Zum Hauptinhalt springen

Woche 13 — Bericht und Empfehlungen

Lernziele​

  • Einen Bericht strukturieren, der von unterschiedlichen Zielgruppen gelesen wird: Geschäftsleitung, technisches Team, Audit.
  • Reproduzierbare Feststellungen und umsetzbare Empfehlungen verfassen.
  • Auf Basis der geschäftlichen Auswirkung priorisieren, nicht nur anhand des CVSS.

Referenzstruktur​

  1. Executive Summary — 1 bis 2 Seiten, ohne Fachjargon, mit dem Fazit an erster Stelle.
  2. Umfang und Methodik — Erinnerung an die Rules of Engagement (RoE), Interventionsfenster, verwendete Werkzeuge.
  3. Gesamtüberblick — Heatmap der Feststellungen, globaler Haltungsindikator.
  4. Detaillierte Feststellungen — eine pro Schwachstelle, nach einer festen Vorlage.
  5. Priorisierte Empfehlungen — gruppiert nach Thema (Identität, Netzwerk, Anwendung, Cloud).
  6. Anhänge — Protokolle, Anfragen, Screenshots.

Vorlage einer Feststellung​

Jede Feststellung folgt exakt derselben Struktur. Die Lesbarkeit entsteht durch die Wiederholung.

  • Kurztitel — Aktion + Angriffsfläche, z. B. „SQL-Injection auf /api/recherche".
  • Schweregrad — P1 bis P4, mit Begründung (reale Auswirkung, nicht der reine Score).
  • Kontext — was das Ziel tut, in einem Satz.
  • Nachweis — gesendete Anfrage, beobachtete Antwort, datierter Screenshot.
  • Geschäftliche Auswirkung — was ein Angreifer konkret erlangt.
  • Behebung — präzise Maßnahme, wenn möglich getestet, geschätzter Aufwand.
  • Referenzen — CWE, CVE, OWASP, Kundendokumente.

Was einen Bericht professionell macht​

  • Eine Behebung pro Feststellung. Ohne Empfehlung ist es kein Bericht, sondern eine Liste.
  • Reproduzierbare Nachweise. Ein Screenshot allein genügt nicht: die curl-Anfrage oder die Schritt-für-Schritt-Anleitung angeben.
  • Eine vertretbare Priorisierung. Der Kunde muss Ihr P1 seiner Geschäftsleitung vorlegen können und verstanden werden.
  • Keine impliziten Drohungen. Man dokumentiert; man macht keine Angst, um zu verkaufen.

Beginn des Praxisprojekts 3​

Endabgabe, fällig in Woche 14:

  • Ein vollständiger Bericht als PDF (20 bis 30 Seiten), zu einem bereitgestellten simulierten Auftrag.
  • Mindestens sechs Feststellungen, davon zwei P1, zwei P2, zwei P3+.
  • Ein Behebungsplan über drei, sechs und zwölf Monate.