Ein Proof of Concept belegt nachvollziehbar, dass eine Schwachstelle tatsächlich ausnutzbar ist, und trennt so reale Risiken von theoretischen Befunden – ohne Schaden anzurichten.
Ein Proof of Concept (PoC), zu Deutsch Machbarkeitsnachweis, belegt, dass eine vermutete Schwachstelle tatsächlich ausnutzbar ist. Im Sicherheitstest ist er der Unterschied zwischen „hier könnte theoretisch ein Problem bestehen“ und „wir haben nachgewiesen, dass ein Angreifer dies erreichen kann“. Der PoC dokumentiert reproduzierbar, welche Voraussetzungen nötig waren, welche Schritte zum Ziel führten und welches Ergebnis dabei entstand – so, dass die Organisation den Befund nachvollziehen und nach der Behebung im Retest überprüfen kann.
Entscheidend ist die Zurückhaltung: Ein PoC im professionellen Test weist die Ausnutzbarkeit nach, ohne Schaden anzurichten. Er zeigt den Zugriff, ohne Daten zu entwenden; er belegt die Rechteausweitung, ohne das System zu destabilisieren. Das ist in den Rules of Engagement verankert.
Was ein guter PoC enthält
- Ausgangslage: Welche Rechte, welcher Zugang und welche Bedingungen waren Voraussetzung – damit klar ist, wie realistisch das Szenario ist.
- Reproduzierbare Schritte: Eine nachvollziehbare Abfolge, die ein Techniker der Organisation wiederholen kann, um den Befund selbst zu sehen.
- Nachweis des Ergebnisses: Ein Beleg – etwa ein Bildschirmfoto mit Zeitstempel oder eine Kennung, die beweist, dass das Ziel erreicht wurde (siehe Flags).
- Auswirkung und Einordnung: Was ein Angreifer damit tatsächlich anrichten könnte, über den reinen CVSS-Wert hinaus.
- Grenzen: Was bewusst nicht getan wurde, um Schaden zu vermeiden.
Der Begriff wird auch außerhalb von Tests verwendet: In der Schwachstellenforschung ist ein PoC ein kleines Programm oder eine Beschreibung, die zu einer CVE die Ausnutzbarkeit demonstriert. In einem Bug-Bounty-Programm ist der PoC die Grundlage, auf der eine Meldung bewertet und vergütet wird.
Bedeutung für Unternehmen
Der PoC schützt vor Fehlsteuerung in beide Richtungen. Er verhindert, dass theoretische Befunde ohne reale Ausnutzbarkeit knappe Behebungsressourcen binden – und er verhindert, dass ein ernstes Problem als „nur theoretisch“ abgetan wird. Für die Geschäftsführung macht ein PoC ein Risiko greifbar: Ein nachvollziehbarer Nachweis, dass sich über eine Schwachstelle die Zahlungsfreigabe erreichen ließ, wirkt anders als ein Eintrag in einer Schwachstellenliste.
Ein typischer Fehler ist, bei der Priorisierung allein auf Bewertungszahlen zu vertrauen und den PoC zu ignorieren. Gerade die Verkettung mehrerer, einzeln harmloser Schwachstellen zu einem funktionierenden Angriffspfad – belegt durch einen PoC – ist in unseren Tests oft der kritischste Befund, obwohl keine einzelne Lücke einen hohen Einzelwert trägt.
Praxis-Hinweise
- Verlangen Sie für kritische und hohe Befunde einen reproduzierbaren PoC; er ist die Grundlage für Behebung und Retest.
- Achten Sie darauf, dass der PoC die Ausgangslage dokumentiert – ein Befund, der Administratorrechte voraussetzt, ist anders zu bewerten als einer ohne Vorbedingung.
- Nutzen Sie den PoC in der Kommunikation mit der Geschäftsführung, um Risiken verständlich zu machen.
- Bewahren Sie PoCs vertraulich auf; sie beschreiben ausnutzbare Wege und gehören nur in berechtigte Hände.