Was kostet ein Penetrationstest? Preise, Faktoren und Angebote vergleichen

Ein Dienstleister bietet dir einen Penetrationstest für 2.000 Euro an, ein anderer ruft für einen scheinbar ähnlichen Auftrag 12.000 Euro auf. Beide Angebote nennen Begriffe wie „Schwachstellenanalyse“, „Webanwendung“ und „Abschlussbericht“. Trotzdem können die Leistungen grundverschieden sein. Wer nur den Endpreis vergleicht, riskiert einen Test, der kritische Angriffspfade übersieht oder dessen Ergebnisse das Team nicht sinnvoll bearbeiten kann.

Die kurze Antwort auf die Frage „Was kostet ein Penetrationstest?“ lautet: Es kommt auf den Prüfauftrag an. Ein seriöser Preis entsteht aus dem tatsächlichen Aufwand, dem vereinbarten Scope, der Testmethode und der Qualität von Auswertung und Bericht. Bei uns sehen wir regelmäßig, dass Unternehmen zunächst eine Zahl erwarten, aber erst im gemeinsamen Scoping erkennen, welche Systeme, Schnittstellen und Geschäftsprozesse tatsächlich relevant sind.

Infografik zu Was kostet ein Penetrationstest? Preise, Faktoren und Angebote vergleichen (KI-generiert).

Welche Preise für Penetrationstests sind üblich?

Als grobe Orientierung bewegen sich einfache, klar abgegrenzte Prüfungen häufig im unteren bis mittleren vierstelligen Bereich. Komplexere Umgebungen, mehrere Anwendungen, interne Netze oder Tests mit hohem manuellen Anteil können schnell einen mittleren fünfstelligen Betrag erreichen.

Prüfgegenstand	Häufige grobe Preisspanne	Typische Voraussetzung
Kleine externe Angriffsfläche	etwa 3.000 bis 8.000 Euro	Wenige öffentlich erreichbare Systeme, klarer Scope
Einzelne Webanwendung	etwa 4.000 bis 10.000 Euro	Begrenzter Funktionsumfang und definierte Rollen
Internes Netzwerk	etwa 5.000 bis 15.000 Euro	Bekannte Netze, abgestimmte Testzugänge
Mehrere Anwendungen oder hybride Umgebung	etwa 15.000 bis 50.000 Euro oder mehr	Viele Systeme, Schnittstellen und Berechtigungen
Red-Team-nahe Prüfung	individuell kalkuliert	Mehrstufige Angriffssimulation mit klaren Regeln

Diese Spannen sind keine Festpreise. Sie dienen dir nur zur ersten Einordnung. Ein kleiner Onlineshop mit einer komplexen Zahlungsanbindung kann mehr Aufwand verursachen als eine größere, technisch einfache Website. Ebenso ist ein internes Netzwerk mit vielen veralteten Systemen oft aufwendiger als ein sauber dokumentiertes, modernes Umfeld.

Auffällig niedrige Angebote solltest du nicht automatisch ausschließen. Du solltest aber genau prüfen, was enthalten ist. Manchmal handelt es sich eher um einen automatisierten Scan mit kurzer Auswertung als um einen Penetrationstest mit manueller Recherche, Angriffsketten und fachlicher Bewertung.

Der Scope entscheidet stärker als die Zahl der IP-Adressen

Der Scope beschreibt, was geprüft werden darf und soll. Er ist die wichtigste Grundlage für ein belastbares Angebot. Dazu gehören nicht nur Domains, IP-Adressen oder Anwendungen, sondern auch Funktionen, Benutzerrollen, APIs, Cloud-Dienste und Drittanbieteranbindungen.

Ein Beispiel: „Test unserer Webanwendung“ ist noch kein ausreichender Scope. Für eine sinnvolle Kalkulation muss klar sein:

• Welche URLs, Subdomains und APIs gehören dazu?
• Welche Benutzerrollen gibt es?
• Sind registrierte Nutzer, Administratoren oder Support-Mitarbeitende im Scope?
• Gibt es mobile Apps, externe Schnittstellen oder Single Sign-on?
• Dürfen Testdaten verändert, Dateien hochgeladen oder E-Mails versendet werden?
• Welche Systeme sind ausdrücklich ausgeschlossen?
• Gibt es Zeitfenster, in denen keine produktiven Tests stattfinden dürfen?

Je unschärfer der Scope, desto größer ist das Risiko für Nachträge, Missverständnisse oder Lücken. Ein seriöser Anbieter fragt nach, statt eine pauschale Zahl ohne technische Rückfragen zu nennen.

Auch die Anzahl der Systeme ist nur ein Teil der Rechnung. Zehn nahezu identische, sauber segmentierte Systeme können effizient prüfbar sein. Drei unterschiedliche Anwendungen mit eigener Authentifizierung, individuellen Schnittstellen und komplexen Geschäftslogiken erfordern deutlich mehr manuelle Arbeit.

Testtiefe: Scannergebnisse sind nicht genug

Automatisierte Werkzeuge sind unverzichtbar. Sie helfen dabei, bekannte Schwachstellen, Fehlkonfigurationen und auffällige Dienste zügig zu identifizieren. Ein Penetrationstest wird aber erst durch die manuelle Prüfung wertvoll.

Ein erfahrenes Testteam prüft beispielsweise, ob einzelne Schwächen zu einem realistischen Angriffspfad kombiniert werden können. Es versucht, Berechtigungen auszuweiten, Zugriffe auf sensible Daten nachzuvollziehen oder Sicherheitskontrollen zu umgehen, soweit dies im Auftrag erlaubt ist. Gerade solche Zusammenhänge tauchen in einem reinen Schwachstellenscan oft nicht auf.

Frage deshalb im Angebot konkret nach:

• Welche manuellen Prüfungen sind vorgesehen?
• Werden Geschäftslogik und Berechtigungskonzepte getestet?
• Prüft das Team APIs, Datei-Uploads, Sessions und Authentifizierung?
• Werden gefundene Schwachstellen verifiziert oder nur aus Tools übernommen?
• Gibt es eine Bewertung der tatsächlichen Ausnutzbarkeit?
• Werden Angriffsketten dokumentiert?

Ein günstiger Scan kann als regelmäßige Kontrollmaßnahme sinnvoll sein. Er ersetzt jedoch keinen fundierten Penetrationstest, wenn du wissen musst, ob Angreifer tatsächlich in deine Systeme eindringen oder kritische Daten erreichen können.

Blackbox, Graybox oder Whitebox: Wie viel Wissen bekommt das Testteam?

Die gewählte Testmethode beeinflusst den Aufwand erheblich. Sie legt fest, mit welchen Informationen das Testteam startet.

Methode	Ausgangslage	Einfluss auf Aufwand
Blackbox	Keine oder kaum Vorabinformationen	Mehr Rechercheaufwand, nahe an externer Angreiferperspektive
Graybox	Begrenzte Informationen oder Testzugänge	Gute Balance aus Realismus und effizienter Prüfung
Whitebox	Umfangreiche Unterlagen, Quellcode oder administrative Zugänge	Tiefere Prüfung möglich, weniger Zeit für Grundlagenrecherche

Ein Blackbox-Test ist nicht automatisch besser. Wenn dein Ziel darin besteht, eine neue Webanwendung vor dem Go-live möglichst gründlich zu prüfen, kann ein Whitebox- oder Graybox-Ansatz deutlich mehr Sicherheitswert liefern. Das Team kann sich auf komplexe Fehler konzentrieren, statt einen großen Teil der Zeit für die Erkundung offensichtlicher Strukturen zu verwenden.

Umgekehrt ist ein Blackbox-Test passend, wenn du wissen willst, was ein externer Angreifer ohne Insiderwissen über deine öffentlich erreichbare Umgebung herausfinden kann. Wichtig ist, dass Methode und Ziel zusammenpassen.

Retest, Bericht und Kommunikation gehören in den Preis

Der eigentliche Testtag ist nur ein Teil der Leistung. Ein guter Bericht benötigt Zeit. Er sollte technische Details für dein IT-Team und eine verständliche Management-Zusammenfassung enthalten. Zu jeder Feststellung gehören idealerweise eine nachvollziehbare Beschreibung, die Auswirkung, ein Risiko, Hinweise zur Behebung und ausreichend Kontext zur Priorisierung.

Achte darauf, ob folgende Leistungen im Angebot enthalten sind:

• Kick-off und Scoping-Gespräch
• Abstimmung der Testregeln und Notfallkontakte
• Laufende Kommunikation bei kritischen Funden
• Technischer Bericht mit reproduzierbaren Nachweisen
• Management-Zusammenfassung
• Abschlussgespräch zur Erläuterung der Ergebnisse
• Retest nach der Behebung vereinbarter Schwachstellen
• Klärungsfragen nach Übergabe des Berichts

Ein Retest ist besonders wichtig, wenn du Maßnahmen nachweisen oder sicherstellen möchtest, dass eine Korrektur nicht nur oberflächlich wirkt. Kläre vorab, wie viele Findings geprüft werden, in welchem Zeitraum der Retest stattfinden muss und ob er im Festpreis enthalten ist.

Erfahrung des Teams ist ein Preisfaktor mit Sicherheitswirkung

Ein Penetrationstest ist keine reine Werkzeugaufgabe. Erfahrene Testerinnen und Tester erkennen ungewöhnliche Konstellationen, formulieren Hypothesen und bewerten technische Befunde im Kontext deiner Umgebung. Sie wissen außerdem, wann ein Test abgebrochen, abgestimmt oder besonders vorsichtig durchgeführt werden muss.

Das schlägt sich im Preis nieder, kann aber spätere Kosten reduzieren. Ein unklar dokumentierter oder fachlich schwacher Befund bindet interne Ressourcen, ohne dass daraus eine wirksame Verbesserung entsteht. Frage daher nach der Qualifikation des Teams, den Prüfmethoden und der Erfahrung mit vergleichbaren Technologien. Referenzen können hilfreich sein, ersetzen aber keine präzise Leistungsbeschreibung.

Passende Seminare und Termine findest du bei uns auf cmt.de.

Preismodelle richtig einordnen

In der Praxis begegnen dir vor allem drei Modelle:

• Festpreis für einen klar definierten Scope
• Abrechnung nach Tagessätzen und tatsächlichem Aufwand
• Mischmodell mit Festpreis für den Kernauftrag und zusätzlichem Budget für Erweiterungen

Ein Festpreis bietet Planungssicherheit, wenn Umfang, Methode und Ergebnisse sauber beschrieben sind. Bei einem unklaren oder sich schnell verändernden Scope kann eine Abrechnung nach Aufwand sinnvoller sein. Dann brauchst du allerdings transparente Tagessätze, eine Aufwandsschätzung und eine klare Regel, ab wann zusätzliche Arbeiten freigegeben werden müssen.

Pauschalangebote sind dann problematisch, wenn nicht erkennbar ist, wie viele Prüftage, welche Systeme und welche Testtiefe dahinterstehen. Vergleiche deshalb nie nur eine Angebotszeile wie „Pentest Webanwendung“.

Checkliste für den seriösen Angebotsvergleich

Lege die Angebote nebeneinander und prüfe diese Punkte:

• Ist der Scope mit Systemen, Anwendungen, Rollen und Schnittstellen konkret benannt?
• Ist klar, ob produktive Systeme geprüft werden und welche Testregeln gelten?
• Sind Blackbox, Graybox oder Whitebox eindeutig beschrieben?
• Werden manuelle Tests und Angriffsketten ausdrücklich genannt?
• Ist der Umfang des Berichts nachvollziehbar?
• Sind Abschlussgespräch und Retest enthalten oder separat kalkuliert?
• Gibt es Ausschlüsse, Annahmen oder Begrenzungen bei der Anzahl der Findings?
• Ist geregelt, wie mit kritischen Funden während des Tests umgegangen wird?
• Sind zusätzliche Kosten und Freigabeprozesse transparent?
• Passt die Erfahrung des Teams zu deiner Technologie und deinem Ziel?

Fazit: Der beste Penetrationstest ist nicht der billigste, sondern der passende

Ein Penetrationstest kostet so viel, wie eine sorgfältige Prüfung deines konkreten Risikos erfordert. Ein niedriger Preis kann angemessen sein, wenn Scope und Testziel klein und klar sind. Er ist ein Warnsignal, wenn umfangreiche Systeme, tiefe manuelle Tests, ein belastbarer Bericht und ein Retest versprochen werden, ohne dass der Aufwand erkennbar wird.

Definiere zuerst, was du schützen möchtest und welche Fragen der Test beantworten soll. Vergleiche danach Leistungsumfang, Testtiefe, Kommunikation und Berichtqualität. So kaufst du nicht einfach einen Sicherheitscheck ein, sondern eine Prüfung, mit der dein Team Risiken nachvollziehbar reduzieren kann.