APTS ist ein Governance-Framework für das Verhalten autonomer Pentest-Plattformen und eine Compliance-Baseline für Vendor, MSSP und Enterprise — kein How-to-Pentest, kein Ersatz für PTES, WSTG oder OSSTMM und kein Tool- oder Vendor-Ranking. Während PTES die sieben Phasen eines Pentests beschreibt und WSTG Web-Test-Techniken katalogisiert, adressiert APTS die Plattform-Eigenschaften: Scope-Enforcement, Safe Autonomy, Accountability, Decision-Trails und Audit-Isolation für KI-gesteuerte Systeme. Der Standard liegt als OWASP-Projekt in Version 0.1.0 vor (Lizenz CC BY-SA 4.0) und ist über die OWASP-Projektseite und GitHub frei zugänglich.
OWASP APTS: Autonomous Penetration Testing Standard
KI-gesteuerte Pentest-Plattformen führen Angriffsketten zunehmend selbstständig aus — der OWASP Autonomous Penetration Testing Standard (APTS) definiert erstmals einen Governance-Rahmen dafür: 173 Anforderungen, 8 Domänen, 3 Compliance-Tiers, 4 Autonomie-Level.
173Tier-Required-Anforderungen in drei kumulativen Compliance-Tiers
8Domänen — von Scope Enforcement (26) bis Reporting (15)
72Anforderungen bilden die Baseline Tier 1 Foundation
4Autonomie-Level: L1 Assisted bis L4 Autonomous
Der OWASP Autonomous Penetration Testing Standard (APTS, Version 0.1.0, OWASP Foundation, Lizenz CC BY-SA 4.0) ist ein Governance-Standard für autonome und KI-gestützte Penetration-Testing-Plattformen. Er definiert, was solche Systeme leisten müssen, um sicher, transparent und innerhalb definierter Grenzen zu operieren — unabhängig davon, ob die Plattform als Vendor-Produkt, as-a-Service oder in-house betrieben wird. APTS ist ausdrücklich keine Test-Methodologie: Er ersetzt weder PTES noch OWASP WSTG oder OSSTMM, sondern ergänzt sie um das, was diese Standards nicht abdecken — das Verhalten der Plattform während der Ausführung, von Scope-Enforcement über Kill-Switch und Audit-Trails bis zur Manipulation Resistance. Die 173 Tier-Required-Anforderungen verteilen sich auf 8 Domänen und sind in drei kumulative Compliance-Tiers gestaffelt; ein vierstufiges Autonomie-Modell (L1–L4) koppelt den Autonomiegrad an das erforderliche Assurance-Niveau. Relevant ist der Standard für Hersteller, MSSPs, Enterprise-Security-Teams, Einkauf und Auditoren — und regulatorisch, weil seine Controls auf EU AI Act, ISO/IEC 42001, NIS2 und DORA mappen.
Das Wichtigste im Überblick
Sechs Themenblöcke — zum Aufklappen antippen.
Vier Autonomie-Level: L1 bis L4
Mit zunehmender Autonomie steigen die Assurance-Anforderungen — kein Sprung von manuell zu voll-autonom. Level antippen.
- Der Mensch plant und führt aus, die Plattform schlägt vor — zum Beispiel ein Vulnerability-Scan mit Empfehlungen.
Vulnerability-ScanEmpfehlungen
- Die Plattform plant, der Mensch genehmigt jeden Schritt — Guided Exploitation mit Approval-Gates.
- In der Praxis genügt vielen Organisationen L2: Entscheidend ist nicht, wie autonom eine Plattform sein kann, sondern wie autonom sie für den konkreten Use-Case sein muss.
Guided ExploitationApproval-Gates
- Die Plattform plant und führt aus, der Mensch überwacht — autonome Recon mit überwachter Exploitation.
Autonome ReconÜberwachte Exploitation
- End-to-End-autonomer Betrieb, etwa als Continuous Autonomous Red Team.
- Grundprinzip des Standards: Mit zunehmender Autonomie steigen die Assurance-Anforderungen — L4 ist nur mit Tier-3-Nachweisen vertretbar.
Continuous Autonomous Red TeamTier-3-Nachweise
Standards & Quellen
Die Inhalte dieser Seite basieren auf den folgenden öffentlich verfügbaren Leitfäden und Studien.
OWASP Autonomous Penetration Testing Standard (APTS)
Version 0.1.0, Lizenz CC BY-SA 4.0 (Stand Juli 2026): 173 Tier-Required-Anforderungen in 8 Domänen, 3 Compliance-Tiers und 4 Autonomie-Level; verfügbar über die OWASP-Projektseite und github.com/OWASP/APTS.
EU AI Act — Verordnung (EU) 2024/1689
Regulatorischer Anker für APTS: Risikomanagement (Art. 9), Logging (Art. 12), Human Oversight (Art. 14) sowie Genauigkeit und Robustheit (Art. 15) mappen auf die APTS-Domänen.
ISO/IEC 42001:2023 — AI Management System
Managementsystem-Norm für KI; APTS-Controls dienen als Control-Baseline für Operational Controls, Performance Monitoring und Supply Chain.
NIS2 — Richtlinie (EU) 2022/2555
Risikomanagement nach Art. 21 und Lieferketten-Sicherheit nach Art. 21 Abs. 2 lit. d greifen bei autonomen Testkomponenten auf die APTS-Domänen SE, SC, MR und TP zurück.
DORA — Verordnung (EU) 2022/2554
Threat-Led Penetration Tests (TLPT), ICT-Third-Party-Risk-Management und das Testing-Programm nach Art. 24–27 lassen sich mit APTS-konformen Plattformen nachweisbar unterlegen.
Passende Leistungen
Autonome Pentests mit Governance einsetzen
VamiSec begleitet Sie entlang des gesamten APTS-Lifecycle: Gap-Assessment gegen alle 8 Domänen, Vendor-Due-Diligence, Integration in ISO 27001 und ISO 42001, Regulatorik-Mapping sowie klassische und KI-gestützte Penetrationstests mit nachweisbarem Audit-Trail.