PENTEST & SCHWACHSTELLEN · EVERGREEN
Drei Angebote, drei Welten: 1.900 Euro, 8.500 Euro, 24.000 Euro – für
scheinbar dieselbe Leistung “Penetrationstest”. Wer nur die Endsumme
vergleicht, kauft mit hoher Wahrscheinlichkeit das Falsche. Denn hinter
den Preisunterschieden stecken fast immer Unterschiede im Testumfang –
oder gar keine echten Tests.
Kurzantwort
Ein professioneller Penetrationstest kostet in Deutschland je nach
Umfang typischerweise 3.000 bis 25.000 Euro; für kleine und mittlere
Unternehmen liegen fokussierte Projekte häufig zwischen 3.000 und 15.000
Euro. Kalkuliert wird nach Personentagen: Seriöse Tagessätze bewegen
sich zwischen etwa 1.200 und 2.000 Euro, ein typisches Projekt umfasst 5
bis 10 Testtage plus Berichtserstellung. Pauschalangebote deutlich unter 3.000 Euro für “die ganze IT” sind fast immer Schwachstellenscans mit Pentest-Etikett. Etwas anderes ist der automatisierte Pentest: Er geht tiefer ins Netzwerk als ein Scan, kostet aber nur einen Bruchteil eines manuellen Projekts – mehr dazu weiter unten.
Wie sich der Preis
zusammensetzt
Die Formel ist simpel: Personentage × Tagessatz. Die Personentage
bestimmt der Scope:
- Externer Netzwerk-Pentest (Internet-erreichbare
Systeme wie VPN, Mail, Web): oft 3.000–8.000 € - Kleine bis mittlere Webanwendung (eine Rolle,
überschaubare Funktionen): etwa 3.000–8.000 €; mit mehreren Rollen und
APIs 8.000–20.000 € - Internes Netzwerk / Active Directory (Was kann ein
Angreifer, der schon drin ist?): häufig 8.000–20.000 € - Kombinationen und komplexe Umgebungen:
15.000–30.000 € und darüber; Red-Team-Kampagnen spielen preislich in
einer eigenen Liga
Dazu kommen Posten, die im Kleingedruckten entscheiden: Berichtstiefe
(Management-Summary plus technisch reproduzierbare Befunde),
Abschlussgespräch – und der Retest nach Behebung der
Funde, der oft separat berechnet wird (üblich sind grob 5–20 % des
Testpreises), aber erst den Nachweis liefert, dass die Lücken wirklich
zu sind.
Warnsignale:
Woran Sie Mogelpackungen erkennen
- “Pentest ab 999 €”: Rechnen Sie nach – bei seriösen
Tagessätzen ist das kein Personentag manueller Arbeit. Dahinter steckt Automatisierung – das ist kein Mangel, solange der Anbieter offenlegt, was automatisiert ist und wie tief der Test ins Netz geht. - Kein Scoping-Gespräch: Wer einen Festpreis nennt,
ohne Ihre Umgebung zu kennen, testet nach Schema, nicht nach
Risiko. - Kein Musterbericht: Der Bericht ist das Produkt.
Wer keinen zeigen kann oder nur Toollisten liefert, liefert keinen
Erkenntnisgewinn. - “100 % aller Lücken finden”: Unseriös – ein Pentest
ist eine risikoorientierte Stichprobe mit Tiefgang, keine
Vollgarantie. - Retest nicht erwähnt: Ohne Nachprüfung bleibt der
Bericht eine Momentaufnahme ohne Abschluss.
Scan oder Pentest –
was brauchen Sie wirklich?
Ein Schwachstellenscan prüft automatisiert gegen
bekannte Lücken – günstig, schnell, ideal als regelmäßige Routine. Ein
Pentest lässt einen Tester denken wie ein Angreifer: Er verkettet unscheinbare Schwächen zum echten Einbruchspfad und beweist,
wie weit jemand käme. Die ehrliche Empfehlung für den Mittelstand:
kontinuierliches Schwachstellenmanagement als Fundament, Pentests
gezielt für die kritischen Angriffsflächen – Außenperimeter, zentrale
Anwendungen, Active Directory. Anlässe wie Kundenanforderungen,
ISO-27001-Nachweise oder größere Umbauten geben den Takt vor.
Die Mitte: automatisierter Pentest
Zwischen Scan und manuellem Pentest liegt ein dritter Weg, der im Mittelstand oft das beste Verhältnis aus Tiefe und Kosten bietet: der automatisierte Pentest. Er prüft nicht nur bekannte Lücken von außen, sondern geht automatisiert tiefer ins interne Netzwerk und zeigt, wie weit ein Angreifer dort käme. Weil die Maschine die Fleißarbeit übernimmt, kostet er einen Bruchteil eines manuellen Projekts – und lässt sich regelmäßig wiederholen.
Darin liegt der zweite Vorteil: Ein regelmäßiger Test macht Schwankungen sichtbar – was ein Update geschlossen und was eine Änderung neu geöffnet hat. Bei Bedarf ergänzen Zusatzmodule, was kein Scanner sieht: physische Sicherheit, Prozesse und die Konfiguration von Servern und Clients. So arbeiten wir bei UBESAFE – als Einzeltest nach Umfang und Netzgröße ab 1.500 € netto – bei großen Netzwerken, wo entsprechend mehr zu klären, zu bewerten und aufzubereiten ist, im Bereich 3.000 bis 5.000 € – oder laufend ab 380 € netto im Monat, mit regelmäßigem Bericht und Maßnahmenplan. Details zeigt die Seite Penetrationstest.
Häufige Fragen (FAQ)
Wie oft sollten wir testen? Üblich ist jährlich für
die kritischen Bereiche sowie nach wesentlichen Änderungen (neue
Anwendung, Migration, Umbau am Perimeter). Dazwischen trägt das laufende
Schwachstellenmanagement.
Black Box, Grey Box oder White Box? Für KMU ist Grey
Box (Tester erhält Basisinformationen und ggf. Testzugänge) meist das
beste Verhältnis aus Realismus und Effizienz – reine Black-Box-Ansätze
verbrennen Budget in der Aufklärungsphase.
Können wir das nicht intern machen? Werkzeuge ja,
Perspektive nein: Der Wert liegt im unabhängigen Blick und in
Angriffserfahrung aus vielen Umgebungen. Interne Teams sind zudem
betriebsblind für die eigenen Annahmen.
Was passiert mit den Ergebnissen? Der Bericht gehört
Ihnen und ist Vertrauenssache – Vertraulichkeitsvereinbarung, sichere
Übergabe und klare Löschfristen beim Dienstleister sind Pflicht, nicht
Kür.
Fazit
Pentest-Preise sind kein Mysterium: Personentage mal Tagessatz, und
die Personentage bestimmt Ihr Scope. Wer unter 3.000 Euro einen “vollständigen manuellen Pentest” verspricht, verkauft einen Scan; wer einen automatisierten Pentest anbietet, sollte sagen, wie tief er geht; wer ohne
Scoping-Gespräch anbietet, testet am Risiko vorbei. Klug eingekauft ist
ein Pentest eine der rentabelsten Sicherheitsausgaben überhaupt – er
kostet einen Bruchteil dessen, was der Vorfall kostet, den er
verhindert. Ob als Kundenanforderung, Audit-Baustein oder
Standortbestimmung: Entscheidend ist der passende Scope, nicht der
niedrigste Preis.
UBESAFE definiert mit Ihnen den richtigen Test-Scope und liefert
Pentests mit belastbarem Bericht und Retest. Kostenloses
Erstgespräch.