# Acht Fragen. Zwei Minuten. Keine E-Mail-Adresse.

> Acht Fragen, kein Login, keine E-Mail-Adresse. Sehen Sie, wo Ihre Web-, API- oder KI-Agenten-Sicherheit steht und welcher nächste Schritt passt.

Antworten Sie ehrlich aus der heutigen Praxis Ihres Teams, nicht aus dem Plan. Am Ende sehen Sie einen Score, die grösste Lücke und das Paket, das sie schliesst. Nichts wird übermittelt: das Ergebnis bleibt in diesem Browser-Tab.

## 1. Sind Systeme, Rollen und Daten im Scope vor Testbeginn schriftlich festgehalten und freigegeben?

- Ja, mit benanntem Verantwortlichen und Abbruchbedingungen
- Ungefähr, per E-Mail, aber nichts unterschrieben
- Nein, der Scope wird während der Arbeit mündlich vereinbart

## 2. Testen Sie Webanwendungen und ihre APIs – oder nur das Frontend?

- Beides, inklusive authentifizierter Rollen
- Hauptsächlich das Frontend; APIs nur teilweise
- Nur das Frontend oder noch gar nicht

## 3. Sind KI-Agenten, MCP-Tools und die von ihnen erreichten Daten Teil Ihrer Sicherheitstests?

- Ja, inklusive Prompt Injection und Tool-Berechtigungen
- Teilweise, aber nicht die Tool-Berechtigungen
- Nein, Agenten liegen ausserhalb unserer Tests

## 4. Könnten Sie für einen kritischen Befund einen reproduzierbaren Angriffspfad zeigen – nicht nur einen Titel?

- Ja, mit Voraussetzungen und Nachweisen
- Manchmal, je nachdem wer getestet hat
- Nein, Berichte nennen meist nur Titel und Schweregrad

## 5. Gibt es eine verantwortliche Person für die Behebung und einen Nachtest nach den Fixes?

- Benannte Verantwortung und terminierter Nachtest
- Fixes passieren; der Nachtest ist informell
- Weder Verantwortung noch Nachtest

## 6. Wissen Sie, welche Security-Arbeit Ihr Budget dieses Jahr abdeckt – und welche nicht?

- Ja, mit schriftlichem Plan und Kostenspanne
- Ein grobes Budget, aber kein Plan
- Kein vereinbartes Budget und kein Plan

## 7. Kostet ein Workflow bereits so viel Zeit, dass sich Automatisierung trotz Risiko lohnt?

- Ja, gemessen, mit Verantwortung und Zielgrösse
- Wahrscheinlich, aber niemand hat es gemessen
- Noch kein Kandidaten-Workflow benannt

## 8. Könnten Sie einer Prüfstelle mit einem Artefakt zeigen, was getestet, was behoben und was offen ist?

- Ja, ein aktuelles Dokument beantwortet alle drei
- Teilweise; die Teile liegen an verschiedenen Orten
- Es gibt kein einzelnes Artefakt

## Ihr Ergebnis

Score, grösste lücke, empfohlener nächster schritt.

Eine Selbsteinschätzung, kein Audit. Erfasst werden Ihre Angaben zu Prozess und Abdeckung; daraus folgt keine Aussage darüber, ob Ihre Systeme derzeit ausnutzbar sind.