Ich führe Schwachstellenbewertungen und Penetrationstests deines Systems durch

Nein. Ich verwende kontrollierte, nicht-destruktive Testmethoden und stimme vorher immer einen Testzeitraum und die Regeln für die Zusammenarbeit ab. Für alles, was potenziell riskant ist (z.B. DoS-Tests), frage ich vorher explizit um Erlaubnis oder schließe es ganz vom Scope aus.

Staging- oder Testumgebungen sind deutlich bevorzugt, um kein Risiko für Live-Nutzer oder Daten einzugehen. Falls nur die Produktion verfügbar ist, ergreife ich zusätzliche Vorsichtsmaßnahmen und erkläre dir die Risiken vor Beginn deutlich.

Nur deine Ziel-URL(en) oder IP-Bereich, eine schriftliche Genehmigung, die bestätigt, dass du das System besitzt oder die Erlaubnis hast, es zu testen, sowie alle relevanten Kontexte (Technologie-Stack, Login-Daten für authentifizierte Tests, spezielle Bereiche, die besorgt sind).

Nur wenn du authentifizierte Tests möchtest (also das, was ein eingelogter Nutzer zugreifen oder ausnutzen kann) — das ist sehr zu empfehlen, da viele echte Schwachstellen erst nach dem Login sichtbar werden. Unauthentifizierte Tests sind auch möglich, decken aber weniger ab.

Ein detaillierter Bericht mit einer Zusammenfassung für Entscheider (für nicht-technische Stakeholder), technischen Erkenntnissen mit CVSS-Schweregrad, Beweisführung für jede Schwachstelle und klaren Schritten zur Behebung.

Absolut. Ich bin gerne bereit, vor Beginn der Arbeit eine NDA zu unterschreiben, und alle Testdaten und Beweise werden sicher behandelt und nach deiner Anfrage nach Abschluss gelöscht oder zurückgegeben.

Kein ethischer Tester kann das versprechen — Sicherheit ist ein fortlaufender Prozess, kein einmaliger Fix. Was ich garantiere, ist eine gründliche, ehrliche Einschätzung deines aktuellen Risikos und klare Anweisungen, um es deutlich zu reduzieren.

Ja, solange du das System besitzt oder eine ausdrückliche schriftliche Erlaubnis hast, es zu testen. Ich benötige diese Bestätigung, bevor die Zusammenarbeit beginnt — das schützt uns beide.