Der teuerste Pentest ist der mit unklarem Scope. Vor dem aktiven Test lohnt Outside-in-Klarheit: Welche Domains und Dienste sind sichtbar? Was ist No-Go? Was soll der Test beweisen? CASP und saubere RoE-Vorbereitung reduzieren Blindflug und Nachverhandlungen.
Ein Release in 6 Wochen braucht Evidenz. Wir klären: Ziel „Regressions-Sicherheit Login+API“, No-Gos (Prod-Payment), Wartungsfenster, Kontakte, Abbruchkriterien. Optional CASP auf Staging-Domain, weil Schatten-Endpunkte unklar waren. RoE unterschrieben, dann erst aktiver Test. Ohne diese Prep wäre der erste Tag nur Scope-Streit gewesen. Die Zahlen und Namen sind anonymisiert; der Ablauf entspricht typischen Projekten. Entscheidungskriterien bleiben explizit. Es gelten keine Ranking- oder Lead-Garantien.
Gute Pentests scheitern selten an Tooling, sondern an Prep. Wir erzwingen Freigabe und RoE — das ist Kundenschutz, nicht Bürokratie. Das ist Absicht und Teil der Positionierung.
Job dieser Seite: Nur Vorbereitung und RoE vor dem Aktiv-Test. CASP ist optional, nicht erzwungen; kein Ersatz für vs-Pentest-Erklärung.
Was vor dem ersten aktiven Schritt schriftlich stehen sollte:
Was beweist der Test — und was nicht?
Hosts, Apps, APIs, Accounts — IDs und Umgebungen.
Zahlung, Prod-Daten, Partner-Systeme …
Wann darf getestet werden, wie aggressiv?
24/7 oder Business Hours, Abbruchpfad.
PoC-Format, Vertraulichkeit, Retest-Option.
Ohne Outside-in-Bild und ohne schriftliche Freigabegrenzen entstehen Scope-Creep, Produktionsrisiken und Findings, die niemand dem Ziel zuordnen kann. Danach wirkt der Pentest „teuer und unklar“ — obwohl die Vorbereitung gefehlt hat.
Security, IT und Einkauf, die einen autorisierten Pentest planen und Scope, Ziele und Nachweiszweck noch schärfen müssen.
Der teuerste Pentest ist der mit unklarem Scope. Wir helfen, Zweck, No-Gos und optional Outside-in zu schärfen — und starten keinen Blind-Test in Produktion ohne Freigabe und RoE.
Was soll der Test beweisen? Compliance-Evidenz, Release-Gate, oder gezielte Validierung?
Fenster, Kontakte, Stop-Kriterien und erlaubte Aktionen vor dem ersten aktiven Schritt.
Outside-in, wenn Exposure unklar ist — nicht als Upsell-Zwang.
Ablehnung von „einfach mal scharf schalten“ ohne Freigabe.
Typische Grenzen vor dem Aktiv-Test:
Scope-/RoE-Klärung und optionale CASP-Vorbereitung
Ablehnung unklarer oder unautorisierter Aktiv-Tests
Getrennter Übergang in den autorisierten Pentest
Sofortiger Aktiv-Test ohne Freigabe „aus Zeitdruck“
Garantie auf Criticals oder Ausfallfreiheit
CASP als stiller Ersatz für den Pentest verkaufen
Wenn Sie den Pentest vorbereiten und sauber freigeben wollen: Scope-Gespräch. Wenn Sie einen unbegrenzten Sofort-Angriff ohne Regeln wollen, lehnen wir ab.
Methodengrenzen zuerst — kein vermischtes CASP/Pentest-Theater.
Pentest mit klaren Zielen und zuordenbaren Ergebnissen.
Outside-in optional + RoE + Freigabe.
Vorbereitung spart Nacharbeit im Aktiv-Test.
Ziele, Kontakte, No-Gos liefern — wir strukturieren.
Exposure und Business-Risiko steuern den Scope.
No-Gos und Fenster vorab.
CASP-Vorbereitung und Pentest-Deliverables bleiben getrennt.
Outside-in schärfen.
Ziele, Grenzen, Fenster.
Aktive Prüfung nach Freigabe.
Wo im Angebot vorgesehen.
Was soll der Pentest beweisen?
CASP für Exposure-Klarheit.
Schriftlich, klar, verantwortbar.
Nur im freigegebenen Scope.
Nein, aber oft sinnvoll, wenn Exposure unklar ist.
Berechtigte Domain-/System-Owner schriftlich — Details im Scope.
Rules of Engagement: erlaubte Aktionen, Fenster, Kontakte, Stop-Kriterien.
Kontakt mit Ziel des Tests; optional CASP-Link und Pentest-Seite.
Nicht immer, aber oft sinnvoll. Prod-only braucht strengere Fenster und No-Gos.
Change und Freigabe — kein stilles Ausweiten. Sonst sind Ergebnisse und Haftung unklar.
CASP und Penetrationstest werden oft vermischt — das kostet Budget. Wir trennen klar: CASP ist passives Outside-in Profiling mit Autorisierung; der Pentest ist aktiver, freigegebener Scope mit RoE und PoCs. So wissen Sie, was zuerst sinnvoll ist.
Thema öffnen →Ohne nachweisbare Domain-Autorisierung startet bei SHELL-AFFECT kein CASP. Die DNS-TXT-Verifikation stellt sicher, dass nur eigene oder schriftlich freigegebene Domains Outside-in betrachtet werden — für Vertrauen, Scope und klare Verantwortung vor jeder passiven Security-Analyse im DACH-Kontext.
Thema öffnen →Ein Outside-in Assessment bei SHELL-AFFECT ist CASP: passive Betrachtung der von außen sichtbaren Angriffsfläche, nur nach Domain-Autorisierung, mit Analysten-Verantwortung und signed Report. So entsteht Orientierung für Entscheider und IT, bevor Budget in aktive Prüfungen oder unklare Tool-Wellen fließt.
Thema öffnen →Nennen Sie Ziel und Zeitraum — wir schlagen Vorbereitung und Scope vor.