Penetrationstest Kosten: Wovon der Preis abhängt und wie Sie Angebote vergleichen
Was kostet ein Pentest? Preistreiber, Preismodelle, Rechenbeispiel mit Personentagen und Tipps, damit Angebote wirklich vergleichbar werden.
Ein Penetrationstest hat keinen festen Marktpreis. Der Preis ergibt sich fast immer aus Personentagen mal Tagessatz plus Nebenkosten für Projektleitung, Bericht und Nachtest. Wer Angebote vergleichen will, muss deshalb nicht Endpreise, sondern den kalkulierten Aufwand, den Testumfang und die Testtiefe nebeneinanderlegen. Die Zahlen in diesem Text sind ausdrücklich Rechenbeispiele und keine Marktpreise.
Was ein Penetrationstest eigentlich ist
Bei einem Penetrationstest (kurz Pentest) versuchen qualifizierte Personen mit Ihrer schriftlichen Erlaubnis, in Ihre Systeme einzudringen, so wie es ein Angreifer tun würde. Ziel ist es, Schwachstellen zu finden, bevor es andere tun. Das Ergebnis ist ein Bericht mit Befunden, Risikobewertung und Empfehlungen. Ein Pentest ist damit mehr als ein automatischer Scan, denn Menschen verketten Schwächen, prüfen Geschäftslogik und bewerten, was ein Fund praktisch bedeutet.
Typische Testarten sind:
- Webanwendungen und Schnittstellen (APIs): Prüfung von Login, Rollenmodell, Eingabevalidierung, Sitzungsverwaltung.
- Externes Netzwerk: Was ist aus dem Internet erreichbar, welche Dienste sind falsch konfiguriert?
- Internes Netzwerk und Active Directory: Was kann ein Angreifer tun, der bereits einen Rechner übernommen hat?
- Mobile Apps, WLAN, Cloud-Konfiguration, Produkte mit Software: jeweils mit eigenem Methodenkatalog.
- Social Engineering und Red Teaming: Phishing, physischer Zugang, mehrstufige Angriffsszenarien, deutlich aufwendiger.
Die wichtigsten Preistreiber
| Preistreiber | Warum er den Aufwand verändert |
|---|---|
| Umfang | Mehr Funktionen, Rollen, IP-Adressen oder Schnittstellen bedeuten mehr Prüfschritte |
| Testtiefe | Black Box (ohne Vorwissen), Grey Box (mit Testzugängen) oder White Box (mit Quellcode oder Dokumentation) |
| Komplexität | Individuell entwickelte Anwendungen mit Geschäftslogik brauchen mehr Zeit als Standardsoftware |
| Zeitfenster | Kurzfristige Termine, Nacht- oder Wochenendtests kosten oft Aufschlag |
| Berichtsform | Management-Zusammenfassung, technische Details, Präsentation, Abstimmungsrunden |
| Nachtest | Prüfung, ob Befunde behoben wurden, wird häufig separat kalkuliert |
| Vorbereitung durch Sie | Gute Dokumentation und Testkonten sparen Zeit des Dienstleisters |
Preismodelle im Überblick
Festpreis für klar abgegrenzten Umfang. Üblich bei Webanwendungen oder externen Netzen. Vorteil: Planbarkeit. Risiko: Wird der Umfang unscharf, entstehen Nachverhandlungen. Klären Sie, was bei Mehraufwand gilt.
Abrechnung nach Aufwand (Time and Material). Sie zahlen tatsächliche Personentage, meist mit Obergrenze. Das ist flexibler, verlangt aber Vertrauen und gute Dokumentation der Tage.
Rahmenvertrag mit Tageskontingent. Sinnvoll, wenn mehrere Tests im Jahr anstehen. Achten Sie darauf, dass ungenutzte Tage nicht verfallen, ohne dass Sie es wissen.
Abo oder kontinuierliches Testen. Einige Anbieter bieten wiederkehrende Tests mit Plattform an. Prüfen Sie, wie viel davon automatisiert ist und wie viel manuelle Arbeit tatsächlich enthalten ist.
Rechenbeispiel (illustrativ)
Angenommen, ein Dienstleister kalkuliert für eine mittelgroße Webanwendung mit zwei Rollen 8 Personentage. Beispielhafte Tagessätze liegen im Rechenmodell bei 1.100 bis 1.800 Euro.
- Untere Spanne: 8 × 1.100 Euro = 8.800 Euro
- Obere Spanne: 8 × 1.800 Euro = 14.400 Euro
- Pauschale für Projektleitung und Bericht, beispielhaft 500 Euro, ergibt 9.300 bis 14.900 Euro.
- Ein Nachtest mit 1,5 Personentagen würde je nach Satz weitere 1.650 bis 2.700 Euro bedeuten.
Diese Werte sind nicht als Preisauskunft zu verstehen. Sie zeigen, wie die Rechnung aufgebaut ist. Mit dem Aufwandsrechner können Sie eigene Annahmen eintragen.
So machen Sie Angebote vergleichbar
- Gemeinsames Leistungsverzeichnis erstellen. Alle Anbieter erhalten dieselbe Beschreibung: Ziele, Systeme, Rollen, Testkonten, Ausschlüsse.
- Personentage und Qualifikation abfragen. Wie viele Tage entfallen auf Testen, Berichtserstellung und Abstimmung? Wer führt den Test durch?
- Methodik prüfen. Anerkannte Vorgehensmodelle wie der OWASP Web Security Testing Guide für Webanwendungen oder die Hinweise des BSI zum Penetrationstest zeigen, dass der Anbieter strukturiert arbeitet.
- Berichtsmuster anfordern. Ein anonymisierter Beispielbericht verrät mehr über Qualität als jede Präsentation.
- Nachtest und Rückfragen klären. Wie lange stehen die Tester nach Berichtsabgabe für Fragen zur Verfügung?
- Auf unrealistisch niedrige Angebote achten. Ein sehr günstiger Preis bei großem Umfang bedeutet oft, dass im Kern nur ein automatischer Scan läuft. Mehr dazu im Beitrag Schwachstellenscan oder Pentest.
Zusatzkosten, die oft vergessen werden
- Interne Aufwände: Testkonten anlegen, Ansprechpartner stellen, Abstimmung mit Hosting und Entwicklung.
- Behebung der Befunde: Die Beseitigung der Schwachstellen kostet meist mehr als der Test selbst.
- Testumgebung: Besser eine produktionsnahe Staging-Umgebung als das Live-System, damit Tests keine Störungen verursachen.
- Genehmigung Dritter: Bei Cloud- und Hostinganbietern sind Tests nur im Rahmen von deren Richtlinien erlaubt.
Häufige Fehler bei der Kostenplanung
- Nur einmal im Jahr zu testen und danach Änderungen an der Anwendung nicht mehr zu prüfen.
- Den Umfang zu groß zu wählen, statt zunächst die kritischsten Systeme zu priorisieren.
- Den Bericht zu bezahlen, aber keine Zeit und kein Budget für die Behebung einzuplanen.
Wann Sie sich beraten lassen sollten
Wenn der Test Nachweise für Kunden, Zertifizierungen oder Aufsichtsbehörden liefern soll, klären Sie vorab, welche Anforderungen dort gelten. Auch bei besonders kritischen Systemen lohnt eine neutrale Beratung durch eine unabhängige Fachperson oder die Informationssicherheitsbeauftragten Ihres Hauses.
Häufige Fragen
Reicht ein günstiger automatisierter Scan statt eines Pentests?
Ein Scan findet bekannte Schwachstellen schnell und regelmäßig, ersetzt aber keine manuelle Prüfung von Berechtigungen, Geschäftslogik und verketteten Angriffen. Beide ergänzen sich.
Wie oft sollte man testen?
Üblich sind Tests nach größeren Änderungen und in regelmäßigen Abständen, häufig jährlich. Maßgeblich sind Risiko, Änderungsrate und Anforderungen von Kunden oder Regulierung.
Wer haftet, wenn beim Test etwas ausfällt?
Das regeln Vertrag und Vorbereitung. Vereinbaren Sie Testfenster, Notfallkontakte, Backups und eine klare Haftungsregel vor Beginn.
Quellen und weiterführende Stellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI) — Publikationen zu Penetrationstests und IT-Grundschutz
- OWASP Foundation — Testleitfäden für Webanwendungen und Schnittstellen
- Allianz für Cyber-Sicherheit — neutrale Informationen für Unternehmen
