Pentest-Bericht schreiben
Der Pentest-Bericht ist das wichtigste Ergebnis eines Penetrationstests. Technisch brillante Testergebnisse ohne gute Dokumentation sind wertlos – der Kunde kann die Schwachstellen nicht beheben, wenn er sie nicht versteht. Ein professioneller Pentest-Bericht ist deshalb eine eigenständige Kernkompetenz, die genauso viel Aufmerksamkeit verdient wie die technische Arbeit selbst.
Ein guter Bericht hat zwei Zielgruppen: Das Management braucht eine knappe Executive Summary mit Risikoübersicht und Geschäftsauswirkungen – ohne technischen Jargon. Die IT-Abteilung braucht vollständige technische Details: genaue Schwachstellenbeschreibungen, Proof-of-Concept-Schritte, CVE-Nummern, CVSS-Scores und konkrete Handlungsempfehlungen.
1) Berichtsstruktur: Was muss enthalten sein?
Klicke auf einen Abschnitt, um die Anforderungen und typischen Inhalte zu sehen.
2) Beispiel: Einzelner Schwachstellen-Eintrag
Jede gefundene Schwachstelle wird nach einem einheitlichen Schema dokumentiert. Das folgende Beispiel zeigt einen vollständigen Eintrag für eine SQL-Injection-Schwachstelle.
2. username:
' OR '1'='1' --, password: beliebig3. Zugriff als admin gewährt
POST /login HTTP/1.1
username=admin'--&password=x
→ HTTP 302, Location: /admin/dashboard3) Risikozusammenfassung – Beispiel
Zusammenfassung
Ein Pentest-Bericht hat zwei Zielgruppen: Management (Executive Summary, Risikoübersicht) und IT (technische Details, Proof-of-Concept, konkrete Maßnahmen). Struktur: Deckblatt → Executive Summary → Scope → Risikozusammenfassung → Technische Befunde → Empfehlungen → Anhang. Jede Schwachstelle: CVSS-Score, CVE, Beschreibung, Angriffspfad, PoC, Empfehlung. Bericht vertraulich behandeln und verschlüsselt übermitteln. Abschluss des Pentests: IHK-Aufgaben Penetration Testing.