Rahmenvereinbarung und Einwilligung zur Durchführung eines Penetrationstests

Diese Vorlage regelt die Rahmenbedingungen einer kontrollierten Sicherheitsüberprüfung („Penetrationstest"). Der konkrete Prüfumfang wird in der Anlage „Scope" verbindlich festgelegt. Ohne unterzeichnete Vereinbarung und definierten Scope findet kein Test statt.

1. Vertragsparteien

2. Gegenstand & Zielsetzung

Der Auftragnehmer führt eine kontrollierte Sicherheitsüberprüfung der in der Anlage „Scope" benannten Systeme durch. Ziel ist das Auffinden, Verifizieren und Bewerten von Schwachstellen sowie die Ableitung konkreter Maßnahmen. Es handelt sich ausdrücklich nicht um eine Garantie der Sicherheit, sondern um eine Momentaufnahme im definierten Rahmen.

3. Prüfumfang (Scope) & Ausschlüsse

Geprüft werden ausschließlich Systeme, IP-Bereiche, Domains und Anwendungen, die in dieser Anlage benannt sind. Alles, was nicht ausdrücklich benannt ist, gilt als nicht freigegeben.

4. Zeitfenster

5. Rules of Engagement

• Es werden keine Maßnahmen durchgeführt, die den Produktivbetrieb absichtlich gefährden, sofern dies nicht ausdrücklich und schriftlich freigegeben wurde.
• Aktives Ausnutzen von Schwachstellen (Exploitation) und Rechteausweitung erfolgen nur im freigegebenen Rahmen.
• Social Engineering und Phishing-Simulationen finden nur statt, wenn sie ausdrücklich im Scope aufgeführt sind.
• Bei kritischen Funden, die eine akute Gefahr darstellen, informiert der Auftragnehmer den Notfallkontakt unverzüglich.
• Der Auftraggeber benennt einen Notfallkontakt, der während des Testzeitraums erreichbar ist.

6. Berechtigung & Einwilligung

Der Auftraggeber versichert, dass er Eigentümer der zu prüfenden Systeme ist oder über alle erforderlichen Rechte und Einwilligungen Dritter (z. B. Hosting-Provider, Cloud-Anbieter) verfügt, um die Prüfung zu beauftragen. Erforderliche Genehmigungen Dritter holt der Auftraggeber vor Testbeginn ein und weist sie auf Verlangen nach.

7. Vertraulichkeit & Datenschutz

Beide Parteien behandeln alle im Rahmen der Prüfung erlangten Informationen streng vertraulich. Personenbezogene Daten werden nur im erforderlichen Umfang verarbeitet und nach Abschluss bzw. nach Ablauf gesetzlicher Fristen gelöscht. Ergebnisse und Berichte werden ausschließlich dem Auftraggeber übergeben.

8. Haftung

Der Auftragnehmer arbeitet mit der gebotenen Sorgfalt. Trotz kontrollierten Vorgehens lassen sich Auswirkungen auf geprüfte Systeme nicht vollständig ausschließen. Die Haftung richtet sich nach den separat vereinbarten Bedingungen; eine Haftung für mittelbare Schäden, Datenverlust bei fehlender Sicherung durch den Auftraggeber oder entgangenen Gewinn ist im gesetzlich zulässigen Rahmen ausgeschlossen. Der Auftraggeber stellt vor Testbeginn eine aktuelle, geprüfte Datensicherung sicher.

9. Ergebnis & Re-Test

Der Auftraggeber erhält einen Bericht mit Management Summary, technischen Befunden, Risikobewertung und priorisierten Empfehlungen. Auf Wunsch prüft der Auftragnehmer nach Umsetzung der Maßnahmen erneut, ob die Befunde behoben wurden (Re-Test).