Pentest Kosten 2026: Was ein Penetrationstest wirklich kostet

Die Preisspannen 2026 im Überblick

Penetrationstests werden in Personentagen kalkuliert: Je größer der Testumfang und je tiefer die Analyse, desto mehr Tage benötigt das Testteam und desto höher fällt der Projektpreis aus. Daraus ergeben sich am Markt folgende typische Spannen:

In einem seriösen Projektpreis sind neben den eigentlichen Testtagen auch die Vorbereitung, die Erstellung des Berichts und ein Abschlussgespräch zur Einordnung der Ergebnisse enthalten. Fragen Sie im Zweifel nach, welche dieser Bestandteile das Angebot abdeckt: Genau hier unterscheiden sich Angebote, die auf den ersten Blick gleich aussehen.

Diese Faktoren bestimmen den Preis

• Scope: Anzahl und Komplexität der Systeme, Anwendungen und Netzbereiche, die getestet werden sollen. Der Scope ist der mit Abstand größte Preishebel.
• Externer oder interner Test: Ein externer Test prüft die aus dem Internet erreichbare Angriffsfläche. Ein interner Test simuliert einen Angreifer, der bereits im Netzwerk steht, und ist meist aufwendiger.
• Testgegenstand: Webanwendungen mit Rollen- und Rechtesystem oder eine Active-Directory-Umgebung erfordern andere Methodik und mehr Tiefe als ein reiner Infrastrukturtest.
• Reporting-Tiefe: Ein Bericht mit Management-Summary, nachvollziehbaren Einzelbefunden und priorisierten Maßnahmen kostet mehr Erstellungsaufwand als eine automatisch generierte Findings-Liste, ist aber der eigentliche Wert des Tests.
• Re-Test: Die Nachprüfung, ob gefundene Schwachstellen wirksam behoben wurden, wird als eigener Aufwand kalkuliert und sollte von Anfang an eingeplant werden.

Schwachstellenscan oder Pentest? Das häufigste Missverständnis

Der häufigste Grund für scheinbar günstige Angebote: Es wird gar kein Penetrationstest verkauft, sondern ein automatisierter Schwachstellenscan mit anderem Etikett. Beides hat seine Berechtigung, aber es sind grundverschiedene Leistungen:

So läuft ein Penetrationstest ab: 4 Schritte

Ein professioneller Test folgt einem klar strukturierten Ablauf. Eine ausführliche Einführung in Methodik und Nutzen finden Sie in unserem Beitrag Penetrationstest: Schwachstellen erkennen, bevor Angreifer sie ausnutzen.

• Schritt 1, Scoping und Vorbereitung: Gemeinsame Festlegung von Testgegenstand, Zeitfenster, Notfallkontakten und rechtlichem Rahmen. Hier entsteht auch das verbindliche Angebot.
• Schritt 2, Informationsgewinnung und Analyse: Das Testteam sammelt strukturiert Informationen über die Zielsysteme und identifiziert potenzielle Schwachstellen.
• Schritt 3, Kontrollierte Ausnutzung: Gefundene Schwachstellen werden in abgestimmtem Rahmen tatsächlich ausgenutzt, um das reale Risiko zu belegen, ohne den Betrieb zu gefährden.
• Schritt 4, Bericht und Abschlussgespräch: Sie erhalten einen priorisierten Bericht und besprechen die Ergebnisse mit den Testern. Optional folgt nach der Behebung ein Re-Test.

Black Box, Grey Box, White Box: Wie die Testtiefe den Preis beeinflusst

Neben dem Scope bestimmt auch das Wissen, mit dem die Tester starten, den Aufwand und damit den Preis:

• Black Box: Die Tester erhalten vorab keine Informationen und arbeiten wie ein externer Angreifer. Das wirkt realistisch, verbraucht aber viele Testtage allein für die Informationsbeschaffung.
• Grey Box: Die Tester erhalten ausgewählte Informationen, etwa Testzugänge zu einer Anwendung. Für die meisten mittelständischen Projekte das beste Verhältnis aus Realismus und Effizienz.
• White Box: Die Tester arbeiten mit vollem Einblick, etwa in Quellcode oder Architektur. Aufwendiger in der Analyse, dafür mit der höchsten Fehlerabdeckung, sinnvoll für kritische Anwendungen.

Rechtlicher Rahmen: ohne Auftrag kein Test

Ein Penetrationstest ist rechtlich nur zulässig, wenn der Eigentümer der getesteten Systeme ihn ausdrücklich beauftragt. Zum sauberen Projektrahmen gehören eine schriftliche Beauftragung mit klar definiertem Scope, eine Vertraulichkeitsvereinbarung sowie die Abstimmung mit Betreibern betroffener Systeme, etwa dem Hosting-Anbieter. Seriöse Anbieter klären diese Punkte im Scoping, bevor der erste Scan startet. Fehlt dieser Schritt im Angebot, ist das ein deutliches Warnsignal.

Was ein guter Pentest-Bericht enthalten muss

Der Bericht ist das Produkt, für das Sie bezahlen. Prüfen Sie vor der Beauftragung anhand eines Musterberichts, ob folgende Bestandteile enthalten sind:

• Management-Summary: verständliche Risikoeinschätzung für Geschäftsführung und Entscheider, ohne Fachjargon
• Technische Einzelbefunde: jede Schwachstelle mit Nachweis, Reproduktionsschritten und betroffenen Systemen
• Risikobewertung und Priorisierung: welche Befunde zuerst behoben werden müssen und warum
• Konkrete, umsetzbare Empfehlungen statt generischer Textbausteine
• Dokumentation von Scope und Methodik, damit der Test nachvollziehbar und wiederholbar ist
• Eignung als Nachweis gegenüber Auditoren, Versicherern und Aufsichtsbehörden

Pentest als Pflichtnachweis: NIS2 und Cyberversicherung

Penetrationstests sind längst nicht mehr nur eine freiwillige Qualitätsmaßnahme. Die NIS2-Richtlinie verlangt von betroffenen Unternehmen ein Risikomanagement mit wirksamen technischen Maßnahmen, deren Wirksamkeit belegt werden muss. Regelmäßige Sicherheitsprüfungen sind dafür ein anerkannter Baustein.

Auch Cyberversicherer fragen im Antragsprozess zunehmend konkrete Sicherheitsmaßnahmen und Prüfnachweise ab. Ein dokumentierter Penetrationstest verbessert die Position bei Vertragsabschluss und im Schadenfall. Mehr dazu in unserem Beitrag Welche Anforderungen stellen Cyberversicherungen an Unternehmen?.

So setzen Sie Ihr Budget sinnvoll ein

• Scope schärfen: Testen Sie zuerst die Systeme mit dem größten Risiko, etwa alles aus dem Internet Erreichbare, statt alles auf einmal.
• Vorarbeiten erledigen: Ein gepflegtes Asset-Inventar und eingespieltes Patch-Management sorgen dafür, dass der Test echte Erkenntnisse liefert statt bekannter Hausaufgaben.
• Re-Test einplanen: Erst die Nachprüfung belegt, dass Schwachstellen wirklich geschlossen sind.
• Mit kontinuierlicher Überwachung kombinieren: Ein Pentest ist eine Momentaufnahme. Dauerhafte Sicherheit entsteht im Zusammenspiel mit Vulnerability Management und Sicherheitsanalysen und einem Managed SOC.

Häufige Fragen zu Pentest-Kosten

Unverbindliches Angebot anfordern

Wie ein Penetrationstest bei uns abläuft, was der Bericht enthält und Antworten auf häufige Fragen finden Sie auf unserer Seite Penetrationstest für den Mittelstand.

Sie planen einen Penetrationstest oder wollen ein vorliegendes Angebot einordnen? Beschreiben Sie uns kurz Ihre Umgebung über unsere Kontaktseite: Wir melden uns innerhalb von 4 Arbeitsstunden (werktags 8-18 Uhr) bei Ihnen und erstellen ein unverbindliches, transparent kalkuliertes Angebot. Einen Überblick über unsere weiteren Leistungen finden Sie auf der Paketübersicht.