Der Wert eines Pentests entsteht in den Wochen nach der Übergabe. Wer die Befunde im eigenen Kontext bewertet, einen realistischen Plan aufsetzt und die Wirkung per Retest belegt, hat am Ende ein messbar kleineres Risiko und einen Nachweis dafür.
Jeder Befund in unseren Berichten trägt eine Bewertung nach CVSS (Common Vulnerability Scoring System), dem verbreiteten Standard für die technische Schwere einer Schwachstelle: einen Score von 0 bis 10 und den Vektor, aus dem er sich berechnet. Der Basiswert beschreibt die technische Schwere einer Schwachstelle unabhängig von Ihrer Umgebung. FIRST, die Organisation hinter CVSS, betont selbst, dass der Basiswert allein kein Maß für Risiko ist und um Bedrohungslage und Umgebung ergänzt werden sollte.
In der Praxis heißt das: Ein mittel bewerteter Befund auf einem System, das Teil eines Angriffspfads zur Domänenübernahme ist, kann dringender sein als ein kritischer auf einem isolierten Testsystem. Deshalb beschreiben wir Angriffspfade und ordnen Befunde in Ihren Kontext ein. Für die Bewertung auf Ihrer Seite helfen drei Fragen: Wie exponiert ist das System? Welche Daten oder Prozesse hängen daran? Ist die Schwachstelle Teil einer Kette?
Für bekannte Schwachstellen in Standardsoftware lohnt der Blick auf externe Signale. Der Katalog Known Exploited Vulnerabilities (KEV) der US-Behörde CISA listet Schwachstellen, die nachweislich ausgenutzt werden, und das Exploit Prediction Scoring System von FIRST schätzt die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen.
Die wirksamste Priorisierung setzt dort an, wo eine Maßnahme mehrere Angriffspfade auf einmal unterbricht. Oft ist das eine Konfigurationsänderung im Identitätsmanagement oder die Trennung eines Netzsegments, und selten der Patch mit dem höchsten Score. Ordnen Sie Befunde in drei Gruppen: sofort, weil ausnutzbar und geschäftskritisch; geplant, im nächsten Wartungs- oder Releasezyklus; bewusst akzeptiert, mit Begründung und Verantwortlichem.
Der Retest prüft gezielt, ob behobene Befunde tatsächlich geschlossen sind und die Maßnahme keinen neuen Angriffsweg geöffnet hat. Wir empfehlen ihn typischerweise drei bis sechs Monate nach dem Erstbericht, für kritische Befunde früher. Das Ergebnis ist ein aktualisierter Status je Befund, den Sie gegenüber Auditoren, Versicherern oder Kunden vorlegen können. Einige Regelwerke erwarten diesen Schritt ausdrücklich: PCI DSS verlangt, dass ausnutzbare Schwachstellen korrigiert und der Test zur Überprüfung wiederholt wird.
Die NIS2-Richtlinie verlangt, dass Leitungsorgane Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. In Deutschland ist das seit dem 6. Dezember 2025 im BSIG verankert. Für das Management zählen deshalb drei Aussagen: wo die Organisation steht, was jetzt entschieden werden muss und was bewusst als Restrisiko akzeptiert wird.
Eine Management-Präsentation übersetzt den Bericht in diese Form und endet mit dokumentierten Entscheidungen. Das stärkt auch die Position der IT, wenn Budget oder Wartungsfenster für die Behebung gebraucht werden.
Ein Pentest zeigt den Stand an einem Stichtag. Nachhaltig wird er durch das, was Sie danach tun: im Kontext bewerten, Pfade schließen, Entscheidungen dokumentieren und die Wirkung mit einem Retest belegen. So wird aus dem Bericht ein Nachweis, der vor Management, Auditoren und Kunden trägt.
Pentester bei ProSec Networks. Schreibt über das, was im Projekt auffällt.
Wir begleiten Ihre Behebung mit Workshop, Management-Präsentation und Retest.
Der Retest nach dem Pentest zeigt je Befund, ob Ihre Maßnahmen wirken, und belegt das gegenüber Management, Auditor, Aufsicht und Versicherer.
Vom Bericht zur Behebung: Wir arbeiten die wichtigsten Schwachstellen aus Ihrem Pentest live mit Ihrem IT-Team durch und schaffen die Grundlage für die eigenständige Umsetzung.
Pentest-Ergebnisse als Management Summary für Geschäftsführung und Vorstand: belegte Zahlen, klare Optionen und dokumentierte Entscheidungen.
Schwachstellen fachlich fundiert schließen: Unsere Pentester führen Ihr Team durch Lösungswege, Architekturentscheidungen und Validierung, bis es den Ablauf selbst beherrscht.
Schildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
