Was kostet ein Penetrationstest – und wann lohnt er sich?

Die ehrliche Antwort auf „Was kostet ein Penetrationstest?" lautet zunächst: Das kommt darauf an. Das klingt ausweichend, ist aber der Kern der Sache. Ein Pentest ist keine Ware von der Stange, sondern Handarbeit – und der Aufwand hängt davon ab, was geprüft wird und wie tief. In diesem Artikel zeige ich Ihnen, welche Faktoren den Preis wirklich treiben, welche Marktspannen realistisch sind und woran Sie einen seriösen Anbieter erkennen.

Warum es keinen Festpreis gibt

Ein Penetrationstest wird in Aufwand gerechnet, meist in Personentagen. Der Preis ergibt sich aus der Zahl der Tage mal dem Tagessatz. Beides variiert stark – die Tage nach Umfang und Tiefe, der Tagessatz nach Qualifikation und Haftung. Wer Ihnen ohne ein Gespräch über den Scope einen Fixpreis nennt, rät entweder oder verkauft Ihnen einen automatisierten Scan als Pentest.

Die Faktoren hinter dem Preis

Umfang (Scope)

Der größte Hebel. Eine einzelne Web-Anwendung mit Login und einer Handvoll Funktionen ist schnell abgesteckt. Ein internes Netzwerk mit vielen Systemen, Active Directory und Schnittstellen ist ein anderes Kaliber. Je größer die Angriffsfläche, desto mehr Tage.

Tiefe und Testart

Ein Black-Box-Test von außen kostet anders als ein White-Box-Test mit Quellcode und Zugängen. Wie sich diese Ansätze unterscheiden und welcher wann sinnvoll ist, habe ich im Artikel „Was ist Penetration Testing?" ausführlich erklärt. Kurz gesagt: Mehr Kontext für den Tester bedeutet in derselben Zeit mehr gefundene Schwachstellen.

Spezialisierung

Ein Standard-Web-Pentest ist am Markt breit verfügbar. Sobald es spezieller wird – ein Embedded- oder IoT-Gerät, eine Fuzzing-Kampagne gegen einen eigenen Parser – braucht es Spezialwissen, das nicht jeder Anbieter hat. Das schlägt sich im Tagessatz nieder, spart Ihnen aber oft Tage, weil gezielter gearbeitet wird.

Qualifikation und Haftung

Zertifiziertes Personal, eigene Berufshaftpflicht und eine saubere, methodische Arbeitsweise kosten mehr als ein Gelegenheits-Tester. Dafür bekommen Sie einen Bericht, mit dem Ihr Team auch wirklich etwas anfangen kann – und im Zweifel jemanden, der für seine Arbeit geradesteht.

Reporting und Retest

Der Bericht ist das eigentliche Produkt. Ein guter Report mit Executive Summary, technischen Details und priorisierten Empfehlungen kostet Zeit. Und die Frage, ob ein Retest nach der Behebung enthalten ist, gehört vor die Beauftragung – nicht danach.

Realistische Marktspannen

Die folgenden Zahlen sind zur Orientierung gedacht – gängige Marktspannen für Anbieter im deutschsprachigen Raum mit qualifiziertem Personal. Ihr konkreter Preis ergibt sich immer aus dem Scope-Gespräch.

Fokussierte Web-Anwendung (Login, Rollen, überschaubare Funktionen): häufig im Bereich einiger Tausend bis rund 12.000 €.
Komplexere Anwendung (Multi-Tenant, viele Integrationen, ausgeprägte Geschäftslogik): oft rund 12.000 € bis 25.000 €.
Interne Netzwerke und Infrastruktur (Berechtigungsketten, komplexe Schnittstellen): je nach Größe ein breiter Bereich, der auch deutlich höher liegen kann.

Aus meiner Sicht ist die wichtigste Zahl nicht der Preis, sondern der Aufwand in Tagen. Fragen Sie danach: Wie viele Personentage sind eingeplant, und was genau wird in dieser Zeit getestet? Daran erkennen Sie, ob ein Angebot realistisch ist.

Der Ablauf in fünf Phasen

Ein seriöser Pentest folgt einem strukturierten Prozess – angelehnt an das Vorgehensmodell des BSI:

Scoping & Planung – Ziele, Systeme im Scope, Rules of Engagement und der rechtliche Rahmen.
Reconnaissance – Informationen über das Ziel sammeln.
Scanning & Enumeration – die Angriffsfläche systematisch erfassen.
Exploitation – Schwachstellen kontrolliert ausnutzen, nicht nur auflisten.
Reporting – der priorisierte Bericht mit konkreten Empfehlungen.

Woran Sie einen guten Anbieter erkennen

Er will vor dem Angebot mit Ihnen über den Scope sprechen – nicht umgekehrt.
Er trennt sauber zwischen einem automatisierten Vulnerability-Scan und einem manuellen Pentest.
Er zeigt Ihnen einen Beispielbericht oder erklärt, was drinsteht.
Er ordnet Funde ehrlich ein, statt jede Kleinigkeit zu dramatisieren.
Ein Retest nach der Behebung ist geklärt.

Wann sich ein Pentest lohnt – und wann nicht

Ein Pentest lohnt sich, wenn Sie eine neue Anwendung vor dem Go-Live absichern wollen, Compliance-Anforderungen erfüllen müssen, größere Änderungen vorgenommen haben oder schlicht wissen wollen, wie Ihre Systeme einem echten Angriff standhalten.

Er lohnt sich (noch) nicht, wenn grundlegende Sicherheitsmaßnahmen fehlen, die Findings des letzten Tests noch offen sind oder niemand eingeplant ist, um die Ergebnisse umzusetzen. Dann ist das Budget anderswo besser investiert. Ein Pentest ist ein Werkzeug zur Verbesserung, kein Gütesiegel.

Fazit

Der Preis eines Penetrationstests ist kein Zufall, sondern das Ergebnis von Scope, Tiefe, Spezialisierung und Qualität. Wer den Aufwand versteht, kann Angebote realistisch vergleichen – und erkennt schnell, wo an der falschen Stelle gespart wird.

Wenn Sie überlegen, ob und in welchem Umfang ein Pentest für Ihre Situation sinnvoll ist, sprechen wir das gern unverbindlich durch. Ich sage Ihnen ehrlich, was ich für angemessen halte – auch wenn das mal „erst die Basics" heißt. Nehmen Sie Kontakt auf.