CASP und Penetrationstest werden oft vermischt — das kostet Budget. Wir trennen klar: CASP ist passives Outside-in Profiling mit Autorisierung; der Pentest ist aktiver, freigegebener Scope mit RoE und PoCs. So wissen Sie, was zuerst sinnvoll ist.
Ein Mittelständler plant „einen Pentest“, hat aber 12 Domains und unklare Schatten-IT. Wir empfehlen zuerst CASP Full auf priorisierten Domains (Outside-in, DNS-TXT), Report mit Top-Risiken und Scope-Vorschlag für einen späteren, engeren Pentest auf 2 kritischen Apps. Ergebnis: Pentest-Budget sinkt, Findings sind dem Ziel zuordenbar — ohne CASP als Pentest-Ersatz zu verkaufen. Die Zahlen und Namen sind anonymisiert; der Ablauf entspricht typischen Projekten.
Methodentrennung schützt Budget und Aussagekraft. Wir dokumentieren Grenzen schriftlich — freiberuflich, mit öffentlicher CASP-Preisorientierung, ohne Critical-Garantien. Das ist Absicht und Teil der Positionierung.
Job dieser Seite: Nur Methoden- und Budget-Schnitt CASP vs. Pentest. Nicht Scan-Vergleich, nicht reines Autorisierungs-How-to.
Schnelle Orientierung — final im Scope-Gespräch:
→ CASP zuerst.
→ Autorisierter Pentest mit RoE.
→ Gestaffelt: Outside-in, dann Aktiv-Test.
→ Kein CASP; kein seriöser Start.
→ Nicht unser CASP-Produkt; ehrlich ablehnen oder abgrenzen.
→ Ablehnen.
Ein Pentest ohne klares Outside-in-Bild prüft oft die falschen Flächen oder bläht den Scope auf. Ein Scan-Report ohne Analysten-Priorisierung erzeugt Alarmmüdigkeit. Beides fühlt sich nach Security an — liefert aber keine belastbare Entscheidung, was zuerst zu schließen ist und was später aktiv validiert werden sollte.
Für IT- und Geschäftsleitung in DACH-KMU und B2B, die Security-Budget steuern und nicht „irgendetwas Scannen“ kaufen wollen. Ideal vor dem ersten teuren Aktiv-Test oder nach unklaren Scanner-Reports.
Viele Anbieter vermischen Outside-in und aktiven Test in einem Pitch. Das erzeugt falsche Erwartungen und unklare Reports. Wir trennen Methoden und sagen, wann welche Leistung Sinn ergibt — und wann nicht.
CASP-Report und Pentest-Findings werden nicht in einem „alles geprüft“-Satz verkauft.
Oft Outside-in zuerst, Aktiv-Test danach — nicht aus Prinzip beides, sondern wenn es dem Ziel dient.
DNS-TXT für CASP, schriftliche Freigabe und RoE für Pentest — kein „kurz mal testen“.
Wir maximieren Klarheit, nicht die Verkaufsstory „wir finden immer X“.
Typische Grenzen in diesem Entscheidungsraum:
Ehrliche Empfehlung: nur CASP, nur Pentest oder gestaffelt
CASP passiv mit DNS-TXT; Pentest aktiv nur mit RoE
Getrennte Deliverables und Abnahmen
Aktive Exploits im CASP-Scope
Unautorisierte Tests „weil der Kunde es eilig hat“
Finding-Zahl- oder Ranking-Garantien
Wenn Sie die Methoden ehrlich schneiden wollen: Scope-Gespräch. Wenn Sie ein vermischtes Alles-Inklusiv-Security-Paket ohne Grenzen wollen, passen wir nicht.
Methodengrenzen zuerst — kein vermischtes CASP/Pentest-Theater.
Entscheidungssicherheit: Outside-in-Bild und/oder aktiver Nachweis im freigegebenen Scope — nicht beides vermischt.
DNS-TXT-Autorisierung, klare Grenzen CASP vs. Pentest, signed Report bzw. RoE und PoCs.
CASP schafft oft in 10–21 Tagen Orientierung; Pentest folgt, wenn der Prüfraum geschärft ist.
Domain-Freigabe und Ansprechpartner — kein monatelanges Tool-Onboarding für CASP.
Erst Sichtbarkeit und Priorität — dann gezielter Aktiv-Test, statt Blindflug.
CASP-Report und Pentest-Findings bleiben methodisch und vertraglich getrennt.
Kein Angstmarketing, keine „wir sind beides und nichts“-Floskeln.
Passives Outside-in Profiling, signed Report, Priorisierung.
Aktive Prüfung nur nach Freigabe, RoE und definiertem Scope.
Wann welches Angebot — in der Beratung und im Content.
CASP Lite € 7.500 · Full € 19.900 — Scope bleibt transparent.
Entscheidung, Compliance-Evidenz oder vor dem Pentest?
Autorisierung, passives Profiling, Report.
Was muss sofort, was kann warten, was gehört in den Aktiv-Test?
Nur mit RoE und freigegebenen Zielen — getrennter Scope.
Nein. CASP ist passiv Outside-in. Der Pentest prüft aktiv im freigegebenen Scope.
Nein. Viele starten mit CASP. Pentest folgt, wenn Ziele und Nutzen klar sind.
Öffentlich: Lite ab € 7.500, Full € 19.900. Details und Scope im Gespräch.
Über Kontakt mit Ziel und Domain. DNS-TXT vor CASP-Start; Pentest mit schriftlicher Freigabe.
Ja, wenn Scope und Ziele schon scharf sind. CASP ist hilfreich, wenn Outside-in unklar ist — kein Dogma.
CASP Lite/Full in definierten Tage-Fenstern (siehe Preise/Business-Plan); Pentest abhängig von Scope und RoE.
Der teuerste Pentest ist der mit unklarem Scope. Vor dem aktiven Test lohnt Outside-in-Klarheit: Welche Domains und Dienste sind sichtbar? Was ist No-Go? Was soll der Test beweisen? CASP und saubere RoE-Vorbereitung reduzieren Blindflug und Nachverhandlungen.
Thema öffnen →Automatisierte Vulnerability Scans liefern Listen. CASP liefert ein priorisiertes Outside-in-Bild mit Analysten-Verantwortung, Autorisierung und signed Report. Wer beides verwechselt, kauft entweder zu wenig Tiefe — oder zu viel Rauschen ohne Entscheidung. Für DACH-Unternehmen geht es um Klarheit vor dem nächsten Budget-Schritt, nicht um mehr PDF-Volumen.
Thema öffnen →Ohne nachweisbare Domain-Autorisierung startet bei SHELL-AFFECT kein CASP. Die DNS-TXT-Verifikation stellt sicher, dass nur eigene oder schriftlich freigegebene Domains Outside-in betrachtet werden — für Vertrauen, Scope und klare Verantwortung vor jeder passiven Security-Analyse im DACH-Kontext.
Thema öffnen →Sagen Sie, ob Sie Outside-in-Klarheit, einen Aktiv-Test oder beides brauchen — wir trennen die Scopes.