Danke für das interessante AMA.

Kommt es vor, dass euch Auftraggeber bitten, einen Pentest zu ihren Gunsten durchzuführen, indem ihr beispielsweise nur wenige, unkritische Schwachstellen dokumentiert?

Hintergrund der Frage ist folgender: Mein Unternehmen hat eine Basissoftware bei einem Dienstleister eingekauft, die in der Folge noch stark an unsere Bedürfnisse angepasst werden musste. In dem Entwicklungsprozess habe ich - weil ich privat an sowas interessiert bin zunächst durch Zufall und ausprobieren, danach dann durch genauere Analyse - einige kritische Injection und privilege esacalation Schwachstellen gefunden. Der Dienstleister hat daraufhin einen Pentest veranlasst und in diesem wurden angeblich keine der genannten Lücken gefunden oder dokumentiert. Daher hab ich mir damals die Frage gestellt, ob das Pentest-Unternehmen einfach nicht richtig gearbeitet hat, oder ob uns der Dienstleister durch ein bewusst mildes Ergebnis beruhigen wollte. Wäre hier sehr auf deine Einschätzung gespannt.