Inhaltsverzeichnis
Warum Pentest-Preise so stark variieren
Die kurze Antwort: weil „Pentest" keine geschützte Bezeichnung ist und darunter sehr unterschiedliche Leistungen verkauft werden.
Auf der einen Seite stehen automatisierte Vulnerability-Scans — Tools, die bekannte Schwachstellen in Ihrer Software identifizieren, einen Report generieren und als „Pentest" vermarktet werden. Preis: 500–2.000 €. Wert: begrenzt, weil Angreifer nicht wie Tools denken.
Auf der anderen Seite stehen manuelle Penetrationstests durch erfahrene Sicherheitsforscher, die Angriffsketten durchspielen, Schwachstellen logisch verknüpfen und Business-Logik-Fehler finden, die kein automatisches Tool erkennt. Preis: 5.000–30.000 €.
Dazwischen gibt es hybride Ansätze. Der Trick ist zu verstehen, was Sie wirklich brauchen.
Pentest-Typen und ihre Kosten
Web-Applikation Pentest
Der häufigste Anwendungsfall für KMU. Ein manueller Web-Pentest prüft Ihre Anwendung auf OWASP Top 10, Business-Logik-Fehler, Authentifizierungsprobleme und API-Schwachstellen.
Realistischer Preis: 2.500–8.000 € für kleine bis mittlere Anwendungen. Komplexe Enterprise-Applikationen mit vielen Funktionsbereichen können mehr kosten.
Was den Preis treibt: Anzahl der zu testenden Funktionsbereiche, Authentifizierungsebenen, API-Komplexität, ob Quellcode vorliegt (White-Box) oder nicht (Black-Box).
Netzwerk-Pentest / Infrastruktur-Audit
Prüfung Ihrer internen oder externen Netzwerkinfrastruktur: Firewalls, offene Ports, Dienste-Konfigurationen, laterale Bewegungsmöglichkeiten im Netzwerk.
Realistischer Preis: 4.500–15.000 € je nach Netzwerkgröße (Anzahl Hosts, Segmente, Standorte).
Social Engineering / Phishing-Simulation
Test der menschlichen Komponente: simulierte Phishing-Kampagnen, Vishing-Anrufe, physische Zugangsversuche. Oft als Ergänzung zu technischen Tests.
Realistischer Preis: 1.500–5.000 € für eine gezielte Kampagne mit Report und Auswertung.
Was ein gutes Angebot enthält
Bevor Sie ein Angebot annehmen, prüfen Sie diese Punkte:
- Scope ist klar definiert: Welche URLs, IPs oder Systeme werden getestet? Was ist explizit ausgeschlossen?
- Methodik ist benannt: OWASP Testing Guide, PTES, NIST? Oder nur „wir schauen uns das an"?
- Report-Format ist beschrieben: Management Summary + technischer Report mit Reproduktionsschritten und Risikobewertung (CVSS)?
- Nachgespräch / Retest ist inkludiert: Ein seriöser Anbieter erklärt Findings persönlich und prüft nach Behebung, ob die Lücken geschlossen sind.
- Qualifikation ist nachweisbar: OSCP, OSCE, CEH oder vergleichbare Zertifikate der durchführenden Person — nicht nur des Unternehmens.
Was Sie vor dem Pentest tun sollten
Ein Penetrationstest ist keine Grundlagenarbeit. Er ist sinnvoll, wenn Ihr Sicherheitsfundament steht: Patches sind aktuell, MFA ist aktiviert, ein Backup-Konzept existiert. Wenn das nicht der Fall ist, werden Sie im Pentest-Report eine Liste an vermeidbaren Basics sehen — und dafür viel Geld bezahlt haben.
Sinnvoll ist ein Pentest für:
- Produktivsysteme vor dem Go-Live
- Nachweis gegenüber Kunden, Versicherungen oder im Rahmen von NIS2-Anforderungen
- Nach größeren Infrastrukturänderungen
- Regelmäßige Überprüfung (1× pro Jahr ist ein vernünftiger Rhythmus)