Woran erkennen Sie vor der Beauftragung, ob ein Pentest-Dienstleister zu Ihrer Aufgabe passt? Lassen Sie sich zeigen, wie das vorgesehene Team Ihre Systeme untersuchen, Befunde erklären und sensible Informationen behandeln würde. Zertifikate und eine überzeugende Präsentation helfen bei der Vorauswahl. Für die Entscheidung brauchen Sie jedoch Nachweise zum konkreten Auftrag.
Die TeleTrusT Handreichung Penetrationstests 2026 behandelt Qualifikation, einschlägige Erfahrung, Methodik und professionelle Durchführung als unterschiedliche Auswahlkriterien. Zertifikate allein reichen nach Aussage der Handreichung nicht aus.[1] Das folgende Vorgehen ist eine praktische Ableitung von XPLT, kein offizielles TeleTrusT-Bewertungsschema.
Erklären Sie den angefragten Anbietern, welche Entscheidung der Test unterstützen soll. Bei einem Kundenportal könnte es darum gehen, ob die Trennung zwischen Mandanten und die Berechtigungen für Freigaben gezielten Missbrauch verhindern. Benennen Sie Anwendung, API, Rollen, Testumgebung und wesentliche Ausschlüsse. Ergänzen Sie den Termin und die Personen, die mit den Ergebnissen arbeiten werden. Sonst erhalten Sie womöglich überzeugende Kompetenznachweise für eine ganz andere Aufgabe.
Die TeleTrusT-Handreichung, physische Seiten 15–18, Abschnitte 4.1–4.3, unterscheidet die Erfahrung des Unternehmens von der Erfahrung der tatsächlich eingesetzten Personen.[1] Fordern Sie für Ihren Penetrationstest deshalb Belege zu den betroffenen Technologien und Sicherheitsfragen an. Die Zahl der Geschäftsjahre ersetzt diese Prüfung nicht.
Man nennt das auch liebevoll "Bait-and-Switch": Im Vorgespräch und auf dem Papier werden die CVs der Mitarbeiter dargestellt, die wie Weihnachtsbäume leuchten - im Projekt sind dann die Junioren vor Ort.
Bitten Sie um CVs der vorgesehenen fachlichen Leitung und der Person, die den Pentest umsetzen wird. Dazu gehören einschlägige technische Erfahrung und eine Aussage zur Verfügbarkeit. Stehen die Namen noch nicht fest, klären Sie, wann die Besetzung verbindlich wird und wie die Besetzung freigegeben werden soll. Die erfahrene Fachperson im Vertriebsgespräch arbeitet nicht zwangsläufig später an Ihrem Auftrag mit.
Lassen Sie die technische Leitung eine passenden, anonymisierten Pentest erläutern: Welche Annahme wurde geprüft? Wie wurden mögliche Auswirkungen begrenzt? Sie verlangen damit keinen kostenlosen Pentest, sondern prüfen die fachliche Argumentation. Wer Voraussetzungen und Unsicherheiten nachvollziehbar erklärt, liefert eine bessere Entscheidungsgrundlage als jemand, der das Auffinden sämtlicher Schwachstellen verspricht.
Prüfen Sie bei Zertifikaten Inhaber, Gültigkeit und Geltungsbereich anhand der Angaben der ausstellenden Stelle. Unterscheiden Sie ein Zertifikat zum Informationssicherheitsmanagement des Unternehmens von der persönlichen Qualifikation eines Testers. Beides kann relevant sein; keines garantiert die Qualität Ihres Projekts. TeleTrusT nennt auch Referenzen und Veröffentlichungen als Anhaltspunkte, weist aber auf Einschränkungen durch Vertraulichkeitsvereinbarungen hin.[1] Akzeptieren Sie freigegebene Referenzen, einen anonymisierten Pentest oder eine fachliche Erläuterung, statt auf öffentlich benannte Kunden zu bestehen.
Werden Sie einem Pentest-Dienstleister im Nachgang als Referenz zur Verfügung stehen? Unter welchem Umständen können Sie sich das vorstellen?
Fragen Sie, wie der Anbieter die für Sie wichtigsten Fehlerszenarien untersuchen würde. Welche Konten und Testmandanten braucht es für die Prüfung der Mandantentrennung? Werden direkte API-Zugriffe ebenso berücksichtigt wie Abläufe im Browser? Wie unterscheidet das Team eine beabsichtigte Berechtigung von einem Fehler in der Zugriffskontrolle? Was geschieht, wenn Zugänge fehlen oder das verfügbare Testbudget ausgeschöpft ist?
Eine belastbare Antwort beschreibt manuelle Untersuchungen, unterstützende Werkzeuge, Prioritäten und Grenzen der Abdeckung. TeleTrusT empfiehlt den Vergleich von Methodik und Vorgehensweise; reine automatisierte Schwachstellenscans ohne manuelle Tests genügen dem dort vertretenen Pentest-Verständnis nicht.[1] Der Name eines Prüfstandards allein beantwortet Ihre Fragen nicht. Fordern Sie eine kurze Beschreibung des geplanten Vorgehens für Ihr System an, einschließlich der nicht vorgesehenen Arbeiten, z.B: Denial of Service oder Brute Force-Angriffe.
Auf Seite 19, Abschnitte 4.4.3–4.4.5, empfiehlt TeleTrusT Musterberichte als Auswahlhilfe und beschreibt Anforderungen an Berichterstattung und Eskalation.[1] Bitten Sie um ein von vertraulichen Angaben bereinigtes Muster. Lassen Sie einen Befund für einen Entwickler und anschließend für die fachlich verantwortliche Person erläutern. Wenn Sie später einen vergleichbaren Report bekommen: Kann ihr Team damit arbeiten?
Kann die Entwicklung die betroffene Komponente zuordnen, die Voraussetzungen verstehen und das Problem anhand der Nachweise nachvollziehen? Erkennt die fachliche Leitung die nachgewiesenen Auswirkungen, ohne sie mit einem nur angenommenen Extremfall zu verwechseln?
Fragen Sie intern auch, wer eine unzureichend belegte Risikobewertungen oder unvollständige Reproduktionsschritte auf Ihrer Seite erkennt - oder später erkennen würde.
Fordern Sie Angaben zum sicheren Austausch, zu Zugriffsrechten, Speicherorten sowie Aufbewahrung und Löschung der Nachweise an. Bestätigen Sie Notfallkontakte und Erreichbarkeit während der vereinbarten Testzeiten. TeleTrusT behandelt verschlüsselte Kommunikation, Erreichbarkeit, Unterauftragnehmer und KI-Unterstützung auf den Seiten 18–24 in Abschnitt 4.4.[1] Für Ihre Auswahl muss erkennbar sein, wer Projektdaten einsehen darf und wer verantwortlich bleibt.
Wenden Sie diese Prüfung auf Beschäftigte, freie Mitarbeitende und Unterauftragnehmer gleichermaßen an. Arbeitsort oder Beschäftigungsform allein belegen weder Kompetenz noch Vertraulichkeit. Klären Sie, wer zusätzliche Personen freigibt, wie sie eingewiesen werden und wer ihre Arbeit kontrolliert. Bei KI-Diensten sind die Übermittlung zur Verarbeitung, die Speicherung und die Nutzung für das Modelltraining getrennte Fragen. Fordern Nachweise an, statt aus dem Begriff "KI" auf eine bestimmte Datennutzung zu schließen.
Ein Hersteller möchte sein Partnerportal und dessen API auf unzulässige Zugriffe zwischen Vertriebspartnern prüfen lassen. Anbieter A legt Unternehmenszertifikate und einen allgemeinen Musterbericht vor. Anbieter B liefert ein Profil des vorgesehenen Testers, einen bereinigten API-Befund und ein Vorgehen, das Konten in getrennten Testmandanten voraussetzt. Anbieter und Projekt sind frei erfunden; es handelt sich nicht um einen Kundenfall.
Der Einkauf schickt beiden dieselben Rückfragen:
Anbieter A bestätigt ausschließlich Browsertests und kann API-Abdeckung sowie fachliche Prüfung noch nicht erläutern. Anbieter B erklärt beide Zugriffswege, benennt die prüfende Person und weist auf eine noch fehlende Supportrolle hin, die der Auftraggeber bereitstellen muss. Nach dem vorhandenen Nachweisstand passt B besser zum Auftrag, sofern auch der Umgang mit Daten die Anforderungen erfüllt. Daraus folgt kein allgemeines Urteil über die Leistungsfähigkeit von A.
Halten Sie je Anforderung fest: "nachgewiesen", "Klärung erforderlich" oder "nicht akzeptabel". Verweisen Sie auf das jeweilige Dokument. Eine fehlende Antwort darf nicht als erfülltes Kriterium erscheinen. Geben Sie beiden Anbietern Gelegenheit zur Ergänzung und vergleichen Sie anschließend die Zusagen, die sie verbindlich übernehmen wollen.
Trennen Sie zwingende Voraussetzungen von Präferenzen. Ein Preisvorteil kann einen vorgeschriebenen sicheren Datenaustausch nicht ersetzen. Die Entscheidungsmatrix von TeleTrusT ist ausdrücklich anpassbar; Gewichtungen und Ausschlusskriterien sind keine allgemeingültigen Beschaffungsregeln.[1]
Lassen Sie Berechtigungen, Datenschutz, Unterbeauftragung und Vertragsbedingungen bei Bedarf fachkundig rechtlich prüfen. Dieser Beitrag bietet Beschaffungsorientierung, keine Rechtsberatung. Eine nachvollziehbare Entscheidung beschreibt, warum der Anbieter die konkrete Fragestellung bearbeiten kann und welche Grenzen Sie bewusst akzeptieren.
Bewaffnet mit dem neuen TeleTrust-Leitfaden fällt Ihnen die Auswahl des passenden Pentest-Dienstleisters hoffentlich leichter. Pentests sind Vertrausenssache, eine Kunst und technisch hoch komplex. Wir wünschen Ihnen dabei viel Erfolg!
Und wenn Sie wissen möchten, wie Exploit Labs den TeleTrust-Leitfaden für Pentests umsetzt, freuen wir uns auf Ihre Kontaktaufnahme!.
[1] TeleTrusT Handreichung Penetrationstests 2026 Seiten 15–18, Abschnitte 4.1–4.3; Seiten 18–24, Abschnitt 4.4; Seiten 25–26, Abschnitt 4.5.1; Seiten 27–28, Abschnitt 5.1. Auswahlbeispiel und Nachweiskategorien stammen von XPLT.