Ein Pentest ohne Retest ist eine Halbsache

Pentest-Report ohne Retest dokumentiert einen Zustand, nicht eine Verbesserung. Wert entsteht erst im Kreis: Fund → Priorisierung → Behebung → Retest → Evidenz.

Drei Regeln

• Jeder Fund bekommt einen Owner und ein SLA — vor dem Report, nicht danach.
• Retest wird terminiert, sobald die Behebung gemeldet wird, nicht erst im nächsten Jahreszyklus.
• Management-Bewertungen zitieren die Evidenz, nicht die Empfehlung.

So wird aus einem Pentest ein Programm: wiederkehrender Rhythmus, registergeführte Behebung, nachweisbare Lage.