Bei einem Penetrationstest fließen Informationen, die in falschen Händen einen Angriff erheblich erleichtern würden: Netzpläne und IP-Bereiche, Testzugänge, Details zu Firewalls und Sicherheitslösungen – und am Ende ein Bericht, der Schwachstellen samt Ausnutzungsweg beschreibt. Eine Vertraulichkeitsvereinbarung – auch Geheimhaltungsvereinbarung oder kurz NDA genannt – legt verbindlich fest, dass diese Informationen nur für den vereinbarten Zweck genutzt, sorgfältig geschützt und nach Abschluss zurückgegeben oder gelöscht werden.
Die NDA schafft außerdem Klarheit, bevor die eigentliche Arbeit beginnt. Im Scoping-Gespräch lässt sich offener über Systeme, bekannte Schwachstellen und frühere Vorfälle sprechen, wenn die Vertraulichkeit geregelt ist. Zudem kann eine NDA zu den angemessenen Geheimhaltungsmaßnahmen gehören, die das Geschäftsgeheimnisgesetz (GeschGehG) für den rechtlichen Schutz von Geschäftsgeheimnissen voraussetzt.
Unsere Vorlage ist auf Sicherheitsleistungen zugeschnitten: Sie nennt Befunde, Exploit-Details, Zugangsdaten und Architekturinformationen ausdrücklich als vertraulich, ordnet Prüfergebnisse dem geprüften Unternehmen zu und regelt die Löschung überlassener Zugänge. So dürfen Sie Berichte und Prüfbescheinigungen ohne Weiteres Ihren Auditoren, Versicherern und Geschäftspartnern vorlegen.
Für Berufsgeheimnisträger wie Kanzleien, Steuerberatungen, Wirtschaftsprüfungsgesellschaften und Arztpraxen bietet der Generator eine optionale Zusatzklausel: Sie verpflichtet die Partei, die bei der Prüfung Einblick in Berufsgeheimnisse erhalten kann, als mitwirkende Person zur Verschwiegenheit, beschränkt ihre Kenntnisnahme auf das Erforderliche und belehrt sie über die Strafbarkeit nach § 203 StGB.