Pentest anbieten: Prüfauftrag und Ergebnis vor dem Angebot abgrenzen

Ein Interessent möchte einen Pentest und bittet dich um ein Angebot. Für dein IT-Sicherheitsunternehmen beginnt damit eine konkrete Leistungsentscheidung: Welche Anwendung soll unter welchen vereinbarten Bedingungen geprüft werden, und welche Entscheidung soll der Kunde anschließend treffen können? Ein gut beschriebenes Prüfprojekt verbindet das gewünschte Ergebnis mit einem nachvollziehbaren Umfang. Damit kann der Auftraggeber Angebote sachlich vergleichen, und dein Fachteam erhält eine belastbare Grundlage für seine Planung.

Dieser Beitrag richtet sich an Anbieter, die solche Projekte tatsächlich durchführen oder fachlich verantwortlich anbieten. Er behandelt die Angebotsabgrenzung, keine Testdurchführung. Der durchgehende Fall ist ausdrücklich fiktiv: Ein Softwareunternehmen möchte sein Kundenportal vor einer größeren Erweiterung untersuchen lassen. Es nennt eine Webanwendung, mehrere Benutzerrollen und einen externen Hostingpartner. Dein Angebot soll zeigen, welche Prüfaufgabe daraus entsteht und welche Klärungen vor einem möglichen Start erforderlich sind.

Die Entscheidung nach dem Test beschreiben

Frage zuerst, wofür das Unternehmen die Ergebnisse verwenden möchte. Im Beispiel will die Produktverantwortliche entscheiden, welche festgestellten Probleme vor der geplanten Erweiterung bearbeitet werden sollen. Das unterscheidet sich von einem Auftrag, der ausschließlich einen vorhandenen Einzelbefund nachprüfen soll. Die gewünschte Entscheidung gibt deinem Angebot einen verständlichen Zweck und hilft, die passenden Empfänger des Ergebnisses zu bestimmen.

Halte diesen Zweck in einem kurzen Absatz fest. Beschreibe dabei, welche Grundlage dein Team liefern kann. Ein Untersuchungsbericht mit nachvollziehbaren Befunden und einer Ergebnisbesprechung kann eine solche Grundlage sein, sofern du diese Leistungen anbietest. Eine Freigabe der gesamten Unternehmens-IT folgt daraus nicht. Der Kunde gewinnt vielmehr eine klar eingegrenzte Information für seine eigene weitere Entscheidung.

Das Prüfobjekt als benennbare Einheit abgrenzen

„Unser Portal“ ist für eine erste Unterhaltung verständlich. Für ein Angebot brauchst du eine genauere Zuordnung. Bitte den Kunden, die vorgesehene Anwendung und ihren Verantwortlichen zu benennen. Kläre gemeinsam, ob das öffentliche Portal, ein Verwaltungsbereich und eine angebundene Schnittstelle zum selben Auftrag gehören sollen. Entscheidend ist, dass beide Seiten dieselbe Vorstellung vom untersuchten Bereich entwickeln und offene Zuordnungen erkennen.

Im fiktiven Fall betreibt ein anderer Partner die Abrechnungsschnittstelle. Dein Team nimmt sie deshalb zunächst als gesondert zu klärenden Bestandteil auf. Eine technische Verbindung allein beschreibt noch keinen vereinbarten Prüfauftrag für diesen Dienst. Das Angebot kann einen bestätigten Kernumfang ausweisen und daneben erläutern, welche zusätzliche Abstimmung eine Erweiterung voraussetzt. So kann der Kunde den gewünschten Projektzuschnitt bewusst wählen.

Benutzerrollen mit dem Geschäftsvorgang verbinden

Die Zahl der Benutzerkonten erklärt noch nicht, welche unterschiedlichen Aufgaben geprüft werden sollen. Lass dir stattdessen die vorgesehenen Rollen und ihre geschäftlichen Aufgaben erläutern. Im Beispiel gibt es einen Kundenbereich und eine interne Bearbeitung. Der Anbieter möchte verstehen, welche Abläufe der Auftraggeber in den vereinbarten Umfang aufnehmen möchte. Die fachliche Auswahl und genaue Prüftiefe gehören anschließend in die qualifizierte Projektplanung.

Für die Angebotsbeschreibung kannst du Rollen und betroffene Arbeitsabläufe in verständlichen Sätzen zusammenführen. Vermeide dabei echte Kontonamen oder vertrauliche Kundendaten im Verkaufsdokument. Eine abstrakte Bezeichnung genügt zunächst. Wenn später besondere Testkonten oder weitere Informationen gebraucht werden, vereinbart dein Fachteam deren Bereitstellung im dafür vorgesehenen Projektprozess. Der Vertrieb muss dafür keine Zugangsdaten einsammeln.

Informationsstand und Arbeitsannahmen sichtbar machen

Der Kunde kann eine Anwendungsbeschreibung besitzen, ohne dass diese den geplanten Erweiterungsstand bereits abbildet. Frage deshalb nach dem Datum und dem Geltungsbereich der verfügbaren Unterlagen. Halte fest, welche Informationen dein Angebot zugrunde legt und welche Fragen offenbleiben. Diese Zuordnung erleichtert dem Auftraggeber die Rückmeldung und deinem Team die Einschätzung, ob Vorbereitung und geplanter Untersuchungsumfang zusammenpassen.

Im Beispiel beschreibt die vorhandene Übersicht die heutige Anwendung. Eine neue Rolle entsteht erst mit der Erweiterung. Du kannst deshalb zwei unterschiedliche Entscheidungen darstellen: den aktuellen Stand untersuchen oder nach einer weiteren Klärung auch den vorgesehenen neuen Bereich einbeziehen. Welche Variante geeignet ist, beurteilt dein Fachteam am tatsächlichen Projekt. Dein Angebot macht die Abhängigkeit nachvollziehbar, ohne einen unbekannten Entwicklungsstand als bereits prüfbereit auszugeben.

Schriftlichen Auftrag und Beteiligte vorsehen

Der vom BSI veröffentlichte Pentest-Leitfaden behandelt einen schriftlichen Auftrag sowie die Festlegung von Prüfobjekt, Zeitraum und Tiefe als organisatorische Grundlagen. Für deinen Vertrieb folgt daraus eine praktische Aufgabe: Benenne, wer die beauftragende Organisation vertritt und welche weiteren Betreiber oder Partner beteiligt sind. Die konkrete Berechtigung und alle erforderlichen Abstimmungen werden projektbezogen geklärt; ein Verkaufsgespräch ersetzt diese Prüfung nicht.

Im fiktiven Fall braucht der Hostingpartner eine eigene Abstimmung. Führe dafür einen Verantwortlichen und den noch ausstehenden Klärungsschritt auf. Bestätigte Vereinbarungen und ausstehende Rückmeldungen sollten unterscheidbar bleiben. Ein Kunde kann dann erkennen, weshalb ein gewünschter Starttermin noch von einer konkreten Mitwirkung abhängt. Dein Team erhält gleichzeitig eine klare Grundlage dafür, welche Voraussetzungen vor der Durchführung tatsächlich bestätigt sein müssen.

Projektzeit und Betriebsabläufe zusammenführen

Eine Kalenderwoche allein beschreibt die Zusammenarbeit nur teilweise. Frage, welche geschäftlichen Abläufe der Kunde bei der Planung berücksichtigen möchte und wann die betreuenden Personen erreichbar sind. Im Beispiel fällt die Monatsabrechnung in den zunächst gewünschten Zeitraum. Die Produktverantwortliche und die Betriebsverantwortlichen können gemeinsam ein passenderes Fenster abstimmen. Deine Angebotsplanung gewinnt dadurch einen konkreten betrieblichen Bezug.

Lege außerdem einen vereinbarten Kommunikationsweg für den Projektverlauf zugrunde. Wer ist beim Kunden erreichbar, wer übernimmt die Rückmeldung deines Teams, und wie werden unerwartete Auswirkungen oder ein Unterbrechungswunsch behandelt? Die konkrete Gestaltung gehört in die fachliche Vorbereitung. Für das Angebot ist wichtig, dass diese Zusammenarbeit als eigene Aufgabe erkennbar wird und mit dem tatsächlich angebotenen Leistungsumfang übereinstimmt.

Ergebnisformate an ihre Empfänger anpassen

Die Produktverantwortliche braucht eine verständliche Grundlage für ihre Planung. Das Entwicklungsteam benötigt ausreichend konkrete Informationen, um festgestellte Probleme einordnen und bearbeiten zu können. Frage deshalb nach beiden Empfängerkreisen. Dein Angebot kann eine Managementzusammenfassung, fachliche Befunddarstellung und gemeinsame Ergebnisbesprechung getrennt benennen, wenn sie zu deiner Leistung gehören. Der Kunde erkennt dadurch, welche Verwendung der Bericht im eigenen Unternehmen ermöglicht.

Beschreibe auch den vereinbarten Umgang mit dem Bericht. Er kann sensible Informationen über die untersuchte Anwendung enthalten. Empfängerkreis, Übergabe und weitere Behandlung werden deshalb passend zum Projekt abgestimmt. Die Angebotsphase kann die zuständigen Personen und den noch zu vereinbarenden Weg nennen. Sie braucht dafür keine detaillierten Befunde, die zu diesem Zeitpunkt ohnehin noch gar nicht vorliegen.

Feststellungen und Grenzen gemeinsam erklären

Eine sinnvolle Ergebnisbeschreibung nennt den untersuchten Bereich, den betrachteten Stand und die tatsächlich vereinbarten Bedingungen. Das hilft dem Kunden später, die Aussagekraft des Berichts zu verstehen. Eine nicht untersuchte Schnittstelle bleibt dabei ausdrücklich außerhalb der Feststellungen. Der BSI-Leitfaden weist auf die zeitlichen und sachlichen Grenzen solcher Tests hin. Dein Leistungsversprechen sollte diese Einordnung respektieren und den konkreten Nutzen des vereinbarten Projekts zeigen.

Für das Beispiel bedeutet das: Der Bericht unterstützt die Priorisierung am beschriebenen Kundenportal unter den dokumentierten Prüfbedingungen. Er enthält kein pauschales Versprechen, sämtliche Schwachstellen zu finden oder künftige Vorfälle auszuschließen. Wenn die Anwendung danach geändert wird, muss die Bedeutung dieser Änderung gesondert beurteilt werden. Das ist eine fachliche Anschlussfrage und kein automatisch mitverkauftes Ergebnis des ursprünglichen Auftrags.

Umgang mit Befunden und anschließender Arbeit klären

Frage den Interessenten, wer die Ergebnisse intern entgegennimmt und die weitere Bearbeitung organisiert. Im Beispiel führt die Produktverantwortliche die Planung mit dem Entwicklungsteam zusammen. Dein Angebot kann eine Besprechung der vereinbarten Ergebnisse enthalten. Eine anschließende Umsetzung oder erneute Prüfung wird mit eigenem Umfang beschrieben, wenn der Kunde sie benötigt und dein Unternehmen sie anbietet. So bleibt die erste Leistung für sich verständlich.

Gerade bei einer gewünschten Nachprüfung lohnt die genaue Frage: Welcher Befund und welcher geänderte Stand sollen später betrachtet werden? Eine Wiederholung des gesamten Projekts ist eine andere Leistung als eine gezielte vereinbarte Nachprüfung. Du kannst diese Möglichkeit im Gespräch erklären, ohne schon einen unbekannten Folgeumfang zu bepreisen. Der Auftraggeber bekommt eine klare Entscheidungsstelle für die nächste Phase.

Die Angebotsbesprechung am konkreten Umfang führen

Gehe mit dem Kunden den fiktiven Projektzuschnitt in einer festen Reihenfolge durch: Zweck, Anwendung, Rollen, beteiligte Partner, bereitgestellte Informationen, Zeitraum und Ergebnis. Lass offene Punkte jeweils von der Person bestätigen, die dazu tatsächlich Auskunft geben kann. Wenn ein zweiter Anbieter zusätzlich den Verwaltungsbereich betrachtet, ist der Preisvergleich erst nach einer sachlichen Klärung der unterschiedlichen Umfänge hilfreich.

Erkläre deinen Aufwand anhand der vereinbarten Arbeit. Vorbereitung, fachliche Untersuchung und Ergebnisaufbereitung erfüllen unterschiedliche Aufgaben im Projekt. Verwende dafür deine tatsächliche Kalkulation und keine allgemeine Pauschale aus einem fremden Beispiel. Ändert der Kunde den gewünschten Umfang, zeigst du, welche Leistungsposition betroffen ist. Damit bleibt auch bei einer Anpassung nachvollziehbar, welches Ergebnis er für seine Beauftragung erhält.

Eine offene Frage gezielt zur Entscheidung bringen

Zum Schluss braucht das Angebot einen konkreten Anschluss. Im Beispiel fehlt noch die Rückmeldung des Hostingpartners zum vorgesehenen Untersuchungsbereich. Halte fest, wer sie einholt und welche Entscheidung danach möglich wird. Ein gezieltes Nachfassen kann dann genau diesen Punkt aufgreifen. Der Kunde muss weder seine gesamte Ausgangslage wiederholen noch zwischen mehreren unklaren nächsten Schritten wählen.

Diese Arbeitsweise lässt sich innerhalb deines tatsächlichen Angebots auf weitere Anwendungsprojekte übertragen. Entscheidend bleibt die Verbindung von einer geschäftlichen Frage, einem eindeutig beschriebenen Prüfobjekt und einem nutzbaren Ergebnis. Du kannst damit fachliche Kompetenz im Verkauf sichtbar machen und zugleich eine Zusammenarbeit vorbereiten, deren Umfang alle Beteiligten verstehen. Die technische Durchführung und ihre projektbezogenen Sicherheitsvorkehrungen verantworten die dafür qualifizierten Fachkräfte.

Einen erweiterten Wunsch sauber einordnen

Im Angebotsgespräch ergänzt der Kunde, dass auch das interne Verwaltungswerkzeug interessant sei. Frage zunächst, ob es dieselbe Anwendung oder ein eigenständig betreutes System ist. Benenne anschließend, welche zusätzliche Beschreibung und welche Beteiligung dein Fachteam für eine Bewertung braucht. Der Kunde kann dann entscheiden, ob er die Erweiterung jetzt klären oder den bereits beschriebenen Kernauftrag weiterverfolgen möchte. Diese Wahl bleibt auch dann nachvollziehbar, wenn noch keine verlässliche Aufwandsschätzung für das zusätzliche Werkzeug möglich ist.

Dokumentiere die Entscheidung zusammen mit dem Angebotsstand. Ein späterer Leser sollte erkennen können, welcher Wunsch bereits Bestandteil wurde und welcher lediglich besprochen ist. So behalten Produktverantwortliche, Einkauf und dein Projektteam dieselbe Grundlage. Eine neue Information verändert genau den betroffenen Teil der Vereinbarung, statt stillschweigend das gesamte Projektversprechen auszudehnen.

Neue Unternehmensanfragen für dein IT-Sicherheitsangebot

webRichtung liefert IT-Sicherheitsanfragen mit Anliegen, Systemumgebung, aktuellem Stand sowie Unternehmensort und Kontakt in Deutschland. Einen konkreten Pentest-Umfang klärst du anschließend persönlich; Prüfberichte, Systeminventare und Zugangsdaten werden über die Anfrage nicht erhoben. Registriere deinen Betrieb auf der Branchenseite für IT-Sicherheits-Leads. In webRichtung Customer siehst du den aktuellen Preis vor der verbindlichen Beauftragung.

Quellen

BSI: Leitfaden für die Durchführung von IS-Penetrationstests, Stand November 2016, Abschnitte 1.4.2, 2.3 und 4.1.3. Am 18.10.2026 gelesen; organisatorische Einordnung, keine aktuelle technische Prüfanleitung oder Rechtsberatung.