt

• Die Geschäftsleitung bekommt die Zusammenfassung und die Anzahl der Findings pro Schweregrad, dazu den Behebungsplan mit Terminen. Nicht die 80 Seiten.
• Die Entwickler bekommen die detaillierten Findings, am besten als Tickets mit hineinkopierten Reproduktionsschritten. Ein Ticket pro Finding, verknüpft mit der Bericht-ID, damit der Nachtest darauf verweisen kann.
• Kunden und Auditoren bekommen die Management-Zusammenfassung und nach dem Nachtest ein Schreiben, das festhält, was wann von wem getestet wurde und dass die Findings ab einem bestimmten Schweregrad behoben sind. Frag nach einer geschwärzten Version, wenn der volle Bericht das Unternehmen verlässt; Reproduktionsschritte für ein offenes Finding sollten nicht auf Reisen gehen.
• Dein Security-Team bekommt alles, inklusive Rohdaten, und bewahrt es dort auf, wo der nächste Tester es lesen kann.

Woran du einen schwachen Bericht erkennst

• Findings mit Text, der zu jedem Unternehmen passen würde (“veraltete Software kann zu einer Kompromittierung führen”), und ohne Reproduktionsschritte.
• Ein Schweregrad, der dem aus einer Datenbank kopierten CVSS Base Score entspricht, ohne ein Wort zu deinem Kontext.
• Kein Scope-Abschnitt, keine Liste dessen, was nicht getestet wurde, keine Angabe zu Zugriffsebene oder Accounts.
• Hunderte Findings, die meisten niedrig und informativ, und keine Ketten: Das ist ein Scan.
• Kein positiver Abschnitt. Ein Tester, der sich deinen Login richtig angesehen und ihn solide gefunden hat, sollte das sagen; dein Auditor will das lesen.
• Eine Empfehlung, die lautet “Schwachstelle beheben”.

Der Nachtest und die finale Version

Nach deinen Fixes prüfen die Tester jedes Finding und aktualisieren den Status: behoben, teilweise behoben, nicht behoben, Risiko akzeptiert. Der Abschlussbericht mit der Nachtest-Spalte ist das Dokument, das du aufbewahrst und weitergibst. Bestell den Nachtest schon im Angebot; siehe unsere Scoping-Checkliste. Die Berichte von Zyberum folgen der Struktur oben, mit CVSS-Wert und Bewertung im Kontext, und der Nachtest ist in jedem Festpreisangebot enthalten. Zertifikate stellen wir nicht aus; das Bestätigungsschreiben hält fest, was wir getestet und gefunden haben, nicht mehr.