---
title: "Pentest-Bericht: Was Sie erhalten | Mr Cyber"
url: https://mr-cyber.com/de/beispielbericht
language: de-DE
description: "Sehen Sie, was Sie von einem Pentest-Bericht von Mr Cyber erwarten können: Management-Summary, Befunde mit CVSS 3.1, Reproduktion, Empfehlungen und Retest."
---
# Bericht
Ein guter Bericht beantwortet zwei Fragen: Wie groß ist das Risiko – und was genau ist zu tun? So ist ein Bericht von Mr Cyber aufgebaut.
## Inhalt des Berichts
1. ### Management-Summary
Risikolage auf einer Seite, für Geschäftsleitung und Auditoren.
2. ### Scope & Methodik
Ziele, Zeitraum, Testart und Standards – nachvollziehbar dokumentiert.
3. ### Befundübersicht
Alle Befunde nach Risiko priorisiert, mit Status.
4. ### Detailbefunde
Beschreibung, Reproduktion, Nachweis, Auswirkung, Empfehlung, CVSS 3.1.
5. ### Maßnahmenplan
Was zuerst zu beheben ist – mit Aufwandsschätzung.
6. ### Retest-Bestätigung
Nachweis der behobenen Befunde für Ihren Auditor.
7. ### Ticket-Importdatei
Alle Befunde als CSV, JSON und E-Mail für Jira, ServiceNow, GitLab, Azure DevOps und GitHub. Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 erhalten sie per E-Mail-Import.
8. ### Prüfbescheinigung
Eine Seite für Auditoren, Kunden und Versicherer, ohne den vertraulichen Bericht.
## Ein einzelner Befund
Pentest-Bericht · Admin & Söhne GmbH · MC-2026-014
Risiko: Hoch CVSS 3.1 · 8.2 Offen · Retest inklusive
### Admin-Bereich ohne Anmeldung erreichbar
app.admin-soehne.example · /admin
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
#### Beschreibung
Der Administrationsbereich unter /admin öffnet sich, ohne nach einem Passwort zu fragen. Wer die Adresse eintippt, sieht die komplette Kundenliste mit Namen, Adressen und Bestellhistorie und kann einige Einstellungen ändern, etwa den Hinweistext im Shop.
#### Reproduktion
1. Ein privates Browserfenster öffnen, ohne sich anzumelden.
2. https://app.admin-soehne.example/admin aufrufen.
3. Das Admin-Dashboard lädt und zeigt alle Kunden samt Bearbeiten-Schaltflächen.
```
GET /admin HTTP/2
Host: app.admin-soehne.example
HTTP/2 200
Admin Dashboard …
```
#### Geschäftliche Auswirkung
Jeder im Internet kann sämtliche Kundendaten lesen, ohne Konto und ohne besondere Kenntnisse. Das ist eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss, plus ein Schreiben an jeden Kunden. Suchmaschinen oder automatisierte Scanner finden solche Seiten oft innerhalb weniger Tage.
#### Empfehlung
Den gesamten /admin-Bereich serverseitig mit einer verpflichtenden Anmeldung schützen und für Admins eine Zwei-Faktor-Authentifizierung vorschreiben. Noch besser: den Admin-Bereich nur aus dem Firmennetz oder per VPN erreichbar machen. Ein automatisierter Test prüft, dass jede Admin-Seite ohne Anmeldung den Zugriff verweigert.
OWASP Top 10 2021: A01 Broken Access Control · CWE-306 (Missing Authentication for Critical Function)
Admin & Söhne GmbH und admin-soehne.example sind erfunden.
## Behoben, dann geprüft. Im Retest, nicht auf Zuruf.
Nach Ihrer Behebung testen wir denselben Befund erneut, auf dieselbe Weise. Der Bericht zeigt dann jeden Befund als behoben und bestätigt, mit Datum und Prüfweg.
Retest-Bestätigung · Admin & Söhne GmbH · MC-2026-014
Behoben · im Retest bestätigtVorher: Risiko Hoch · CVSS 8.2
### Admin-Bereich ohne Anmeldung erreichbar
```
GET /admin HTTP/2
Host: app.admin-soehne.example
HTTP/2 302
Location: /login
```
Retest
Nach der Behebung, mit derselben Methode wie im Test
Prüfweg
/admin leitet jetzt zur Anmeldung um. Getestet ohne Sitzung, mit einem normalen Kundenkonto und mit einer abgelaufenen Sitzung.
Ergebnis
In allen drei Fällen kein Zugriff. Befund geschlossen.
## Prüfbescheinigung. Nachweis ohne Bericht.
Eine Seite für Auditoren, Kunden und Versicherer: wer was wann getestet hat, Scope, Standards und dass die Befunde behoben und im Retest bestätigt sind. Der vertrauliche Bericht bleibt bei Ihnen; die Bescheinigung bestätigt unseren Test und ist keine Zertifizierung.
Mr Cyber
### Prüfbescheinigung
Auftraggeber
Admin & Söhne GmbH
Prüfer
Mr Cyber
Testart
Manueller Penetrationstest einer Webanwendung
Scope
app.admin-soehne.example, inklusive /admin
Ablauf
Test · Retest nach der Behebung
Standards
OWASP WSTG · OWASP Top 10 2021 · CVSS 3.1
Ergebnis
11 Befunde (1 Kritisch, 2 Hoch, 5 Mittel, 3 Niedrig), alle behoben und im Retest bestätigt. Keine offenen Befunde im Scope.
Bestätigt den oben beschriebenen Test. Keine Zertifizierung.
## Aus Befunden werden Tickets. Importiert statt abgetippt.
Zu jedem Bericht gehört eine Importdatei für Jira, ServiceNow, GitLab, Azure DevOps und GitHub. Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 erhalten die Tickets per E-Mail-Import. Ein Befund wird ein Ticket, mit Titel, Schweregrad und Priorität, betroffenes System, Beschreibung, Reproduktion, Empfehlung und Referenzen. 30 Befunde = 30 Tickets, die niemand abtippen muss.
Kundenportal mit Triage, Status pro Befund und Ticket-Erstellung per KlickIn Entwicklung
ProjekteIT Security Operations IT-SECOPS-142
\[MC-2026-014\] Admin-Bereich ohne Anmeldung erreichbar
Zu erledigen
Details
Bearbeiter
Nicht zugewiesen
Melder
Mr Cyber
Priorität
Hoch
Stichwörter
- pentest
- security
- severity-high
- web
Sprint
Keine
Vorgangstyp
Bug
Beschreibung
**Befund:** MC-2026-014
**Schweregrad:** Hoch
CVSS 8.2 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N)
Betroffenes System
- app.admin-soehne.example · /admin
Beschreibung
Der Administrationsbereich unter /admin öffnet sich, ohne nach einem Passwort zu fragen. Wer die Adresse eintippt, sieht die komplette Kundenliste mit Namen, Adressen und Bestellhistorie und kann einige Einstellungen ändern, etwa den Hinweistext im Shop.
Reproduktion
1. Ein privates Browserfenster öffnen, ohne sich anzumelden.
2. https://app.admin-soehne.example/admin aufrufen.
3. Das Admin-Dashboard lädt und zeigt alle Kunden samt Bearbeiten-Schaltflächen.
GET /admin HTTP/2
Host: app.admin-soehne.example
HTTP/2 200
Admin Dashboard …
Auswirkung
Jeder im Internet kann sämtliche Kundendaten lesen, ohne Konto und ohne besondere Kenntnisse. Das ist eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss, plus ein Schreiben an jeden Kunden. Suchmaschinen oder automatisierte Scanner finden solche Seiten oft innerhalb weniger Tage.
Empfehlung
Den gesamten /admin-Bereich serverseitig mit einer verpflichtenden Anmeldung schützen und für Admins eine Zwei-Faktor-Authentifizierung vorschreiben. Noch besser: den Admin-Bereich nur aus dem Firmennetz oder per VPN erreichbar machen. Ein automatisierter Test prüft, dass jede Admin-Seite ohne Anmeldung den Zugriff verweigert.
Referenzen
- OWASP Top 10 2021: A01 Broken Access Control
- CWE-306 (Missing Authentication for Critical Function)
So sieht der Befund nach dem Import in Jira aus (nachgebaute Ansicht).