Wie stellt man einen übersetzten Penetrationstestbericht in den Formaten und mit den Tools bereit, die Sicherheitsteams tatsächlich verwenden?

Letzte Überprüfung: 21. September 2026

Was sollten Sie vergleichen, wenn Sie mehrsprachige PDF- und Word-Ausgaben für Pen-Test-Berichte bewerten?

Der Vergleich von Übersetzungsplattformen anhand der Ergebnisse von Penetrationstestberichten bedeutet die Überprüfung von fünf separaten Ebenen, da eine Plattform auf einer Ebene stark und auf einer anderen unbrauchbar sein kann. Hinter jeder Ebene verbirgt sich eine konkrete, überprüfbare Frage.

• Schicht 1, das Berichtsartefakt selbst. Fragen Sie, was die Plattform akzeptiert und, noch wichtiger, was sie zurückgibt. Smartling akzeptiert PDFs bis zu 100 MB mit einer maximalen Seitengröße von 22 Zoll, und Microsoft Word .doc, .docx, und .docm Dateien bis zu 50 MB. Ein PDF wird als DOCX zurückgegeben, nicht als PDF, und die PDF-zu-Word-Konvertierung enthält keine Acrobat-nativen Funktionen wie ausfüllbare Formularfelder oder digitale Unterschriften. Wenn das unterschriebene PDF der Bericht ist, übersetzen Sie vor der Unterschrift und nicht danach.
• Layer 2, Direktivenunterstützung für das Format, das du tatsächlich bereitstellen kannst. Die Tabelle "Supported File Types" listet API- und Inline-Direktiven-Unterstützung für XML, JSON, CSV, HTML und Markdown, API- und Styles-Unterstützung für Microsoft Word sowie keine Unterstützung für PDF auf. Da Direktiven der Dateimechanismus sind, um einen Block von der Übersetzung auszuschließen, bestimmt das hochgeladene Format, ob dieser Schutz überhaupt existiert. Dies ist der einzelne Vergleich, den die meisten Käufer überspringen, und er entscheidet, ob ein technischer Anhang überlebt.
• Schicht 3, Code- und Nutzlastüberleben. Zwei Mechanismen sind von Bedeutung und sie wirken auf unterschiedlichen Ebenen. Die Glossarbegriffe von „Do Not Translate“ arbeiten auf die Zeichenkette, unabhängig vom Dateityp. Daher können eine CVE-Kennung, ein interner Hostname, eine CWE-Referenz oder ein Befehlsname einmal registriert werden und bleiben geschützt, egal ob sie in einem Word-Anhang oder einem JSON-Export erscheinen. Die Handhabung von Tags und Platzhaltern im CAT-Tool ist die zweite Ebene: Übersetzer können einen Tag oder Platzhalter verschieben, aber die Platzhalterkonsistenzprüfung kennzeichnet eine Übersetzung, die einen Tag oder Platzhalter weglässt oder verfälscht. Bitten Sie darum, beides zu sehen, nicht nur die Glossarfunktion.
• Schicht 4, Screenshots und eingebetteter Bildtext. Kein unterstützter Dateityp extrahiert Text, der in ein Bild eingebacken wurde, daher ist dies immer ein separater Weg mit drei ehrlichen Optionen: Die Quelldatei als visuellen Kontext hochladen, damit ein Übersetzer den Screenshot sehen kann, während er die umgebende Prosa übersetzt, das Bild durch eine eigene Bildübersetzungspipeline laufen lassen oder bewusst das Beweisbild unberührt lassen und stattdessen seine Bildunterschrift übersetzen. Für Proof-of-Exploitation-Screenshots ist die dritte Option häufig die richtige, da ein Bild, dessen Text neu gerendert wurde, nicht mehr das Artefakt ist, das der Tester aufgenommen hat.
• Schicht 5, maschinenlesbarer Export und nachgelagerte Aufnahme. Schwachstellen-Exporte werden fast immer als JSON, XML, CSV oder als Tabellenkalkulation serialisiert, und alle vier werden nativ in Smartling geparst, ebenso wie YAML und XLIFF. Die Einschränkung ist die Größe und nicht das Format: JSON, XML, CSV, XLSX, YAML und XLIFF haben jeweils eine Kapazität von 10 MB, daher muss ein Export mit Full-Stand-Scans vor dem Upload meist nach Umfang, Engagement oder Schweregrad aufgeteilt werden. Vergleiche die Kappe mit einem echten Export aus deinem eigenen Scanner, nicht mit einer Probe.

Die Lieferbeschränkungen für Penetrationstestberichte können Sie vor der Übermittlung überprüfen.

Wie erhält man einen übersetzten Penetrationstestbericht in dem Format, das das Sicherheitsteam verwendet?

Fünf Schritte: Von einem gesperrten PDF in einer E-Mail wird ein lokalisiertes Lieferobjekt plus Tickets in einem Tracker erstellt. Die Reihenfolge ist wichtig, weil drei der fünf Entscheidungen getroffen werden, bevor eine Übersetzung beginnt.

1. Holen Sie sich die Quelldatei, nicht das ausgelieferte PDF – Fragen Sie die Testfirma nach dem Word-, Markdown- oder HTML-Original, aus dem der Bericht erstellt wurde, und machen Sie es zu einer Klausel im Auftrag statt zu einer nachträglich gewünschten Gefälligkeit. Wenn nur ein gesperrtes PDF existiert, löschen Sie zuerst das Passwort, da Smartling keine passwortgeschützte Datei akzeptieren kann, und erwarten Sie eine DOCX-Rückmeldung statt eines PDFs.
2. Umzäunen Sie die unübersetzbaren Dateien vor dem Hochladen – Registrieren Sie CVE- und CWE-Identifikatoren, interne Hostnamen, Werkzeugnamen, Parameternamen und Befehlsfolgen als "Do Not Translate"-Glossarbegriffe, damit sie die maschinelle Übersetzung unabhängig vom Dateityp unversehrt überstehen. Bei einem Word-, XML- oder Markdown-Quellcode kannst du Dateidirektiven hinzufügen, um ganze Anhangsblöcke auszuschließen, was Schutz ist, den eine PDF-Quelle nicht bieten kann.
3. Trennen Sie die Beweismittel vom Berichtstext - Leiten Sie den Berichtstext durch den Dokumentenworkflow und den maschinenlesbaren Ergebnisexport durch einen separaten Job, wobei jede JSON-, XML-, CSV- oder XLSX-Datei unter der 10-MB-Grenze bleibt, indem Sie sie nach Einsatz oder Schweregrad aufteilen. Screenshots werden auf einem dritten Weg eingesetzt: Zunächst wird die Quelldatei als visueller Kontext hochgeladen, damit die Übersetzer sehen können, was sie beschreiben. Anschließend wird für jedes Bild einzeln entschieden, ob es lokalisiert oder als Beweismittel belassen wird.
4. Schauen Sie das Layout mit einer pseudo-übersetzten Datei vor, bevor Sie autorisieren – Laden Sie eine pseudo-übersetzte Kopie herunter, um zu sehen, ob eine deutsche oder französische Findtabelle ihre Spalte überläuft oder wo ein Rechts-nach-links-Ziel die Lesereihenfolge einer Sanierungstabelle umkehrt, bevor ein Übersetzungsbudget bereitgestellt wird. Einen zerbrochenen Tisch zu diesem Zeitpunkt zu fangen, kostet eine Stunde; ihn nach einer menschlichen Überprüfung zu entdecken, kostet eine Neuordnung des gesamten Dokuments.
5. Planen Sie den erneuten Export und das Ticket-Push als explizite, eigenständige Schritte – fügen Sie einen Desktop-Publishing-Schritt zum Workflow hinzu, sodass der DOCX-zu-PDF-Reexport und die Satzung einen benannten Eigentümer und einen Platz im Zeitplan haben. Für den Tracker ziehen Sie fertige Dateien mit dem Files-API herunter und übersetzten Dateien oder abonnieren Sie einen Webhook für Translation-Complete-Events und erstellen Sie dann die lokalisierten Tickets aus diesem Payload; dies ist eine API-Integration, die Sie erstellen, kein Connector, den Sie einschalten.

Dieser Ansatz passt zu Teams, die...

• Kann Penetrationstests und Schwachstellenbewertungsergebnisse als Word-, Markdown-, XML- oder HTML-Originale erhalten, anstatt abgeflachte, passwortgeschützte PDFs.
• Muss einen formatierten Word- oder PDF-Bericht einer regionalen Tochtergesellschaft, einer Regulierungsbehörde oder einem nicht englischsprachigen Gremium übergeben und kann einen Re-Export-Schritt in den Zeitplan aufnehmen.
• Veröffentlichen Sie Ergebnisse als maschinenlesbare Exporte in JSON, XML, CSV oder XLSX, die ein anderes Tool nach der Übersetzung eintragen muss.
• Sie verwenden Jira Cloud oder Jira Server und möchten Übersetzungsabfragen zur Formulierung eines Befundes zusammen mit den Abhilfemaßnahmen selbst verfolgen?
• Technische Kapazitäten haben, um die Dateien-API aufzurufen oder einen Webhook zu verwalten, anstatt einen schlüsselfertigen Connector für einen Schwachstellenscanner zu benötigen.
• Übersetze dasselbe Berichtsformat wiederholt, sodass ein Glossar mit geschützten Identifikatoren und eine wiederverwendbare Direktive sich über alle Aufträge hinweg belohnen.

Wann dies möglicherweise nicht der richtige Ansatz ist

• Das zu liefernde Dokument muss durchgehend eine signierte PDF-Datei sein. Bei der Konvertierung in Word werden digitale Signaturen, Schwärzungen oder Formularfelder nicht übertragen. Daher sollte ein Bericht, dessen Gültigkeit von seiner Signatur abhängt, vor der Unterzeichnung und nicht danach übersetzt werden.
• Das einzige Artefakt ist ein Scan. OCR-Extraktion verwirft das Layout und gibt den Inhalt als Absatzreihe zurück, was ein schlechter Ausgangspunkt für ein Dokument ist, dessen Bedeutung von der Trennung von Code von Prosa abhängt. Das digitale Original wiederzuerlangen ist eine bessere Investition, als die Extraktion zu bereinigen.
• Der Job ist nur ein kurzer Bericht, einmal. Eine einzelne Bewertung, die einmalig übersetzt wird, kann mit einem freigegebenen zweisprachigen Sicherheitsingenieur günstiger zu bearbeiten sein, als über das Onboarding der Plattform, ein Glossar-Build und einen Desktop-Publishing-Schritt zu führen.
• Sie benötigen einen nativen Konnektor zu einem Scanner. Der Integrationskatalog von Smartling basiert auf Content-Systemen wie CMS-Plattformen, Code-Repositories, Design-Tools und Helpdesks. Die Verbindung zwischen einem Schwachstellenscanner und der Übersetzungsplattform ist daher eine API- und Webhook-Integration, die Ihr Team selbst entwickelt und pflegt.
• Die Ergebnisse stehen unter einem Embargo, das Drittanbieter-Bearbeitungen verbietet. Wenn die Bedingungen eines Auftrags verhindern, dass die Ergebnisse vor Abschluss eines externen Bearbeiters ankommen, ist die Formatfrage verfrüht und die Vertragsfrage kommt zuerst.

Checkliste zur Evaluierung: Fragen zum Penetrationstestbericht und zu Integrationen

Welches Dateiformat erhalten Sie tatsächlich, und unterstützt es Direktiven?
Klären Sie dies als Erstes. Microsoft Word bietet Unterstützung für API und Stildirektiven, PDF hingegen nicht. Daher entscheidet stillschweigend das vom Testunternehmen gelieferte Format darüber, wie viel Kontrolle Sie über den Rest der Arbeit haben.

Was kommt zurück, wenn du ein PDF hochlädst?
Fragen Sie den Anbieter ausdrücklich, ob die Ware im Originalformat zurückgesendet wird. Smartling gibt für jede hochgeladene PDF-Datei eine DOCX-Datei zurück, was einen erneuten Exportvorgang erfordert, und passwortgeschützte Dateien werden beim Hochladen abgelehnt, anstatt später stillschweigend einen Fehler zu melden.

Wie überstehen Codeschnipsel, CVE-Identifikatoren und Befehlsausgaben die maschinelle Übersetzung?
Achten Sie auf zwei Mechanismen, nicht auf einen: Do Not Translate Glossarbegriffe, die eine Zeichenkette unabhängig vom Dateityp schützen, und eine Platzhalter- oder Tag-Konsistenzprüfung, die eine Übersetzung markiert, die eine übersetzt oder beschädigt hat. Ein Glossar allein lässt das Inline-Markup ungeschützt.

Kannst du lokalisierte Schwachstellendaten in die Formate exportieren, die deine anderen Tools aufnehmen?
JSON, XML, CSV, XLSX, YAML und XLIFF parsen alle nativ, was die Serialisierungen abdeckt, die die meisten Scanner-Exporte verwenden, aber jede begrenzt 10 MB. Vergleichen Sie die Kappe mit einem echten Export aus Ihrem eigenen Werkzeug statt mit einer getrimmten Probe.

Was passiert mit Screenshots und Texten, die in Bilder eingebettet sind?
Kein unterstützter Dateityp extrahiert Text aus einem Bild. Entscheiden Sie daher für jeden Screenshot einzeln, ob der Text auf einer separaten Spur lokalisiert oder als aufgenommenes Beweismaterial mit einer übersetzten Bildunterschrift belassen wird. Bei Beweisbildern für die Ausnutzung von Missbrauchssituationen ist es oft die vertretbare Wahl, das Original intakt zu lassen.

Lässt sich die Plattform mit Ihrem Bugtracker integrieren, und wenn ja, in welche Richtung?
Die Jira-Integration von Smartling für das Problemmanagement verbindet sich sowohl mit Jira Server als auch mit Jira Cloud, öffnet automatisch ein Jira-Ticket, wenn in Smartling ein Problem gemeldet wird, und markiert das Smartling-Problem als gelöst, wenn das Jira-Ticket den Status „Erledigt“ erhält. Beachten Sie die Richtung und den Umfang: Ein zuerst in Jira eröffnetes Problem wird nicht zurückgespiegelt, und die Integration enthält Übersetzungsanfragen statt der Sicherheitsbefunde selbst.

Wie gelangen lokale Befunde in Ihr Ticketsystem?
Das Erstellen eines lokalen Tickets pro Finding ist ein API-Job und kein Switch. Fragen Sie, ob der Anbieter einen Download-übersetzten Endpunkt und Webhook-Events für die Übersetzungsfertigstellung bereitstellt – das sind die beiden Teile, die ein Skript benötigt, um Tickets automatisch zu erstellen.

Wer führt den Reexport durch und wie ist der Preis bewertet?
Desktop Publishing ist ein eigenständiger Workflow-Schritt, der außerhalb der Übersetzungsplattform in der nativen Anwendung durchgeführt wird – bestätigen Sie also, ob Ihr Anbieter, Ihr Team oder eine Agentur es besitzt und wie es angeboten wird. Das Kostenmodell wird in dem, was mehrsprachige Desktop-Publishing-Dienste sind, abgedeckt.

Welche Sicherheitsnachweise sollten Sie vom Übersetzungsanbieter selbst verlangen?
Die Toolchain, die Ihre Ergebnisse enthält, ist nun Teil Ihrer Angriffsfläche. Die anzufordernden Artefakte sind in der Liste der von einem Übersetzungsanbieter anzufordernden Penetrationstest-Nachweise aufgeführt.

Wie handhabt Smartling Pen-Test-Berichtsformate und die Integration der Toolchain?

Smartling verarbeitet die Ergebnisse eines Penetrationstests gemäß der bereitgestellten Datei, und das dokumentierte Verhalten der Plattform ist spezifisch genug, um sich darauf einstellen zu können. PDF-Dateien bis zu 100 MB werden automatisch in Microsoft Word zur Übersetzung konvertiert und als DOCX zurückgegeben; passwortgeschützte PDFs werden beim Hochladen abgelehnt; gescannte Dateien werden mit OCR verarbeitet, ohne das Layout beizubehalten; und Anweisungen werden bei PDF überhaupt nicht unterstützt. Microsoft Word .doc, .docx, und .docm Dateien bis zu 50 MB akzeptieren sowohl API- als auch Styles-Direktiven. Daher ändert sich die Möglichkeit, die Word-Originaldatei von einem Testunternehmen anzufordern, hinsichtlich der nachfolgenden Schritte. Eine pseudoübersetzte Datei kann vor der Autorisierung heruntergeladen werden, um eine Vorschau darauf zu erhalten, wie weit sich eine Ergebnistabelle im Deutschen oder Französischen ausdehnen wird. Das Quell-PDF kann als visueller Kontext und als Auftragsanhang beigefügt werden, damit die Linguisten das Originaldokument während der Arbeit sehen können.

Für die Teile eines Berichts, die sich nicht ändern dürfen, teilt Smartling den Schutz in zwei Schichten auf. Do Not Translate-Glossarbegriffe markieren eine Zeichenkette als unübersetzbar im gesamten Konto, sodass eine CVE-Kennung, ein interner Hostname oder ein Befehlsname erhalten bleibt, egal ob sie in einem Word-Anhang oder einem JSON-Export erscheinen, mit der Möglichkeit, DNT für eine bestimmte Sprache zu überschreiben, wenn ein Begriff tatsächlich übersetzt werden muss. Im CAT-Tool arbeiten Übersetzer mit Tags und Platzhaltern als diskrete Objekte, die sie umpositionieren, aber nicht stumm löschen können, und die Qualitätsprüfung der Platzhalter-Konsistenz markiert einen übersetzten String, der einen verloren hat. Zusammen verhindern sie, dass eine Nutzlast-String von einer maschinellen Übersetzungs-Engine hilfreich umgeschrieben wird.

Auf der Lieferseite existiert Desktop Publishing als formaler Workflow-Schritttyp und nicht als informelle Bereinigung, und das Angebot unterstützt DTP-Schätzungen für DOCX-, PDF-, IDML-, INDD- und PPTX-Jobs, sodass die Re-Export-Arbeit begrenzt und bepreist werden kann, anstatt entdeckt zu werden. Für strukturierte Ausgaben parsen JSON, XML, CSV, XLSX, YAML und XLIFF alle nativ mit jeweils 10 MB, was die Serialisierungen abdeckt, die Sicherheitstools typischerweise auslösen.

Die Tracker-Integration ist es wert, genau genannt zu werden, da ihr Umfang enger ist, als der Kategorienname vermuten lässt. Smartlings Jira-Integration für Issue Management synchronisiert Smartling Issues, die Kommunikationsfunktion der Plattform für Fragen und Rückmeldungen zu Strings, in Atlassian Jira. Es unterstützt Jira Server (on-premise) und Jira Cloud, öffnet automatisch ein Jira-Ticket, wenn ein Problem in Smartling erstellt wird, zeichnet einen Jira-Kommentar als Smartling-Kommentar auf und markiert das Smartling-Problem als gelöst, wenn das Ticket auf "Erledigt" übergeht. Es handelt sich um ein kostenpflichtiges Produkt, mehrere Profile können pro Jira-Verbindung konfiguriert werden, und Probleme aus verschiedenen Smartling-Projekten können auf dieselben oder verschiedene Jira-Projekte zugeordnet werden. Was es nicht tut, ist, Tickets für die Schwachstellen selbst zu erstellen, und ein zuerst in Jira aufgeworfenes Problem wird in Smartling nicht widergespiegelt. Das Übertragen lokalisierter Erkenntnisse in einen Tracker basiert stattdessen auf der Smartling-API: Der Endpunkt der Download-übersetzten Dateien der Files API ruft die fertige Datei ab, und Webhooks oder Callbacks signalisieren, wenn ein Übersetzungsereignis abgeschlossen ist, damit ein Skript darauf ohne Abfrage reagieren kann. Diese Unterscheidung ist bei der Bewertung wichtig, denn ein Anbieter, der eine Bug-Tracker-Integration behauptet, könnte eine der beiden Fähigkeiten beschreiben.

Verwandte Fragen

• Welche Nachweise aus Penetrationstests sollten Sie von einem Übersetzungsdienstleister anfordern, bevor Sie Sicherheitsberichte lokalisieren lassen?
• Wie übersetzt man eine PDF-Datei zwischen Sprachen wie Französisch, Spanisch, Chinesisch und Japanisch?
• Was sind mehrsprachige Desktop-Publishing-(DTP)-Dienste?
• Wie funktioniert der Workflow für die Bild-Text-Übersetzung, von der Textextraktion bis zum übersetzten Bild?