Retest (Nachtest)

Ein Retest prüft nach Abschluss der Behebung, ob die im Sicherheitstest gefundenen Schwachstellen tatsächlich geschlossen wurden und keine neuen Lücken entstanden sind.

Ein Retest ist die erneute Prüfung der Befunde eines Penetrationstests oder Red Teamings, nachdem die Organisation die empfohlenen Maßnahmen umgesetzt hat. Er beantwortet eine einfache, aber entscheidende Frage: Wurden die Schwachstellen wirklich geschlossen – und zwar so, dass sie nicht mehr ausnutzbar sind? Ein Befund gilt erst dann als behoben, wenn der Retest das bestätigt, nicht schon, wenn ein Ticket geschlossen oder ein Patch eingespielt wurde.

Der Retest ist damit das Bindeglied zwischen Erkenntnis und Wirksamkeit. Ohne ihn bleibt offen, ob die investierte Behebungsarbeit das Risiko tatsächlich gesenkt hat.

Ablauf eines Retests

1. Auswahl der Befunde: In der Regel werden die kritischen und hohen Befunde erneut geprüft; mittlere und niedrige je nach Vereinbarung.
2. Reproduktion: Das Team versucht, die ursprüngliche Schwachstelle mit demselben Vorgehen wie beim Erstbefund auszunutzen. Als Grundlage dient der dokumentierte Proof of Concept.
3. Prüfung auf Umgehung: Erfahrene Tester prüfen nicht nur den genauen Pfad des Erstbefunds, sondern auch, ob die Behebung umgangen werden kann – eine Filterregel etwa lässt sich oft mit einer leichten Abwandlung austricksen.
4. Prüfung auf Nebenwirkungen: Behebungen können neue Lücken öffnen, etwa wenn eine Konfigurationsänderung einen anderen Dienst exponiert.
5. Dokumentation: Jeder Befund erhält einen neuen Status: behoben, teilweise behoben, nicht behoben oder durch Umgehung weiterhin ausnutzbar.

Ein Retest findet idealerweise wenige Wochen nach dem Erstbericht statt, solange die Systeme und das Wissen beider Seiten noch aktuell sind. Bei regulierten Tests nach DORA ist die Wirksamkeitsprüfung Teil des Remediation-Plans mit Ursachenanalyse.

Bedeutung für Unternehmen

Der Retest schützt vor einer teuren Illusion: dem Glauben, ein Risiko sei beseitigt, weil es bearbeitet wurde. In der Praxis sind teilweise Behebungen und umgehbare Korrekturen häufig. Die CISA-Red-Team-Analyse AA23-059A beschreibt eine reife Organisation, in der grundlegende Fehler über Jahre bestehen blieben – unter anderem ein zehn Jahre lang unverändertes Passwort eines zentralen Kontos. Solche Befunde verschwinden nicht durch einen einzelnen Patch, sondern erfordern eine Ursachenanalyse, deren Wirksamkeit nur ein Retest belegt.

Für Revision, Aufsicht und Geschäftsleitung ist der Retest außerdem der Nachweis, dass das Schwachstellenmanagement funktioniert – eine Anforderung, die ISO 27001 (Kontrolle A.8.8) und DSGVO Art. 32 ausdrücklich stellen.

Praxis-Hinweise

• Vereinbaren Sie den Retest gleich im Angebot mit, nicht erst nach dem Erstbericht; das sichert Budget und Termin.
• Beheben Sie Ursachen, nicht nur Symptome: Ein einzeln gepatchtes System hilft wenig, wenn die zugrunde liegende Fehlkonfiguration an hundert Stellen besteht.
• Fordern Sie eine Prüfung auf Umgehung, nicht nur die Wiederholung des exakten Erstpfads.
• Verfolgen Sie offene Befunde mit einem Verantwortlichen und einer Frist; der Retest prüft genau diese Liste.