Referenzen
Beispiel einer Management Summary
So kann die verdichtete Entscheidungsgrundlage eines Penetrationstest-Berichts aussehen.
Dieses Beispiel ist vollständig synthetisch. Organisation, Anwendung, Befunde, Kennzahlen und Zeitangaben sind frei erfunden und lassen keinen Rückschluss auf ein Kundenprojekt zu.
Management Summary
Im vereinbarten Testumfang wurde eine fiktive B2B-Webanwendung mit zugehöriger API und drei Benutzerrollen untersucht. Die Prüfung zeigt ein hohes Gesamtrisiko, weil eine fehlerhafte objektbezogene Autorisierung den rollenübergreifenden Zugriff auf vertrauliche Geschäftsdaten ermöglichen würde. Zwei weitere Befunde betreffen unzureichende Session-Begrenzung und eine sicherheitsrelevante Fehlkonfiguration.
Der kritische Entscheidungsbedarf liegt nicht in einer vollständigen Neuentwicklung. Empfohlen wird, die zentrale Autorisierungsprüfung vor dem nächsten Release zu korrigieren und durch automatisierte Negativtests abzusichern. Die übrigen Findings können priorisiert im folgenden Wartungszyklus behandelt werden. Ein fokussierter Retest sollte die Wirksamkeit der Korrekturen bestätigen.
Befundübersicht
| Priorität | Anzahl | Entscheidungsbedarf |
|---|---|---|
| Hoch | 1 | Vor dem nächsten Release beheben und retesten |
| Mittel | 2 | Im nächsten Wartungszyklus einplanen |
| Niedrig | 1 | Mit regulärer Härtung behandeln |
Beispiel-Finding: Fehlende objektbezogene Autorisierung
Risiko: Hoch
Betroffener Bereich: API-Endpunkt für fiktive Vertragsdokumente
Auswirkung: Ein angemeldeter Benutzer könnte durch Änderung einer Objekt-ID auf Dokumente eines anderen Mandanten zugreifen. Dadurch wären Vertraulichkeit und Mandantentrennung verletzt.
Reproduzierbarkeit: Der Bericht würde hier Voraussetzung, Testrolle, bereinigte Beispielanfrage, beobachtete Antwort und erwartetes Verhalten dokumentieren. Sensible Tokens, reale IDs und personenbezogene Daten gehören nicht in ein öffentliches Beispiel.
Empfehlung: Die Zugriffsentscheidung muss serverseitig für jedes Objekt aus der authentifizierten Identität und der zulässigen Mandantenzuordnung abgeleitet werden. Ergänzend sollten Negativtests für rollen- und mandantenfremde Objektzugriffe in die automatisierte Teststrecke aufgenommen werden.
Priorisierter Maßnahmenplan
- Objektbezogene Autorisierung zentral korrigieren und abhängige Endpunkte prüfen.
- Automatisierte Negativtests für alle relevanten Rollen und Mandanten ergänzen.
- Korrektur in einer kontrollierten Testumgebung verifizieren lassen.
- Session-Begrenzung und Fehlkonfiguration im nächsten Wartungszyklus behandeln.
- Wiederkehrende Autorisierungsfehler in Code-Review-Checkliste und Developer-Training aufnehmen.
Was der vollständige Kundenbericht zusätzlich enthält
- vereinbarten Scope, Annahmen, Einschränkungen und Testzeitraum
- Methodik und geprüfte Angriffsflächen
- reproduzierbare technische Evidenz je Finding
- nachvollziehbare Risikobegründung statt isolierter Score-Werte
- konkrete Maßnahmen für Entwicklung, Betrieb und Management
- offene Fragen sowie Vorschlag für Nachbesprechung und Retest
Ihr nächster Schritt
Wenn Sie für Ihre Anwendung eine vergleichbare Entscheidungsgrundlage benötigen, nennen Sie mir Zielsystem, Anlass und gewünschten Zeitraum über die Projektanfrage.