Retest einfach erklärt
Kennen Sie das von der Hauptuntersuchung beim Auto? Fallen die Bremsen durch, lassen Sie sie reparieren und fahren zur Nachprüfung. Der Prüfer schaut sich dann gezielt die Bremsen an – nicht noch einmal das ganze Fahrzeug. Erst danach gibt es die Plakette. Ein Retest funktioniert genauso: Er konzentriert sich auf die Befunde aus dem Pentest-Bericht und prüft, ob die Reparatur gelungen ist. Statt Retest sagt man manchmal auch Nachtest oder Nachprüfung.
Warum ist das nötig? Weil gut gemeinte Korrekturen oft unvollständig sind. Ein Eingabefeld wird abgesichert, ein anderes mit demselben Fehler bleibt offen. Ein Update landet auf einem Server, aber nicht auf dem zweiten. Ein Filter blockiert genau das Beispiel aus dem Bericht, lässt aber leicht abgewandelte Angriffe durch. Solche Lücken sieht nur, wer noch einmal mit den Augen eines Angreifers hinschaut.
So läuft ein Retest ab
- Schwachstellen beheben: Ihr Team oder Ihr IT-Dienstleister setzt die Empfehlungen aus dem Bericht um – am besten nach Dringlichkeit, kritische Befunde zuerst.
- Änderungen mitteilen: Sie informieren das Prüfteam, welche Befunde behoben sind und was genau geändert wurde.
- Gezielt nachprüfen: Das Prüfteam wiederholt die ursprünglichen Angriffe und probiert Varianten aus. So zeigt sich, ob die Ursache beseitigt wurde oder nur ein Symptom.
- Ergebnis dokumentieren: Jeder Befund erhält einen neuen Status, etwa „behoben“, „teilweise behoben“ oder „weiterhin offen“.
- Nachweis nutzen: Mit dem dokumentierten Ergebnis belegen Sie gegenüber Auditoren, Kunden oder Partnern, dass die Lücken geschlossen sind.
Wichtig ist die Abgrenzung: Ein Retest ist kein neuer Penetrationstest. Er prüft die bekannten Befunde innerhalb des ursprünglichen Prüfumfangs, des sogenannten Scopes. Wer inzwischen neue Funktionen eingeführt oder seine Umgebung stark umgebaut hat, braucht dafür einen eigenen Test.
Ein Beispiel aus der Praxis
Ein erfundenes Szenario: Ein Softwareanbieter lässt sein Kundenportal testen. Der Bericht nennt unter anderem eine Lücke, über die angemeldete Nutzende fremde Datensätze abrufen können. Das Entwicklungsteam korrigiert den Fehler genau an der Stelle, die im Bericht als Beispiel aufgeführt ist, und meldet den Befund als behoben.
Im Retest zeigt sich jedoch: Dieselbe fehlende Berechtigungsprüfung steckt auch in weiteren Funktionen, denn die Ursache liegt in einer gemeinsam genutzten Komponente. Der Befund erhält den Status „teilweise behoben“, und das Team setzt die Korrektur nun zentral um. Ohne Retest hätte der Anbieter die Lücke für geschlossen gehalten – und einem Großkunden, der einen Nachweis verlangt hatte, einen falschen Stand gemeldet.
Warum ist das für Unternehmen wichtig?
Erst der Retest macht aus einer Annahme eine Gewissheit. Er bestätigt, dass Ihre Maßnahmen tatsächlich wirken, und schützt vor trügerischer Sicherheit.
Außerdem ist er oft Voraussetzung für einen sauberen Nachweis. Der Kartenzahlungsstandard PCI DSS 4.0.1 verlangt zum Beispiel ausdrücklich, dass bei Penetrationstests gefundene ausnutzbare Schwachstellen behoben und die Korrekturen durch erneutes Testen bestätigt werden. Die DSGVO nennt in Art. 32 ausdrücklich ein Verfahren, mit dem die Wirksamkeit von Sicherheitsmaßnahmen regelmäßig überprüft wird. Und auch Auditoren und Kunden fragen häufig nach einem bereinigten Stand.
Worauf Sie achten sollten
- Vorab klären: Fragen Sie schon bei der Beauftragung, ob ein Retest enthalten ist und was er umfasst.
- Zeitnah beheben: Je schneller Sie handeln, desto kürzer bleiben die Lücken offen – und desto weniger verändert sich die Umgebung bis zur Nachprüfung.
- Ursachen statt Symptome: Beheben Sie den Fehler an der Wurzel, nicht nur am Beispiel aus dem Bericht.
- Änderungen dokumentieren: Eine kurze Beschreibung je Befund erleichtert die gezielte Nachprüfung.
- Prioritäten setzen: Kritische und hohe Befunde zuerst. Bei fehlenden Updates hilft ein geregeltes Patch-Management.
- Neuen Test einplanen: Nach größeren Umbauten reicht ein Retest nicht aus.
Wie Rootsektor unterstützt
Bei Penetrationstests und Sicherheitsanalysen von Rootsektor ist der Retest der behobenen Schwachstellen kostenlos. Wir prüfen Ihre Korrekturen gezielt nach, und mit der Prüfbescheinigung belegen Sie den Test gegenüber Kunden, Partnern, Versicherern und Auditoren. Ihren Prüfumfang beschreiben Sie im Pentest-Angebot; nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot.