Besondere Bedingungen für Sicherheits-Audits und Penetrationstests

Stand: 14. Mai 2026. Diese Anlage ergänzt die allgemeinen Geschäftsbedingungen der Netzhandwerker um Regelungen, die speziell für Sicherheits-Audits, Penetrationstests, Schwachstellen-Scans und Phishing-Simulationen gelten. Bei Widerspruch geht diese Anlage den allgemeinen AGB vor, soweit speziellere Regelungen zu Scope, Test-Tiefe, Zeitfenster, Notfall-Kontakt, erlaubten und ausgeschlossenen Methoden, Datenschutz, Vertraulichkeit und Ergebnis-Verwendung getroffen sind.

§ 1 Geltungsbereich und Verhältnis zu den allgemeinen AGB

(1) Diese Anlage gilt für alle Verträge zwischen Daniel Wesseling, Die Netzhandwerker, Achtenbuhr 12, 48599 Gronau (nachfolgend „Auftragnehmer") und dem Auftraggeber über Sicherheits-Audits, Penetrationstests, Schwachstellen-Scans und Phishing-Simulationen.

(2) Die allgemeinen Geschäftsbedingungen der Netzhandwerker gelten ergänzend. Bei Widerspruch geht diese Anlage als speziellere Regelung vor.

(3) Eine schriftliche Prüfvereinbarung mit dokumentierter Scope-Freigabe nach § 3 dieser Anlage geht beiden Regelwerken vor, soweit sie noch speziellere Regelungen zum konkreten Auftrag enthält.

§ 2 Leistungsumfang und Pakete

(1) Der Auftragnehmer bietet pragmatische Sicherheits-Audits für Solo-Betriebe, KMU und ähnlich strukturierte Auftraggeber in vier Paket-Stufen an: Stichprobe (290 € einmalig), Webseiten-Audit (690 € einmalig), Komplett-Audit IT-Infrastruktur (1.490 € einmalig) und Phishing-Simulation (490 € einmalig zuzüglich optional 49 € pro Monat für ein Szenario- und Pflegepaket).

(2) Alle Preise sind Endpreise. Aufgrund der Kleinunternehmerregelung nach § 19 UStG wird keine Umsatzsteuer ausgewiesen. Die Leistungen werden ausschließlich remote erbracht; Reise- oder Vor-Ort-Kosten fallen nicht an.

(3) Der verbindliche Leistungsumfang im Einzelfall ergibt sich aus der schriftlichen Prüfvereinbarung. Auf der Website beschriebene Test-Bereiche sind nicht-abschließend und werden je nach gebuchtem Paket und vereinbartem Scope abgedeckt.

(4) Der Auftragnehmer ist kein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) im Geltungsbereich IS-Penetrationstests zertifizierter Dienstleister und stellt keine Compliance-Bescheinigung aus (z.B. ISO 27001, KRITIS, NIS2, TISAX). Der Bericht ist eine fachliche Sicherheits-Einschätzung im vereinbarten Scope und zum Prüfzeitpunkt, kein formales Audit-Dokument.

§ 3 Schriftliche Prüfvereinbarung als Voraussetzung

(1) Vor Beginn jeder Test-Maßnahme schließen die Parteien eine schriftliche Prüfvereinbarung mit dokumentierter Scope-Freigabe. Ohne unterzeichnete Prüfvereinbarung führt der Auftragnehmer keine Scans, Stichproben oder Login-Tests durch.

(2) Die Prüfvereinbarung enthält mindestens:

• Auftraggeber mit Handelsname, Rechtsform und Anschrift; Unterzeichner mit Vertretungsberechtigung
• Bestätigung, dass der Auftraggeber über die genannten Systeme verfügungsbefugt ist
• Klare Liste der Domains, IP-Adressen, Cloud-Tenant-IDs, Login-Bereiche und Testkonten im Scope
• Klare Liste der ausgeschlossenen Systeme
• Test-Zeitraum mit Start- und End-Datum, bevorzugte Geschäftszeiten
• Erlaubte und verbotene Test-Methoden gemäß § 4 dieser Anlage
• Notfall-Kontakt für kritische Befunde, telefonisch und per Mail, mit Stellvertreter-Regelung
• Verwendung der Ergebnisse, Vertraulichkeit, Löschfrist nach § 9
• Auftragsverarbeitungs-Vereinbarung nach § 6, sofern personenbezogene Daten Dritter im Scope sind
• Eskalations-Klausel bei akut ausnutzbaren Lücken

(3) Der Auftraggeber bestätigt mit Unterzeichnung der Prüfvereinbarung, zur Beauftragung der Prüfung für die genannten Systeme berechtigt zu sein und die Einwilligung etwaiger weiterer Berechtigter eingeholt zu haben.

§ 4 Erlaubte und verbotene Test-Methoden

(1) Erlaubte Methoden im Rahmen der Prüfvereinbarung sind insbesondere:

• Passive Aufklärung (DNS, WHOIS, Zertifikats-Transparenz, Suchmaschinen-Recherche)
• Aktive Schwachstellen-Tests im freigegebenen Scope (Port-Scans, Schwachstellen-Scanner, manuelle Prüfung)
• Login-Tests gegen freigegebene Konten mit dokumentierter Rate-Limit-Beobachtung
• Web-Anwendungs-Tests inklusive Injection-Versuchen mit nicht-destruktiven Payloads
• Phishing-Simulation mit anonymisierter Auswertung nach vorheriger Mitarbeiter-Information

(2) Verbotene Methoden sind insbesondere:

• Denial-of-Service-Angriffe oder Last-Tests gegen produktive Systeme ohne ausdrückliche Genehmigung
• Manipulation, Verschlüsselung oder Zerstörung von Produktivdaten
• Echte Datenexfiltration über die zur Beweisführung notwendige Anzahl Datensätze hinaus
• Destruktive Payloads, Ransomware-Simulation auf produktiven Systemen
• Tests gegen Systeme außerhalb des freigegebenen Scopes
• Test-Methoden, die einen Strafrechts-Tatbestand zum Nachteil Dritter erfüllen würden

(3) Findet der Auftragnehmer während der Prüfung eine akut ausnutzbare Lücke, pausiert er den Test, meldet sich unverzüglich telefonisch beim benannten Notfall-Kontakt und liefert eine Notfall-Empfehlung zur Sofort-Maßnahme.

§ 5 Drittanbieter-Systeme und Freistellung

(1) Liegen Systeme im Scope, die von Drittanbietern betrieben werden (insbesondere Hosting, Cloud, SaaS, Payment, Newsletter, CDN, externe API-Anbieter), bestätigt der Auftraggeber in der Prüfvereinbarung schriftlich, dass Tests an diesen Systemen entweder vertraglich erlaubt sind oder die ausdrückliche Freigabe des betreffenden Drittanbieters vorliegt.

(2) Liegt eine solche Erlaubnis oder Freigabe nicht vor, ist das betreffende Drittanbieter-System aus dem Scope auszuschließen.

(3) Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter frei, die sich aus Test-Maßnahmen gegen vom Auftraggeber als freigegeben bezeichnete Systeme ergeben, sofern eine tatsächliche Freigabe des Dritten nicht vorlag oder der Scope vom Auftraggeber falsch deklariert wurde.

§ 6 Datenschutz und Auftragsverarbeitung

(1) Erhält der Auftragnehmer im Rahmen der Prüfung potenziell Zugriff auf personenbezogene Daten Dritter, schließen die Parteien vor Beginn der Prüfung verpflichtend einen Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO. Ohne erforderlichen AV-Vertrag erfolgt keine Prüfung in diesem Scope.

(2) Bei Phishing-Simulationen bleibt der Auftraggeber verantwortlich für die Rechtsgrundlage, die vorherige Mitarbeiter-Information, gegebenenfalls die Beteiligung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG und die interne Datenschutz-Dokumentation. Der Auftragnehmer stellt auf Wunsch Vorlagen für Mitarbeiter-Information, Betriebsrats-Abstimmung, Löschfrist und anonymisierte Auswertung zur Verfügung, übernimmt jedoch keine arbeitsrechtliche Beratung.

(3) Standardmäßig erfolgen bei Phishing-Simulationen keine individuellen Auswertungen einzelner Beschäftigter und keine personenbezogenen Klick-Listen an Vorgesetzte. Ergebnisse werden ausschließlich anonymisiert als Gesamtwerte berichtet. Eine personenbezogene Auswertung ist nur nach gesonderter rechtlicher Prüfung und ausdrücklicher schriftlicher Beauftragung möglich; sie wird standardmäßig nicht angeboten.

§ 7 Backup-Pflicht des Auftraggebers

(1) Der Auftraggeber stellt vor Beginn jeder Prüfung sicher, dass aktuelle und wiederherstellbare Backups aller im Scope befindlichen produktiven Systeme und Datenbestände vorliegen.

(2) Der Auftragnehmer haftet nicht für Datenverluste, die trotz sachgerechter Testdurchführung im Rahmen der vereinbarten Methoden eintreten, soweit diese Datenverluste durch eine fehlende oder nicht funktionsfähige Backup-Strategie des Auftraggebers eingetreten oder verstärkt wurden.

(3) Auf Wunsch bietet der Auftragnehmer eine vorgelagerte Backup-Strategie-Prüfung gegen separates Entgelt an.

§ 8 Mitwirkungspflichten des Auftraggebers

(1) Der Auftraggeber stellt rechtzeitig vor Test-Beginn alle für die Durchführung notwendigen Informationen und Zugänge zur Verfügung (z.B. Lese-Audit-Zugang für Cloud-Tenants, Testkonten, Ansprechpartner, Notfall-Kontakte mit Vertreter-Regelung).

(2) Der Auftraggeber benennt einen Hauptansprechpartner und mindestens einen Stellvertreter mit Vertretungsberechtigung für Eskalationen nach § 4 Abs. 3.

(3) Verzögerungen aufgrund unterlassener oder verspäteter Mitwirkung gehen nicht zulasten des Auftragnehmers. Termin-Verschiebungen, die auf solchen Umständen beruhen, gelten als vom Auftraggeber veranlasst im Sinne von § 12 dieser Anlage.

§ 9 Bericht-Auslieferung und Aufbewahrung

(1) Das Ergebnis der Prüfung wird ausschließlich in Form eines schriftlichen PDF-Berichts ausgeliefert. Die Auslieferung erfolgt verschlüsselt per E-Mail an die in der Prüfvereinbarung benannten Empfänger.

(2) Die Regellaufzeiten sind: Stichprobe ein bis zwei Werktage, Webseiten-Audit drei bis fünf Werktage, Komplett-Audit fünf bis zehn Werktage, Phishing-Simulation rund zwei Wochen. Maßgeblich ist die Vollständigkeit der nach § 8 erforderlichen Mitwirkung; die Frist beginnt mit der vollständigen Scope-Freigabe und Bereitstellung aller Zugänge.

(3) Der Auftragnehmer bewahrt Arbeitsergebnisse, Roh-Scans, Screenshots, Logs und den Bericht 90 Tage nach Auslieferung auf. Danach werden diese Unterlagen unwiderruflich gelöscht. Der Auftraggeber kann schriftlich eine kürzere Löschfrist verlangen.

(4) Zugangsdaten und Geheimnisse, die für die Prüfung übermittelt wurden, werden spätestens 14 Tage nach Auslieferung des Berichts gelöscht.

§ 10 Vertraulichkeit

(1) Beide Parteien verpflichten sich zur Vertraulichkeit über alle im Rahmen der Prüfung erlangten Kenntnisse, insbesondere über Test-Ergebnisse, Schwachstellen-Befunde, technische Konfigurationen und Geschäftsgeheimnisse der jeweils anderen Seite.

(2) Die Vertraulichkeitspflicht gilt für die Dauer von fünf Jahren nach Ende des Auftrags und bleibt von einer Beendigung des Vertrags unberührt.

(3) Der Auftraggeber darf den Bericht intern frei verwenden, an seinen eigenen IT-Dienstleister, Wirtschaftsprüfer oder Rechtsbeistand weitergeben sowie zur Beauftragung der Reparatur an Dritte. Eine Veröffentlichung des Berichts oder einzelner Befunde mit Bezug auf den Auftragnehmer als Quelle bedarf der vorherigen schriftlichen Zustimmung des Auftragnehmers.

§ 11 Haftung und Garantie-Ausschluss

(1) Der Auftragnehmer schuldet eine fachgerechte Prüfung im vereinbarten Scope und zum Prüfzeitpunkt. Er schuldet nicht:

• eine bestimmte Anzahl gefundener Schwachstellen oder Befunde
• eine vollständige Sicherheit oder Freiheit von Schwachstellen der geprüften Systeme
• einen bestimmten Sicherheits-Reifegrad
• eine Compliance-Bescheinigung für ISO 27001, KRITIS, NIS2, TISAX oder ähnliche Standards
• die rechtliche Bewertung der gefundenen Sachverhalte (insbesondere keine arbeitsrechtliche, datenschutzrechtliche oder strafrechtliche Beratung)

(2) Der Auftragnehmer haftet für Vorsatz und grobe Fahrlässigkeit unbeschränkt. Bei einfacher Fahrlässigkeit haftet der Auftragnehmer nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), und in diesem Fall der Höhe nach begrenzt auf den vertragstypischen, vorhersehbaren Schaden, höchstens jedoch auf den Auftragswert.

(3) Die Haftungsbegrenzung gilt nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie nicht für Ansprüche nach dem Produkthaftungsgesetz.

(4) Findet der Auftragnehmer eine akut ausnutzbare Lücke und meldet diese gemäß § 4 Abs. 3, ist die anschließende Behebung der Lücke ausschließlich Aufgabe und Verantwortung des Auftraggebers, sofern keine gesonderte Reparatur-Beauftragung erfolgt.

§ 12 Stornierung und Verschiebung

(1) Der Auftraggeber kann einen vereinbarten Test-Termin bis spätestens sieben Werktage vor Test-Beginn ohne Stornogebühr stornieren oder verschieben.

(2) Bei Stornierung oder Verschiebung sechs bis zwei Werktage vor Test-Beginn fällt eine Ausfallpauschale in Höhe von 50 Prozent des Paket-Preises an.

(3) Bei Stornierung oder Verschiebung weniger als zwei Werktage vor Test-Beginn fällt eine Ausfallpauschale in Höhe von 100 Prozent des Paket-Preises an. Dies gilt nicht, wenn die Verschiebung auf einen unaufschiebbaren betrieblichen Notfall des Auftraggebers zurückzuführen ist und schriftlich dokumentiert wird; in diesem Fall reduziert sich die Pauschale auf 50 Prozent.

(4) Ist die Verschiebung auf Umstände im Verantwortungsbereich des Auftraggebers im Sinne von § 8 Abs. 3 zurückzuführen, gelten die Stornofristen entsprechend.

§ 13 Schlussbestimmungen

(1) Streitige Befunde kann der Auftraggeber binnen 14 Tagen nach Auslieferung des Berichts schriftlich gegenüber dem Auftragnehmer anfechten. Der Auftragnehmer prüft die Anfechtung sachlich und korrigiert den Bericht bei begründeten Einwänden.

(2) Reparatur einzelner Mängel nach Audit-Abschluss erfolgt ausschließlich auf Grundlage einer gesonderten schriftlichen Beauftragung zum Festpreis nach Befund und ist nicht im Audit-Preis enthalten. Für Reparatur-Aufträge gelten die allgemeinen AGB der Netzhandwerker.

(3) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Erfüllungsort und Gerichtsstand für Kaufleute ist Gronau (Westfalen), soweit gesetzlich zulässig.

(4) Sollte eine Bestimmung dieser Anlage unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen davon nicht berührt. An die Stelle der unwirksamen Bestimmung tritt diejenige wirksame Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(5) Änderungen dieser Anlage werden dem Auftraggeber rechtzeitig vor einer geplanten Beauftragung in Textform mitgeteilt. Für laufende Aufträge gilt die zum Zeitpunkt der Auftragserteilung jeweils gültige Fassung.

Stand: 14. Mai 2026. Diese Anlage ist gemeinsam mit den allgemeinen Geschäftsbedingungen, der Datenschutz-Erklärung und dem Muster-Auftragsverarbeitungs-Vertrag zu lesen. Bei juristischen Rückfragen wenden Sie sich an [email protected].