Das gewünschte Ergebnis zuerst
Soll eine Anwendung vor einem Release untersucht werden? Steht eine konkrete Berechtigungsfrage im Raum? Oder sollen vorhandene Schutzmaßnahmen auf ein definiertes Szenario reagieren? Ein Prüfauftrag wird vergleichbar, wenn die erwartete Aussage feststeht. Eine pauschale Zusage, ein Unternehmen umfassend zu prüfen, lässt zu viele wesentliche Fragen offen.
Ziele und Zugänge
Benennen Sie die konkreten Systeme, Umgebungen und verantwortlichen Stellen. Notieren Sie Besonderheiten wie mehrere Mandanten, Schnittstellen oder unterschiedliche Benutzerrollen. Für eine Zugriffsprüfung sind die erwarteten Rechte und geeignete Testidentitäten wichtig; OWASP zeigt diese Abhängigkeit für objektbezogene Berechtigungsprüfungen.
Methoden und Grenzen
Die NCSC-Anleitung zur Beauftragung von Pentests beschreibt unter anderem technische Grenzen, Testarten, Zeitrahmen, Vorbereitung und Berichtsanforderungen. Daraus folgt für Ihren Vergleich: Zwei Angebote mit demselben Titel können sehr unterschiedliche Prüfaufträge abdecken. Ein Black-Box-Test ohne Zugänge und eine gezielte Rollenprüfung sind nicht einfach identische Leistungen zu verschiedenen Preisen.
Unser Vorschlag für die Anfrage
Beschreiben Sie das Prüfziel in einem Satz. Ergänzen Sie Systemtyp und ungefähren Umfang, bekannte Rollen oder Mandanten, den gewünschten Zeitraum und vorhandene Einschränkungen. Vertrauliche Zugänge oder vollständige Schwachstellendetails gehören nicht in die erste allgemeine Anfrage. Für die Eingrenzung genügt zunächst eine fachliche Übersicht.
Was im Ergebnis erkennbar sein sollte
Unser Vorschlag für die Abnahme: Lassen Sie geprüfte Bereiche und Ausschlüsse nachvollziehbar dokumentieren. Fragen Sie nach Belegen, der Einordnung unsicherer Hinweise und einem brauchbaren Maßnahmenbedarf. Bei Nachprüfungen sollte klar sein, welcher Befund erneut untersucht wurde und welche Aussage aus dem Ergebnis folgt.
Keine falsche Gleichsetzung
Mehr automatisierte Testschritte sind nicht automatisch mehr Aussagekraft. Eine begrenzte Untersuchung mit passenden Testidentitäten kann eine konkrete Rechtefrage beantworten, die ein umfangreicher externer Scan offenlässt. Entscheidend ist, ob Methode und Nachweise zur vereinbarten Frage passen.
Praktisch vorbereiten
Der lokale Prüfumfang-Generator auf dieser Website hilft dabei, eine erste Übersicht zusammenzustellen. Er führt keine technische Prüfung durch und überträgt keine Angaben. Seine Ausgabe ist ein Gesprächs- beziehungsweise Anfragegerüst, kein fertiges Angebot und keine Prüfberechtigung.
Passende Prüftiefe
Weiterlesen
Primärquellen abgeglichen am 26.09.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.