®Offensive Security / Result as a Service
Result as a Service ist unser Modell für geeignet abgegrenzte Pentests: Gemeinsam definieren wir ein nachweisbares Prüfziel und einen festen Betrag. Erbringen wir den vereinbarten Nachweis nicht, zahlen Sie die vereinbarte erfolgsabhängige Pentest-Vergütung nicht. Was als Ergebnis zählt, welche Systeme geprüft werden dürfen und wie die Bewertung erfolgt, steht vor dem Start schriftlich fest.
Leistungen im Detail
Vorab definiertes Ergebnis · vorab vereinbarter Betrag
Ihr Auftrag an OTOKO®
Die Arbeitspakete werden aus Ihrer Ausgangslage abgeleitet. Ihr Team kennt den vereinbarten Umfang, die benötigte Mitwirkung und die Ergebnisse, die bei der Übergabe vorliegen sollen.
Das Ziel beschreibt eine konkrete, bewertbare Auswirkung im freigegebenen System. Ein allgemeiner Hinweis oder ein unbestätigter Scannerfund wird nicht automatisch zum zahlungsauslösenden Ergebnis. Voraussetzungen und notwendiger Nachweis werden gemeinsam festgelegt.
Schriftliche Ergebnisdefinition mit akzeptierten Nachweiskriterien.
Vor Beginn werden fester Betrag, Testumfang und Zeitfenster abgestimmt. Bekannte Befunde, ausgeschlossene Systeme und benötigte Zugänge werden dokumentiert. Separate Leistungen entstehen nur durch eine ausdrückliche zusätzliche Beauftragung.
Nachvollziehbare Leistungs- und Vergütungsvereinbarung.
Wirtschaftlicher Erfolg erweitert keine Erlaubnis. Testregeln, Schutz des Betriebs, Meldewege und Abbruchkriterien gelten unabhängig vom Vergütungsmodell. Die Untersuchung bleibt auf die schriftlich autorisierten Ziele beschränkt.
Kontrollierte Untersuchung innerhalb des vereinbarten Rahmens.
Das Ergebnis wird gegen die vorab vereinbarten Kriterien bewertet. Reproduzierbarkeit, Auswirkung und Voraussetzungen werden dokumentiert. Behebung und Retest können als eigene, vorab abgegrenzte Leistungen vereinbart werden.
Dokumentierte Ergebnisbewertung und konkrete Grundlage für nächste Schritte.
Planung & Umsetzung
Ein erfolgsabhängiges Modell braucht eine gemeinsame Definition des Ergebnisses. Möglich ist beispielsweise ein konkret beschriebener Nachweis, dass eine vereinbarte Berechtigungsgrenze unter den festgelegten Bedingungen nicht eingehalten wird. Welche Auswirkung, welcher Schweregrad und welche Reproduzierbarkeit ausreichen, wird vor dem Start entschieden. Bekannte Befunde und bereits akzeptierte Risiken werden ebenfalls eingeordnet. Damit wissen beide Seiten, ob ein späterer Nachweis zum vereinbarten Ziel gehört oder lediglich eine zusätzliche Beobachtung darstellt.
Der feste Betrag bezieht sich auf dieses schriftlich definierte Ergebnis und den vereinbarten Prüfumfang. Wird der erforderliche Nachweis innerhalb dieses Rahmens nicht erbracht, fällt die erfolgsabhängige Pentest-Vergütung nicht an. Ein Befund außerhalb des Scopes erzeugt nicht automatisch einen Zahlungsanspruch. Zusätzliche Analysen, Behebung oder Retests werden nur über eine eigene ausdrückliche Vereinbarung beauftragt. Das Modell soll eine klare wirtschaftliche Grundlage schaffen und keine unbestimmte Erwartung, dass jede technische Auffälligkeit bereits einen Erfolg darstellt.
Vor Beginn werden Zielsysteme, erlaubte Ausgangspunkte, Testkonten und das Zeitfenster festgehalten. Rechte an Drittsystemen oder Plattformen müssen geklärt sein. Ebenso werden Ansprechpartner, Meldewege und Bedingungen für eine Unterbrechung vereinbart. Der Anreiz eines Ergebnisnachweises ändert an diesen Regeln nichts. Ein Test darf weder eigenmächtig auf andere Systeme ausgeweitet werden noch mit nicht freigegebenen Verfahren fortgesetzt werden, nur um das definierte Ziel zu erreichen.
Nachweise werden auf das für die Bewertung notwendige Maß begrenzt. Wo ein vorbereiteter Testbestand eine Auswirkung zeigen kann, müssen dafür keine fremden Kundendaten verwendet werden. Sensible Ergebnisse werden über abgestimmte Wege mit berechtigten Ansprechpartnern geteilt. Für Streitfragen zur Bewertung wird vorab ein gemeinsames Prüfverfahren vereinbart. So kann die Ergebnisentscheidung anhand von Kriterien und Dokumentation getroffen werden, statt erst am Ende unterschiedliche Vorstellungen über die Bedeutung eines Befunds zusammenbringen zu müssen.
Result as a Service eignet sich für Ziele, die sich klar abgrenzen und nachweisen lassen. Dazu können definierte Fragestellungen in SaaS, APIs, Legacy-Software oder kundenverantworteter Infrastruktur gehören. Bei KI-Anwendungen benötigen variable Ausgaben und mehrere beteiligte Komponenten besonders präzise Nachweiskriterien. Ob das Modell für Ihr Vorhaben passt, wird deshalb vor einer Zusage geprüft. Allgemeine Bestandsaufnahme, vollständige Auditabdeckung und ein einzelnes erfolgsabhängiges Prüfziel sind unterschiedliche Leistungen.
Ein Test ohne den vereinbarten Nachweis bedeutet nicht, dass das System allgemein frei von Schwachstellen ist. Die Aussage bleibt auf Scope, Stand und Zeitfenster begrenzt. Auch ein erfolgreicher Nachweis ist zunächst der Ausgangspunkt für die Behebung. Die technische Dokumentation soll Ihrem Team ermöglichen, Ursache und Auswirkung zu verstehen und die Korrektur zu planen. Ein anschließender Retest kann gezielt prüfen, ob die konkrete Schwachstelle im neuen Stand behoben ist; sein Umfang wird gesondert festgelegt.
Illustratives Projektszenario
Vor einem SaaS-Test wird eine bestimmte Mandantengrenze mit vorbereiteten Testdaten als Prüfziel festgelegt. Der feste Betrag wird nur fällig, wenn der schriftlich vereinbarte Nachweis unter den erlaubten Bedingungen erbracht wird. Ein allgemeiner Scannerhinweis ohne diesen Nachweis erfüllt die Vereinbarung nicht.
Vor dem Start
Für den schriftlich vereinbarten erfolgsabhängigen Pentest fällt ohne den definierten Nachweis keine Vergütung an. Weitere Leistungen werden nur gesondert und ausdrücklich beauftragt. Umfang und Bedingungen stehen vor Beginn fest.
Nicht automatisch. Welche Art von Befund oder Auswirkung ausreicht, wird zusammen mit Nachweis, Voraussetzungen und Bewertungsverfahren vor dem Start schriftlich definiert.
Nein. Ein nicht erbrachter Nachweis ist keine allgemeine Sicherheitsbestätigung. Das Ergebnis bezieht sich auf den vereinbarten Testumfang und geprüften Stand.
Der konkrete Leistungsumfang wird vorab festgelegt. Behebung und Retest können gesondert vereinbart werden; sie entstehen nicht automatisch oder als versteckte Zusatzleistung.
Zusammenhängende Leistungen
Result as a Service mit OTOKO®
Nennen Sie die betroffenen Systeme und das Ziel Ihrer Anfrage. Im ersten Gespräch grenzen wir Umfang, Voraussetzungen und die nächsten Schritte gemeinsam ab.
Ergebnisvereinbarung besprechen
