Was kostet ein Penetrationstest? Tagessätze, Kostenfaktoren und realistische Spannen

„Was kostet ein Penetrationstest?“ lässt sich nicht mit einer Zahl beantworten, aber mit nachvollziehbaren Faktoren. Der Preis variiert erheblich mit Umfang und Komplexität. Gemessen an den Kosten eines erfolgreichen Angriffs ist ein Pentest dennoch fast immer die günstigere Investition.

Pentest vs. Schwachstellenscan

Vorab die wichtigste Abgrenzung: Ein Penetrationstest besteht aus zahlreichen manuellen Schritten durch erfahrene Tester, anders als ein automatisierter Scan. Genau das treibt den Preis, und genau hier lauert die häufigste Mogelpackung: Ein verdächtig günstiger „Pentest“ ist oft nur ein umetikettierter Schwachstellenscan.

Der Unterschied ist kein Etikett, sondern eine Beweisfrage. Ein Scan meldet, was verwundbar sein könnte. Ein Pentest zeigt, wie weit jemand damit tatsächlich kommt. Die Abgrenzung im Detail steht in Schwachstellenscan: Was er leistet.

Die Kostenfaktoren

• Größe und Komplexität des Testobjekts
• Informationsbasis (Black-, Grey-, White-Box) und Aggressivität des Tests
• Kritikalität der Systeme und Compliance-Anforderungen
• Sonderwünsche: Präsentationen vor Ort, Tests außerhalb der Geschäftszeiten
• Qualifikation und Erfahrung der eingesetzten Tester

Zwei davon lohnen eine Erläuterung, weil sie in Angeboten oft falsch verstanden werden.

Die Informationsbasis wirkt anders, als viele erwarten. Ein Black-Box-Test ohne Vorwissen wirkt realistischer und ist deshalb scheinbar wertvoller. Tatsächlich verbringt der Tester einen erheblichen Teil der bezahlten Zeit damit, Dinge herauszufinden, die Sie ihm hätten sagen können. Ein Grey-Box-Ansatz (Zugangsdaten, Architekturübersicht, Anwendungsdokumentation) liefert bei gleichem Budget in der Regel deutlich mehr Tiefe, weil die Zeit in die Prüfung fließt statt in die Aufklärung.

Compliance-Anforderungen kosten unabhängig vom Testumfang. Wenn ein Ergebnis gegenüber Aufsicht, Kunden oder Zertifizierern verwendbar sein muss, kommen Dokumentationstiefe, Nachvollziehbarkeit der Methodik und ein formaler Nachweis hinzu. Das ist kein Aufschlag für dasselbe Ergebnis, sondern zusätzliche Arbeit an einem anderen Artefakt.

Was der Umfang konkret bedeutet

Die folgenden Aufwände sind Erfahrungswerte aus dem Markt und ausdrücklich Orientierungsgrößen: jeder seriöse Preis entsteht erst nach einer Scope-Definition.

Der häufigste Fehler bei der Aufwandsschätzung von Webanwendungen: Gezählt werden Seiten. Relevant sind Rollen und Funktionen. Eine Anwendung mit fünf Benutzerrollen muss potenziell fünfmal auf Zugriffskontrollfehler geprüft werden, das treibt den Aufwand stärker als jede Seitenanzahl.

Realistische Spannen

Als Marktorientierung: Tagessätze beginnen bei rund 1.000 € und steigen mit Spezialisierung und Erfahrung deutlich an. Spezialisierte Bereiche (Cloud, mobile Anwendungen, industrielle Steuerungen, Red Teaming) liegen am oberen Ende.

Bei uns beginnt ein Penetrationstest bei 4.480 € pro Assessment für ein klar umrissenes Testobjekt; größere Umfänge und mehrstufige Szenarien liegen entsprechend höher. Die aktuellen Stufen finden Sie auf der Seite Pentesting & Red Teaming.

Diese Zahlen sind Anhaltspunkte, keine Festpreise, der seriöse Weg führt immer über eine Scope-Definition, aus der sich der Aufwand ableitet.

Was im Preis enthalten sein sollte und oft nicht ist

Hier entstehen die unangenehmen Überraschungen. Klären Sie diese fünf Punkte vor der Beauftragung:

Der Retest. Nach der Behebung muss jemand prüfen, ob die Lücken tatsächlich geschlossen sind. Ist ein Retest im Preis enthalten, und bis wann? Ohne ihn haben Sie einen Befundbericht, aber keinen Nachweis der Behebung und genau der wird verlangt.

Die Berichtsqualität. Ein brauchbarer Bericht enthält eine belastbare Zusammenfassung für die Geschäftsführung, technisch reproduzierbare Schritte je Befund, Belege und konkrete Empfehlungen. Ein exportierter Werkzeug-Report mit CVSS-Werten erfüllt das nicht. Lassen Sie sich ein anonymisiertes Beispiel zeigen, das trennt Anbieter zuverlässiger als jede Referenzliste.

Das Abschlussgespräch. Wer beantwortet die Rückfragen Ihrer Entwickler und Administratoren, wenn sie an die Behebung gehen? Ist das enthalten oder wird es abgerechnet?

Die Nachweise. Werden Belege so aufbereitet, dass Sie sie gegenüber Dritten verwenden können und wie lange werden sie beim Dienstleister aufbewahrt?

Die Testtiefe pro Tag. Fünf Tage bei einem Anbieter sind nicht fünf Tage bei einem anderen. Fragen Sie, wie viel der Zeit auf manuelle Prüfung entfällt und wie viel auf Werkzeugläufe und Berichtserstellung.

Deutlich darüber liegt eine Red-Team-Operation, weil dort Wochen statt Tage anfallen und mehrere Vektoren parallel bespielt werden. Am anderen Ende steht das Bug-Bounty-Modell mit erfolgsabhängiger Vergütung, das andere Stärken und andere Grenzen hat.

Fünf Warnzeichen

1. Ein Festpreis ohne Scope-Gespräch. Wer den Aufwand nennt, bevor er das Testobjekt kennt, verkauft ein Produkt, keine Prüfung.
2. Auffällig kurze Laufzeit. Ein „Pentest“ einer Webanwendung an einem Tag ist ein Scan mit Bericht.
3. Keine benannte Methodik. Anerkannte Vorgehensmodelle wie PTES, OWASP oder das Vorgehen des BSI sollten benannt und erläutert werden.
4. Keine Exploit-Phase. Wenn im Angebot nirgends steht, dass Schwachstellen tatsächlich verifiziert werden, geschieht es vermutlich nicht.
5. Kein Bericht vorab einsehbar. Wer kein anonymisiertes Muster zeigt, hat meist einen Grund dafür.

Wie Sie Kosten sinnvoll steuern

• Scope schärfen: Nicht alles muss jedes Jahr getestet werden, priorisieren Sie nach Risiko. Welche Ereignisse einen außerplanmäßigen Test rechtfertigen, steht in Wie oft sollten Unternehmen Penetrationstests durchführen?.
• Vorbereitung ernst nehmen: Zugänge, Testdaten, Ansprechpartner und Freigaben vor Testbeginn bereitstellen. Verlorene Tage durch fehlende Zugänge bezahlen Sie trotzdem.
• Grey Box statt Black Box, wo kein Realismus-Argument dagegensteht: mehr Prüfung pro investiertem Euro.
• Kontinuierlich statt nur periodisch: Wo es passt, ergänzt Continuous Threat Exposure Management den punktuellen Test und verteilt den Aufwand sinnvoller.
• Qualität vor Preis: Der billigste Anbieter liefert oft den wertlosesten Report.

Was in eine Anfrage gehört

Je präziser die Anfrage, desto belastbarer das Angebot und desto weniger Puffer kalkuliert der Anbieter:

• Testobjekt und Abgrenzung: welche Systeme, Domains, Anwendungen und was ausdrücklich nicht
• Anzahl der Benutzerrollen bei Anwendungen
• Informationsbasis: welche Zugänge und Unterlagen Sie bereitstellen können
• Zeitfenster und ob außerhalb der Geschäftszeiten getestet werden muss
• Anlass: Nachweispflicht, Go-live, Kundenanforderung oder eigene Sicherheitsziele
• Erwartete Ergebnisse: Bericht, Präsentation, Retest, Nachweise

Wie Cloud Cape unterstützt

Wir definieren den Scope ehrlich, nennen den Aufwand transparent und liefern exploit-verifizierte Befunde mit vorstandstauglichem Report: keine umetikettierten Scans. Wo kontinuierliche Validierung mehr Wert schafft als der Jahrestest, verbinden wir beides über unser Continuous Threat Exposure Management.

Sprechen Sie mit uns über Pentesting & Red Teaming. Wir machen aus Ihrem Budget den größtmöglichen Erkenntnisgewinn.