Über TrustScope

Das Scoping von Pentests wird nach wie vor aus dem Bauch heraus festgelegt. Lassen Sie denselben Auftrag von zwei seriösen Anbietern kalkulieren, weichen die MD-Schätzungen oft um 40–100 % voneinander ab. Käufer haben keine objektive Möglichkeit zu beurteilen, wer Recht hat, und entscheiden sich daher meist für das günstigste Angebot — das häufig unterdimensioniert ist und reales Risiko ungetestet lässt. Anbieter wiederum verbringen Stunden mit gefühlsbasiertem Scoping und müssen dann eine Zahl verteidigen, in die der Kunde nicht hineinsehen kann. TrustScope öffnet diese Grauzone: es zeigt, woraus eine Schätzung besteht und warum.

TrustScope ergreift keine Partei. Die Engine liefert dieselbe Zahl, egal wer sie ausführt — ein Käufer, der prüft, ob ein Angebot fair ist, ein Anbieter, der ein Angebot scopt, oder ein Prüfer, der erforderliche Tests plant. Genau darum geht es bei der Neutralität: Käufer können darauf vertrauen, dass die Schätzung nicht zugunsten des Anbieters aufgebläht ist, und Anbieter können sie als schnelle, verteidigbare Grundlage nutzen, die sie dem Kunden gerne zeigen. Eine gemeinsame Referenz funktioniert nur, wenn sich alle gleichermaßen darauf verlassen können.

TrustScope kombiniert zwei Ebenen, und der Unterschied ist wichtig:

Es gibt keine einzelne „richtige“ Dauer für einen Penetrationstest, und TrustScope behauptet das auch nicht. Die Schätzung steht für den angemessenen Aufwand, ein System auf professionellem Niveau zu testen — nach den oben genannten Methodiken — sodass realistisch ausnutzbare Schwachstellen gefunden und ein wahrscheinlicher Angreifer in einem sinnvollen Zeitrahmen abgewehrt werden.

Sie ist bewusst keine Obergrenze. Ein Tester mit unbegrenzter Zeit könnte immer noch weiter gehen — in tiefgehende Forschung, Entwicklung neuartiger Exploits und Edge Cases, die nicht mehr zeiteffizient und nicht mehr Standardpraxis sind. Ein realer Angreifer mit starker Motivation, ein bestimmtes System zu brechen, kann weit mehr Zeit aufwenden, als jede ethische Zusammenarbeit es je tut. TrustScope schätzt den standardmäßigen, methodisch geführten Aufwand, der in sinnvoller Zeit zu effektiver Abdeckung konvergiert — nicht das theoretische Maximum und nicht das Minimum, mit dem ein Anbieter über den Preis gewinnen will.

Darum geht es: eine verteidigbare Referenz dafür, was gutes Standard-Testing an Zeit kostet — etwas, worauf sich Käufer, Anbieter und Prüfer als angemessen einigen können. Es ist der Unterschied zwischen einem Pentest und einem ordentlich gemachten Pentest — zwischen einem Ergebnis, hinter dem man stehen kann, und einem Häkchen auf dem Papier.

Ihre Eingaben dienen ausschließlich der Erstellung Ihrer Schätzung. Sie werden ohne Ihre Aktion nicht an Anbieter weitergegeben und nie zum Training irgendeines Modells verwendet. Wir kalibrieren die Engine an realen Projekten, um Schätzungen genau zu halten — fundiert auf tatsächlichen Aufträgen, nicht auf Marketing-Versprechen.

Ein Penetrationstest sollte keine Black Box sein, in der der Preis geraten wird. Jede Schätzung sollte eine klare Methodik haben, erklärbar und zwischen Anbietern vergleichbar sein. Unser langfristiges Ziel ist, TrustScope zum gemeinsamen Standard für Pentest-Scoping zu machen — kalibriert an realen Projekten und von allen Seiten gleichermaßen vertraut — sodass „scoped with TrustScope“ für Käufer, Anbieter und Prüfer dasselbe bedeutet. Keine einzelne diktierte Zahl, sondern eine transparente Basis, von der alle ausgehen und die mit dokumentierter Begründung angepasst werden kann.

Fragen, Feedback, Kalibrierungsdaten oder eine Beratungsanfrage? Schreiben Sie an david@trustscope.io.