Was in einem signierten Security-Report steckt

Kontinuierliches Testen wird erst wertvoll, wenn es in etwas endet, das man weitergeben kann. Jedes Rheono-Engagement endet in einem signierten, datierten Report — dem Sicherheitssnapshot — geschrieben für den Auditor, der ihn liest, nicht für das Tool, das ihn produziert. Das vollständige öffentliche Beispiel liegt unter /sample-report, mit fiktiven Daten; das ist der Zweck jeder Abschrift.

Scope, schriftlich, zuerst

Der Report beginnt mit dem vereinbarten Scope: welche Hosts und Endpunkte abgedeckt sind, welche Techniken zum Einsatz kamen (external, non-mutating, Auth-Tests mit bereitgestellten Testkonten), das Testfenster und was explizit ausgenommen ist. Wenn es in der Scope-Zeile nicht steht, wurde es nicht getestet — und der Report sagt das.

Findings, die eine Prüfung überstehen

Jedes Finding trägt die vollständige Evidence-Chain: CVSS-3.1-Score mit Vektor, CWE-Klassifizierung, die ISO-27001- und NIS2-Kontrollen, auf die es gemappt ist, ein reproduzierbares Proof of Concept und eine konkrete Remediation. Im Beispiel trägt das kritische IDOR — sequentielle Bestell-IDs, die die Historie anderer Kunden öffnen — 9,1 mit Vektor, CWE-639 und der exakten Kontrollzuordnung direkt daneben.

Die Schleife ist der Punkt

Einmal-Reports werden alt, sobald sie signiert sind. Das Beispiel zeigt den Unterschied der stehenden Jagd: Das kritische IDOR wurde am 24.08. gefunden, am 25.08. in Release 2026.08.2 behoben, am 26.08. regetestet und als geschlossen verifiziert — während das hohe SQL-Injection offen in den nächsten Zyklus bleibt, weil das der ehrliche Stand ist. Die nächste intensive Jagd startet, wenn der Kunde ein Release freigibt, und priorisiert die Module, die sich geändert haben.

Signiert, auf Englisch oder Deutsch

Ein benannter Signatar signiert jeden Report — Compliance-Frameworks wollen eine Person, keine Pipeline. Reports erscheinen auf Englisch oder Deutsch, alles schriftlich: Preis, Scope und No-Gos. Kein Finding landet im Report, das nicht durch einen deterministischen Check und eine adversariale Review validiert wurde; unbelegte Findings werden nie versendet.

Wenn Sie die Form vor dem Kauf sehen wollen: Der Beispiel-Report ist öffentlich — mit erfundenen Findings und der echten Struktur.