Nach einem Pentest erhalten Sie ein Paket aus mehreren Dokumenten: für das Team, das Befunde behebt, für die Leitung, die entscheidet, und für Prüfer, die einen Nachweis brauchen. Der Musterbericht zeigt Ihnen vor der Beauftragung, welche Unterlagen dazugehören und was sie abdecken.
Die Ergebnisunterlagen sind das, was vom Pentest bleibt. Sie sind Arbeitsgrundlage für Ihr Team, Entscheidungsvorlage für das Management und Nachweis gegenüber Auditoren, Versicherern und Kunden. Deshalb lohnt es sich, vor der Beauftragung zu wissen, was Sie erhalten, und das mit den Anforderungen Ihres Teams, Ihrer Leitung und Ihrer Prüfer abzugleichen.
Jeder unserer Berichte durchläuft vor der Übergabe eine Qualitätssicherung nach dem Vier‑Augen‑Prinzip. Eine zweite Person, die nicht selbst getestet hat, prüft Nachvollziehbarkeit, Bewertung und Verständlichkeit.
Kritische Befunde melden wir unverzüglich, schon während des Tests. Alle Dokumente übergeben wir verschlüsselt.
Der Bericht zum Test mit den Ergebnissen.
Grundlage für IT-Leitung, CISO und Geschäftsführung.
Alle Befunde mit Bewertungen und Empfehlungen als Tabelle, bereit zur Übernahme ins Ticketsystem.
Für IT-Team und Dienstleister.
Macht Befunde und Angriffspfade für Ihr IT-Team nachvollziehbar.
Für das IT-Team.
Fester Bestandteil jedes Tests. Bestätigt den durchgeführten Test, ohne Befunde offenzulegen. Kein Zertifikat einer akkreditierten Zertifizierungsstelle.
Für Auditoren, Versicherer und Kunden.
Ergänzen das Paket je nach Testart: der Social-Engineering-Report bei Social Engineering, der Physical Report bei physischen Tests.
Zusätzlich buchbar: die Management-Präsentation für die Führungsebene, mit Entscheidungsvorlagen, und der Retest der behobenen Befunde, beim Test mitbeauftragt oder später separat.
Ein Red-Teaming-Report beschreibt den Angriff als Erzählung entlang der Angriffskette. Er enthält die wenigen Befunde, die zum Erreichen des Ziels nötig waren, qualitativ bewertet und ohne CVSS, dazu die Lücken in Erkennung und Reaktion. Ihr Blue Team erhält ein Aktivitätsprotokoll mit Zeitstempeln, dazu gehören ein Debriefing und ein Replay-Workshop. Wie das für Ihr Vorhaben aussieht, besprechen wir im Erstgespräch.
Auf wenigen Seiten die Gesamteinschätzung in Geschäftssprache: was geprüft wurde, wie weit ein Angreifer gekommen wäre, welche Entscheidungen anstehen. Lesbar ohne technisches Vorwissen.
Prüfziel, Zeitraum, Zielsysteme, Perspektive und Testquellen, dazu die ausdrückliche Abgrenzung dessen, was nicht geprüft wurde. So ist klar, welche Aussage der Bericht treffen kann.
Vorgehen und Standards, an denen sich die Prüfung orientiert, etwa MITRE ATT&CK sowie OWASP WSTG und OWASP Top 10 bei Webanwendungen oder OWASP MASTG und OWASP Mobile Top 10 bei Mobile Apps, dazu Einschränkungen während des Tests.
Jeder Befund mit Beschreibung, betroffenen Systemen, Bewertung nach CVSS mit Score und Vektor, Einordnung in Ihren Kontext und einem Nachweis, der die Ausnutzbarkeit belegt und das Nachvollziehen ermöglicht.
Wie einzelne Befunde zusammenwirken, dargestellt als Kette vom Ausgangspunkt bis zum Ziel. Hier zeigt sich, welche Maßnahme mehrere Pfade zugleich unterbricht.
Konkrete, umsetzbare Empfehlungen je Befund mit Priorität, dazu übergreifende Empfehlungen, wo die Ursache in Architektur oder Prozessen liegt.
Technische Details, Listen geprüfter Systeme und Dienste, eingesetzte Werkzeuge und Zeitstempel der Prüfschritte, damit Ihr Team Aktivitäten in eigenen Logs zuordnen kann.
Der Musterbericht zeigt, welche Unterlagen zu einem Pentest gehören und was sie abdecken. Zuschnitt und Umfang der Unterlagen legen wir im Scoping fest. Auf Wunsch erläutern wir das für Ihre Testart in einem kurzen Gespräch, kontaktieren Sie uns hierzu gerne direkt.
