Was in einen Pentest-Bericht gehört: Die sieben Bestandteile, die ein Prüfer sehen will
Datum und Scope, Vorgehen, Befunde mit Reproduktionsschritten, gestoppte und nicht gestoppte Maßnahmen, abgeleitete Maßnahmen, Nachtest und Management-Zusammenfassung: der Aufbau, mit dem ein Bericht für NIS2, ISO 27001 und TISAX gleichzeitig taugt.
Zwei Leser, ein Dokument
Die Entwicklung will wissen: Wo genau, wie reproduziere ich es, was soll ich ändern? Die Geschäftsleitung und der Prüfer wollen wissen: Was wurde geprüft, was kam heraus, was wurde daraus gemacht, und stimmt das noch? Ein Bericht, der nur eine der beiden Gruppen bedient, wird von der anderen nicht gelesen. Deshalb hat sich in Prüfungen ein fester Aufbau bewährt.
Die sieben Bestandteile
1. Datum, Scope und Ausgangslage
Wann wurde geprüft, welche Systeme, aus welcher Perspektive: von außen ohne Zugang, mit Testrollen, aus dem internen Netz. Und ebenso wichtig: was ausdrücklich nicht geprüft wurde. Ein Prüfer, der den Scope nicht findet, kann den Rest des Berichts nicht einordnen.
2. Vorgehen und Techniken
Die Methodik und die eingesetzten Techniken, so beschrieben, dass ein Dritter nachvollziehen kann, wie gearbeitet wurde. Nicht als Werkzeugliste, sondern als Ablauf: Was wurde erkundet, was wurde versucht, was wurde ausgelassen und warum.
3. Befunde mit Reproduktionsschritten
Jeder Befund mit den Schritten, mit denen er sich nachstellen lässt, mit der Auswirkung im Kontext Deines Unternehmens und mit einer Einstufung, die diese Auswirkung abbildet, nicht nur eine generische Punktzahl. Ein Befund ohne Reproduktionsschritte ist eine Vermutung mit Risikostufe.
4. Was gehalten hat und was nicht
Welche Schutzmaßnahme den Angriff gestoppt hat und welche nicht. Das ist der Teil, den die meisten Berichte auslassen, und genau der Teil, den NIS2 unter dem Stichwort Wirksamkeitsbewertung meint. Eine Maßnahme, an der ein Angriff gescheitert ist, ist ein belegtes Ergebnis, und das gehört dokumentiert, nicht nur die Lücken.
5. Abgeleitete Maßnahmen
Konkrete Behebungsempfehlungen, die Deine Entwicklung oder Dein Dienstleister umsetzen kann, mit Verantwortlichen und Terminen. Ohne diese Spalte bleibt der Bericht eine Liste; mit ihr wird er ein Plan.
6. Ergebnis des Nachtests
Welche Befunde nach der Behebung erneut geprüft wurden und mit welchem Ergebnis. Erst dieser Abschnitt schließt den Kreis. Ein Bericht ohne Nachtest belegt, dass Befunde gefunden wurden, nicht, dass sie geschlossen sind.
7. Zusammenfassung für die Geschäftsleitung
Getrennt vom technischen Teil, ohne Reproduktionsschritte, mit den Antworten auf drei Fragen: Was wurde geprüft, wie steht es, was passiert als Nächstes. Die Geschäftsleitung haftet unter NIS2 für die Umsetzung der Maßnahmen und muss ihre Wirksamkeit selbst bewerten. Dafür braucht sie eine Seite, nicht sechzig.
Ein Bericht, mehrere Regelwerke
NIS2, ISO 27001 und TISAX schreiben kein Berichtsformat vor. Sie verlangen, dass Schwachstellen behandelt und die Wirksamkeit von Maßnahmen bewertet wird, und dass das dokumentiert ist. Ein Bericht mit den sieben Bestandteilen oben deckt das ab, ohne dass jemand ihn je Regelwerk neu formatieren muss. Was Prüfer unterschiedlicher Regelwerke zusätzlich sehen wollen, ist die Wiederholung: der zweite und dritte Bericht, aus denen Kennzahlen entstehen.
Was aus mehreren Berichten wird
Aus einem Bericht entsteht ein Messpunkt. Aus mehreren entstehen drei Kennzahlen: die Zahl belegter Angriffspfade je Lauf, die Zeit von Befund bis Behebung, der Anteil der Befunde, die nach der Behebung erneut auftreten. Diese Reihe ist es, was ein Prüfer unter messbar versteht, und sie trägt den Bericht an die Geschäftsleitung. Wer Berichte so aufbaut, dass sich die drei Zahlen aus jedem Lauf ablesen lassen, hat den Nachweis, bevor jemand danach fragt.
Genau dieser Teil ist unserer: Befunde priorisieren, Behebung begleiten, Nachtest terminieren und die Ergebnisse so ablegen, dass Kunden, Versicherer und Prüfer sie lesen können. Den Test selbst führt ein Anbieter durch, den Du auswählst.
Häufig gestellte Fragen
Reicht der Bericht des Anbieters als NIS2-Nachweis?
Als Baustein ja, als Nachweis allein nein. NIS2 verlangt Konzepte und Verfahren zur Wirksamkeitsbewertung, also einen Prozess, in dem der Bericht ausgewertet, Maßnahmen abgeleitet und die Ergebnisse an die Geschäftsleitung berichtet werden. Der Bericht liefert den technischen Beleg; die Dokumentation drumherum musst Du führen.
Sollte der Bericht signiert oder unveränderbar sein?
Es hilft, vor allem, wenn der Bericht gegenüber Versicherer oder Aufsicht vorgelegt wird. Manche Anbieter signieren Befunde kryptografisch oder führen ein unveränderliches Protokoll. Wenn nicht, sichere Datum und Version selbst und lege den Bericht unverändert ab.
Wie lange muss ich Pentest-Berichte aufbewahren?
Mindestens so lange, wie der Nachweis gebraucht werden kann, und das ist bei NIS2-Nachweisprüfungen und Versicherungsfällen deutlich länger als ein Jahr. Bewahre die Reihe auf, nicht nur den letzten Bericht, denn erst die Reihe belegt eine Entwicklung.