Ein Blick in Angebote verschiedener Penetrationstest-Anbieter zeigt ein Muster beim Pentest-Nachtest: Er steht als separater Posten in der Kalkulation, wird pauschal mit einem ganzen Tag oder sogar mit dem vollen Erstaufwand angesetzt, pro Finding berechnet oder fällt auf Nachfrage ganz weg. Damit wird er regelmäßig wegverhandelt. Meine Meinung: Der Nachtest, im Projektgeschäft meist Retest genannt, sollte immer im Preis für den Penetrationstest enthalten sein. Die Kurzform vorweg: Der Aufwand steckt im ursprünglichen Test. Alles danach ist im Kern das Nachschlagen der eigenen Testdokumentation und ein aktualisierter Bericht.
Wo der Aufwand wirklich sitzt
Der Aufwand eines Penetrationstests steckt in der Aufnahme und der Durchführung des Tests selbst: das Zielobjekt verstehen, die Geschäftslogik einer Anwendung durchdringen, Funktionen und Angriffsfläche enumerieren, Findings mit reproduzierbaren Nachweisen dokumentieren. Eine Webanwendung versteht man nicht an Tag eins, wenn man nicht vorher Stunden für Logins, Rollen, Mandantenkonzepte und APIs aufgewendet hat. Genau hier entstehen die eigentlichen Kosten des Tests. Das ist auch richtig so.
Was ein Pentest-Nachtest tatsächlich ist
Schauen wir uns den Nachtest an. Für jedes einzelne Finding liegt die Durchführung in der Testdokumentation: request, response, Screenshot, Notizen dazu, warum der Befund kritisch ist. Nach der Behebung durch den Kunden öffnet der Tester diese Dokumentation, spielt den Testablauf erneut ab und prüft: behoben, teilweise behoben oder weiterhin offen. Danach bekommt der Bericht einen aktualisierten Findings-Status und, wenn nötig, den Hinweis, dass die Behebung nicht vollständig ist. Das war es. Der Aufwand liegt in Stunden, nicht in Tagen.
Nebenbei ist das die ernstzunehmende Messlatte für die Dokumentationsqualität eines Anbieters: Wer seine eigenen Findings nach vier Wochen nicht aus der Dokumentation heraus reproduzieren kann, hatte im Ersttest ein Dokumentationsproblem. Der Nachtest ist die Qualitätskontrolle der Pentest-Dokumentation.
Ich weiß nicht, ob ich mit dieser Meinung alleine bin, oder ob es nur an PTDoc liegt, das einem sehr viel Berichtsarbeit abnimmt. Aber wer Pentest-Berichte noch per Word und von Hand schreibt, hat den Trend verschlafen.
Warum ein separat berechneter Retest allen schadet
Wenn die Verifikation der Behebungen Geld kostet, wird sie für den Auftraggeber zur Budgetfrage statt zur Sicherheitsfrage. Budgetfragen werden erfahrungsgemäß zugunsten der Stelle beantwortet, die gerade keinen Spielraum hat. Das Ergebnis ist eine Findings-Liste, deren Behebung nie überprüft wurde. Der Pentest ist damit auf dem Papier abgeschlossen, offen bleibt aber, ob der Kunde die Findings tatsächlich korrekt behoben hat.
Spätestens wer einem Auditor gegenübersitzt, merkt das. Ob ISO 27001, PCI DSS oder MDR: Nirgends genügt es, nur den Pentest-Bericht vorzulegen. Der Nachweis, dass kritische Befunde tatsächlich behoben wurden, ist der eigentliche Beleg dafür, dass der Regelkreis des Informationsrisikomanagements funktioniert. Ein dokumentierter Retest mit aktualisiertem Berichtsstatus ist genau dieser Nachweis.
Betriebswirtschaftlich ehrlich gesagt: Ein separat berechneter Nachtest ist fast reine Marge, weil der Grenzaufwand minimal ist. Die Spanne, die ich in Fremdangeboten dafür sehe, reicht von einem halben Tag bis zum Doppelten des eigentlichen Testaufwands. Ein Anbieter, der dafür einen ganzen Tag ansetzt, verkauft dem Kunden etwas, das ihn selbst ein paar Stunden kostet. Den Kunden für das Nachschlagen der eigenen Dokumentation den kompletten Ersttest noch einmal bezahlen zu lassen, ist die konsequentste Variante desselben Geschäftsmodells: Bestraft wird am Ende der Kunde, der seine Findings tatsächlich beheben lässt.
Margen sind kein Verbrechen, aber sie sind kein Geschäftsmodell, das Vertrauen in eine Prüfbeziehung verdient. Wer den Retest einkalkuliert, verkauft ihn ohnehin im Gesamtpreis mit. Die Frage ist nur, ob er als Fairness ankommt oder als versteckter Aufschlag. Das erzeugt Misstrauen im Projekt und kostet den Anbieter am Ende mehr, als der Posten je einbringt.
Der berechtigte Einwand, und was er wirklich bedeutet
Um Fairness bemüht: Gegen einen pauschal eingeschlossenen Retest gibt es einen legitimen Einwand. Manche Auftraggeber verstehen unter Retest einen Mini-Pentest: Regressionstest auf neue Funktionen, Test neu hinzugekommener Schnittstellen, Suche nach neuen Schwachstellen im veränderten Scope. Das ist kein Retest, das ist ein Folgetest, und der muss logischerweise separat beauftragt und bezahlt werden. Dieser Einwand ist aber kein Argument gegen die Inklusion, sondern ein Argument für eine saubere Scope-Definition im Angebot: Retest heißt Verifikation der berichteten Findings, alles andere ist ein neuer Auftrag.
Wir selbst handhaben das seit Jahren so und weisen den Retest im Angebot nicht als kostenpflichtigen Posten aus. Wer seine Testabläufe strukturiert und reproduzierbar dokumentiert, für den ist der Retest nun mal die Sache von Stunden, die ich oben beschrieben habe.
Fazit
Der Nachtest ist der Teil des Penetrationstests, in dem aus einem Bericht ein geschlossener Kreis wird: Findings dokumentieren, Behebung anstoßen, Zustand verifizieren, Status aktualisieren. Ein Pentest, der beim Bericht stehen bleibt, dokumentiert nur den Zustand zum Testzeitpunkt. Ein Pentest mit Retest dokumentiert den Zustand, der nach der Behebung tatsächlich herrscht. Beides hat seinen Wert, doch nur das zweite hilft dem Risikomanagement und dem Auditor weiter, der später danach fragt.
Ein separat berechneter Retest macht die Verifikation zum Verhandlungsgegenstand und nicht zum Bestandteil des eigenen Überprüfungsprozesses. Deshalb bleibt mein Fazit: Nachtest der berichteten Findings standardmäßig im Preis enthalten, sauber definiert, woraus er besteht, und die Diskussion hat keinen Nährboden mehr. Und wer für den Retest einen vollen Tag berechnet, sollte nüchtern erklären können, welche Arbeit dabei außer dem erneuten Durchlaufen der eigenen Testabläufe anfällt. Diese Antwort sagt mehr über die Qualität des Anbieters aus als jedes Zertifikatslogo im Angebot.