PENTEST & SCHWACHSTELLEN · EVERGREEN
Drei Angebote, drei Welten: 1.900 Euro, 8.500 Euro, 24.000 Euro – für
scheinbar dieselbe Leistung “Penetrationstest”. Wer nur die Endsumme
vergleicht, kauft mit hoher Wahrscheinlichkeit das Falsche. Denn hinter
den Preisunterschieden stecken fast immer Unterschiede im Testumfang –
oder gar keine echten Tests.
Kurzantwort
Ein professioneller Penetrationstest kostet in Deutschland je nach
Umfang typischerweise 3.000 bis 25.000 Euro; für kleine und mittlere
Unternehmen liegen fokussierte Projekte häufig zwischen 3.000 und 15.000
Euro. Kalkuliert wird nach Personentagen: Seriöse Tagessätze bewegen
sich zwischen etwa 1.200 und 2.000 Euro, ein typisches Projekt umfasst 5
bis 10 Testtage plus Berichtserstellung. Angebote deutlich unter 3.000
Euro sind fast immer automatisierte Schwachstellenscans im
Pentest-Etikett – nützlich, aber etwas grundlegend anderes.
Wie sich der Preis
zusammensetzt
Die Formel ist simpel: Personentage × Tagessatz. Die Personentage
bestimmt der Scope:
- Externer Netzwerk-Pentest (Internet-erreichbare
Systeme wie VPN, Mail, Web): oft 3.000–8.000 € - Kleine bis mittlere Webanwendung (eine Rolle,
überschaubare Funktionen): etwa 3.000–8.000 €; mit mehreren Rollen und
APIs 8.000–20.000 € - Internes Netzwerk / Active Directory (Was kann ein
Angreifer, der schon drin ist?): häufig 8.000–20.000 € - Kombinationen und komplexe Umgebungen:
15.000–30.000 € und darüber; Red-Team-Kampagnen spielen preislich in
einer eigenen Liga
Dazu kommen Posten, die im Kleingedruckten entscheiden: Berichtstiefe
(Management-Summary plus technisch reproduzierbare Befunde),
Abschlussgespräch – und der Retest nach Behebung der
Funde, der oft separat berechnet wird (üblich sind grob 5–20 % des
Testpreises), aber erst den Nachweis liefert, dass die Lücken wirklich
zu sind.
Warnsignale:
Woran Sie Mogelpackungen erkennen
- “Pentest ab 999 €”: Rechnen Sie nach – bei seriösen
Tagessätzen ist das kein Personentag manueller Arbeit. Dahinter steckt
fast immer ein automatisierter Scan. - Kein Scoping-Gespräch: Wer einen Festpreis nennt,
ohne Ihre Umgebung zu kennen, testet nach Schema, nicht nach
Risiko. - Kein Musterbericht: Der Bericht ist das Produkt.
Wer keinen zeigen kann oder nur Toollisten liefert, liefert keinen
Erkenntnisgewinn. - “100 % aller Lücken finden”: Unseriös – ein Pentest
ist eine risikoorientierte Stichprobe mit Tiefgang, keine
Vollgarantie. - Retest nicht erwähnt: Ohne Nachprüfung bleibt der
Bericht eine Momentaufnahme ohne Abschluss.
Scan oder Pentest –
was brauchen Sie wirklich?
Ein Schwachstellenscan prüft automatisiert gegen
bekannte Lücken – günstig, schnell, ideal als regelmäßige Routine. Ein
Pentest lässt Menschen denken wie Angreifer: Er
verkettet unscheinbare Schwächen zum echten Einbruchspfad und beweist,
wie weit jemand käme. Die ehrliche Empfehlung für den Mittelstand:
kontinuierliches Schwachstellenmanagement als Fundament, Pentests
gezielt für die kritischen Angriffsflächen – Außenperimeter, zentrale
Anwendungen, Active Directory. Anlässe wie Kundenanforderungen,
ISO-27001-Nachweise oder größere Umbauten geben den Takt vor.
Häufige Fragen (FAQ)
Wie oft sollten wir testen? Üblich ist jährlich für
die kritischen Bereiche sowie nach wesentlichen Änderungen (neue
Anwendung, Migration, Umbau am Perimeter). Dazwischen trägt das laufende
Schwachstellenmanagement.
Black Box, Grey Box oder White Box? Für KMU ist Grey
Box (Tester erhält Basisinformationen und ggf. Testzugänge) meist das
beste Verhältnis aus Realismus und Effizienz – reine Black-Box-Ansätze
verbrennen Budget in der Aufklärungsphase.
Können wir das nicht intern machen? Werkzeuge ja,
Perspektive nein: Der Wert liegt im unabhängigen Blick und in
Angriffserfahrung aus vielen Umgebungen. Interne Teams sind zudem
betriebsblind für die eigenen Annahmen.
Was passiert mit den Ergebnissen? Der Bericht gehört
Ihnen und ist Vertrauenssache – Vertraulichkeitsvereinbarung, sichere
Übergabe und klare Löschfristen beim Dienstleister sind Pflicht, nicht
Kür.
Fazit
Pentest-Preise sind kein Mysterium: Personentage mal Tagessatz, und
die Personentage bestimmt Ihr Scope. Wer unter 3.000 Euro einen
“vollständigen Pentest” verspricht, verkauft einen Scan; wer ohne
Scoping-Gespräch anbietet, testet am Risiko vorbei. Klug eingekauft ist
ein Pentest eine der rentabelsten Sicherheitsausgaben überhaupt – er
kostet einen Bruchteil dessen, was der Vorfall kostet, den er
verhindert. Ob als Kundenanforderung, Audit-Baustein oder
Standortbestimmung: Entscheidend ist der passende Scope, nicht der
niedrigste Preis.
UBESAFE definiert mit Ihnen den richtigen Test-Scope und liefert
Pentests mit belastbarem Bericht und Retest. Kostenloses
Erstgespräch.