Zuerst den Auftrag mit dem Ergebnis abgleichen
Beginnen Sie mit der Frage, für die Sie die Prüfung beauftragt haben. Sind die vereinbarten Systeme aufgeführt? Passt der Prüfzeitraum zum betrachteten Stand? Welche Bereiche waren erreichbar, welche Zugänge fehlten? Diese Angaben bestimmen, auf welche Entscheidung Sie den Bericht anwenden können.
OWASP empfiehlt, den Umfang, Einschränkungen, die Zusammenfassung und technische Befunde verständlich aufzubereiten. Ein sauber abgegrenzter Bericht hilft sowohl der Geschäftsleitung als auch den Personen, die Änderungen umsetzen.
Für eine Beratung oder einen IT-Dienstleister ist zusätzlich die Zuordnung wichtig: Betrifft der Befund die eigene Plattform, einen gemeinsam verwendeten Dienst oder ein einzelnes Kundenprojekt? Eine klare Kennzeichnung verhindert, dass eine richtige Maßnahme beim falschen Team landet. [1]
Hinweis, Bestätigung und Auswirkung unterscheiden
Ein automatisierter Hinweis ist zunächst ein Anlass zur Einordnung. Eine bestätigte Beobachtung braucht einen nachvollziehbaren Bezug zum geprüften System. Die mögliche Auswirkung beschreibt wiederum, was diese Beobachtung unter den genannten Bedingungen bedeuten kann.
Wir empfehlen, diese drei Ebenen beim Lesen getrennt zu markieren. Fragen Sie bei unklaren Formulierungen nach: Welche Information wurde direkt beobachtet? Welche Annahme wurde daraus abgeleitet? Welche zusätzliche Prüfung würde die offene Frage beantworten? So bleiben auch Befunde nutzbar, die sich im vereinbarten Umfang nicht abschließend bestätigen ließen.
Für eine Rechteprüfung wären beispielsweise Rolle, erlaubte Aktion und betroffener Datenbereich entscheidend. Für eine DNS-Konfiguration sind es der tatsächliche Eintrag, sein Abrufzeitpunkt und die vorgesehene Funktion. Ein Screenshot allein ersetzt diesen Zusammenhang nicht.
Welche Angaben für Rollen und Zugriffsrechte erforderlich sind
Technische Bewertung mit dem Geschäftskontext verbinden
CVSS beschreibt technische Schwere anhand dokumentierter Merkmale; die eingesetzten Metriken und der Vektor gehören zur Einordnung. EPSS schätzt für eine CVE die Wahrscheinlichkeit beobachteter Ausnutzung in den nächsten 30 Tagen. Keiner dieser Werte ersetzt allein die Entscheidung für Ihr konkretes System.
Prüfen Sie deshalb zusätzlich die tatsächliche Betroffenheit, Erreichbarkeit, Bedeutung des Dienstes und vorhandene Schutzmaßnahmen. Eine Maßnahme kann dringlich sein, weil ein zentraler Geschäftsablauf betroffen ist. Ein hoher Zahlenwert ohne passende Produktversion rechtfertigt dagegen noch keine Aussage, dass Ihr System verwundbar ist. [2] [3]
Prioritäten bei neuen Schwachstellen nachvollziehbar festlegen
Aus dem Befund einen umsetzbaren Auftrag machen
Für die Übergabe in die Umsetzung empfehlen wir einen kurzen Maßnahmenvermerk. Er kann im vorhandenen Ticketsystem geführt werden; eine zusätzliche Plattform ist dafür nicht nötig.
- Befundkennung und betroffenes System nennen.
- Verantwortliche Person oder zuständigen Dienstleister festlegen.
- Konkrete Änderung und gegebenenfalls eine Zwischenmaßnahme beschreiben.
- Termin anhand des Risikos und betrieblicher Abhängigkeiten festlegen.
- Festhalten, welcher Nachweis die erfolgreiche Änderung belegen soll.
- Eine verschobene oder verworfene Maßnahme mit Begründung und Prüftermin dokumentieren.
Nachprüfung und Abschluss klar auseinanderhalten
Ein geschlossenes Ticket zeigt zunächst, dass ein Bearbeitungsschritt beendet wurde. Ob die relevante Sicherheitseigenschaft nun erfüllt ist, braucht einen passenden Nachweis. Planen Sie daher schon bei der Änderung, welcher Zustand erneut geprüft wird und wer das Ergebnis abnimmt.
NIST behandelt die Entwicklung von Maßnahmen als Bestandteil des Prüfprozesses. Für die eigene Nachverfolgung empfehlen wir getrennte Zustände wie geplant, umgesetzt, nachgeprüft und weiterhin offen. Eine Maßnahme ohne Nachprüfung wird dadurch nicht versehentlich als geprüfter Abschluss weitergegeben.
Bewahren Sie Berichtsversion und zugehörige Maßnahmen gemeinsam auf. Bei späteren Änderungen lässt sich dann erkennen, auf welchen Systemstand sich eine Aussage bezog. Für das Management genügt eine kurze Übersicht über offene Entscheidungen, verantwortliche Personen und nächste Termine; technische Details bleiben im zugehörigen Befund. [4]
Weiterlesen
Quellen & Vertiefung
Primärquellen abgeglichen am 05.10.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.