TP3 — Vollständiger Missionsbericht
Beginn in Woche 13 · Abgabe in Woche 14
Kontext
Ein simulierter Auftrag wird bereitgestellt, mit RoE, ursprünglicher Kartierung und Ausführungsprotokollen. Sie führen keinen neuen Angriff aus: Sie verfassen den Abschlussbericht, als hätten Sie den Auftrag von Anfang bis Ende durchgeführt.
Lernziele
- Einen Bericht zusammenstellen, der sowohl von der Geschäftsführung als auch von den technischen Teams gelesen wird.
- Nach geschäftlicher Auswirkung priorisieren, nicht nur nach CVSS.
- Einen zeitlich glaubwürdigen Remediationsplan vorschlagen.
Erwarteter Liefergegenstand
Ein PDF-Bericht von 20 bis 30 Seiten, wie folgt strukturiert:
- Management-Zusammenfassung — 1 bis 2 Seiten, ohne Fachjargon, mit dem Fazit am Anfang und der Heatmap der Befunde.
- Geltungsbereich und Methodik — Erinnerung an RoE, Werkzeuge, Zeitfenster.
- Detaillierte Befunde — mindestens sechs, vorgegebenes Gabarit (Titel, Schweregrad, Kontext, Nachweis, Auswirkung, Remediation, Referenzen). Mindestverteilung: zwei P1, zwei P2, zwei oder mehr P3.
- Remediationsplan — Maßnahmen auf 3, 6, 12 Monate, mit Aufwandsschätzung und vorgeschlagenem Verantwortlichen.
- Anhänge — Rohausgabe der Scans, vollständige Anfragen, datierte Screenshots.
Bewertungsraster (100 Punkte)
| Kriterium | Punkte |
|---|---|
| Ohne Fachjargon verständliche Management-Zusammenfassung | 15 |
| Sechs dem Gabarit entsprechende Befunde | 30 |
| Verteilung und Kohärenz der Schweregrade | 10 |
| Remediationsplan mit drei Zeithorizonten | 20 |
| Qualität der Nachweise in den Anhängen | 10 |
| Vertretbare Priorisierung | 10 |
| Klarheit und Präsentation | 5 |
Qualitätsstandards
- Jeder Befund hat eine testbare Remediation.
- Jeder Nachweis ist datiert, identifiziert, nicht manipuliert.
- Kein „Blackbox“-Werkzeug ohne Erklärung, was es tatsächlich tut.
- Die Management-Zusammenfassung steht ohne die detaillierten Befunde für sich.