Penetrationstest: Ablauf, Kosten, Anbieter
Ein Penetrationstest ist der kontrollierte Versuch, in Ihre Systeme einzudringen – durchgeführt von Fachleuten, mit Ihrer schriftlichen Erlaubnis und dem Ziel, Lücken zu finden, bevor andere es tun. Das klingt eindeutig, wird aber im Markt sehr unterschiedlich geliefert: vom automatisierten Scan mit schickem Bericht bis zur wochenlangen manuellen Prüfung. Dieser Artikel zeigt, was ein Pentest leistet und was nicht, wann er faktisch erforderlich wird, wie der Ablauf aussieht, was er kostet und woran Sie einen guten Anbieter erkennen.
Was ein Penetrationstest ist – und was nicht
Die wichtigste Abgrenzung überhaupt, weil im Markt beides als Pentest verkauft wird.
| Schwachstellenscan | Penetrationstest | |
|---|---|---|
| Vorgehen | automatisiert, werkzeuggestützt | manuell, mit Werkzeugunterstützung |
| Findet | bekannte Lücken, veraltete Versionen, Fehlkonfiguration | zusätzlich Logikfehler, Rechteprobleme, Verkettungen |
| Falschmeldungen | viele | geprüft und aussortiert |
| Ausnutzung | nein, nur Hinweis | ja, kontrolliert bis zum Nachweis |
| Dauer | Stunden | Tage bis Wochen |
| Kosten | einige Hundert bis wenige Tausend Euro | mittlerer vierstelliger bis fünfstelliger Bereich |
| Wiederholbar | laufend, automatisiert | punktuell, 1 bis 2 Mal pro Jahr |
Beides ist sinnvoll, aber nicht füreinander austauschbar. Ein Scan sollte laufend laufen – er findet die veraltete Bibliothek und das offene Verwaltungsportal zuverlässig und billig. Ein Pentest findet die Fehlerklasse, die kein Werkzeug finden kann: dass Benutzer A durch Ändern einer ID die Rechnungen von Benutzer B abrufen kann. Solche Logikfehler sind in der Praxis die häufigste Ursache ernsthafter Datenabflüsse – und sie tauchen in keinem Scanbericht auf, weil technisch nichts falsch konfiguriert ist.
Was ein Pentest ausdrücklich nicht ist: eine Sicherheitsbescheinigung. Er ist eine Momentaufnahme eines definierten Bereichs zu einem definierten Zeitpunkt. Nach dem nächsten Deployment kann die Lage anders sein. Wer einen Pentest als Ersatz für Patch-Management, Backups, Mitarbeiterschulung und Rechtekonzept betrachtet, hat teuer eine Liste gekauft, die niemand abarbeitet. Die häufigste Enttäuschung in diesem Bereich ist nicht ein schlechter Test, sondern ein guter Bericht ohne Nachbearbeitung.
Wann ein Pentest Pflicht oder dringend sinnvoll wird
Eine ausdrückliche gesetzliche Pflicht zum Penetrationstest gibt es in Deutschland für die meisten Unternehmen nicht. Faktisch erforderlich wird er über vier Wege.
NIS2
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 13. November 2025 vom Bundestag beschlossen, am 5. Dezember 2025 verkündet und ist am 6. Dezember 2025 in Kraft getreten – ohne Übergangsfrist. Umgesetzt wurde es nicht als eigenes Gesetz, sondern als umfassende Revision des BSI-Gesetzes. Betroffen sind nach Schätzungen über 30.000 Unternehmen, die als wichtige oder besonders wichtige Einrichtungen gelten; die Registrierungsfrist lief bereits im März 2026 ab.
NIS2 verlangt kein Penetrationstest-Zertifikat, sondern ein Risikomanagement mit angemessenen technischen Maßnahmen und eine ausdrückliche Verantwortung der Geschäftsleitung. Regelmäßige Sicherheitsprüfungen sind in diesem Rahmen der naheliegende Nachweis. Prüfen Sie zuerst, ob Sie überhaupt in den Anwendungsbereich fallen – die Kriterien sind Sektor, Größe und Umsatz, und die Antwort ist häufig weniger eindeutig als erwartet.
ISO 27001
Die Norm verlangt in Anhang A technische Prüfungen auf Schwachstellen. Ein Penetrationstest ist die gängige Umsetzung, und Auditoren fragen in der Praxis danach. Für Unternehmen mit bestehender oder geplanter Zertifizierung ist der Test damit Teil der Pflichtübung.
Kundenanforderungen
In der Praxis der häufigste Auslöser. Wer als Dienstleister für Konzerne, Behörden oder Banken arbeitet, bekommt den Pentest-Nachweis in der Lieferantenprüfung abgefragt. Das gilt zunehmend auch für kleine Softwareanbieter – und die Anforderung kommt oft kurzfristig, mitten im Vertriebsprozess.
Eigene Risikolage
Der eigentlich richtige Grund. Dringend sinnvoll ist ein Test, wenn mindestens einer dieser Punkte zutrifft:
Der richtige Zeitpunkt ist vor dem Produktivstart, nicht danach. Eine Lücke, die vor dem Launch gefunden wird, kostet einen Entwicklertag. Dieselbe Lücke nach dem Launch kostet einen Notfalltermin, möglicherweise eine Meldung an die Aufsichtsbehörde und Erklärungsarbeit gegenüber Kunden.
Testarten
Nach Informationsstand
Die verbreitete Annahme, Black Box sei der härteste und damit beste Test, ist ein Trugschluss. Ein echter Angreifer hat unbegrenzt Zeit; Ihr Tester hat fünf Tage. Informationen zu geben erhöht nicht die Nachsicht, sondern die Abdeckung.
Nach Gegenstand
| Testart | Prüft | Typischer Umfang |
|---|---|---|
| Webanwendung | Ihre Anwendung inklusive Rechte und Fachlogik | 3 bis 10 Tage |
| Externe Infrastruktur | alles aus dem Internet erreichbare | 2 bis 5 Tage |
| Interne Infrastruktur | Netzsegmentierung, Active Directory, Rechteausweitung | 5 bis 15 Tage |
| Mobile App | App plus Backend plus lokale Datenspeicherung | 4 bis 10 Tage |
| API | Schnittstellen ohne Oberfläche | 3 bis 8 Tage |
| Cloud-Konfiguration | Rechte, Speicher, Netzwerkregeln | 3 bis 8 Tage |
| Social Engineering | Phishing-Resistenz der Belegschaft | 2 bis 10 Tage |
| Red Team | realistische Angriffssimulation inklusive Erkennungsfähigkeit | mehrere Wochen |
Für den Einstieg ist fast immer die Kombination aus Webanwendung und externer Infrastruktur richtig – dort liegt die Angriffsfläche, die jeder erreichen kann. Social Engineering und Red Teaming sind für Organisationen gedacht, die die Grundlagen bereits beherrschen; wer noch veraltete Software im Internet betreibt, braucht keine Angriffssimulation, um das zu wissen.
Der Ablauf in Phasen
1. Scoping und Beauftragung
Die Phase, die über die Qualität des Ergebnisses entscheidet. Festgelegt wird: Welche Systeme, Domains und IP-Bereiche sind im Umfang? Welche ausdrücklich nicht? Welcher Testtyp, welcher Informationsstand? Wie viele Testtage?
Dazu gehört zwingend eine schriftliche Testerlaubnis – ohne sie ist der Test strafbar. Bei gemieteter Infrastruktur braucht es zusätzlich die Zustimmung des Anbieters; bei großen Cloud-Anbietern ist das inzwischen über standardisierte Regeln abgedeckt, bei kleineren Hostern nicht.
Ebenfalls hier zu klären: Notfallkontakte auf beiden Seiten, Testfenster, und wie vorgegangen wird, wenn eine kritische Lücke gefunden wird – die gehört sofort gemeldet, nicht erst im Abschlussbericht.
2. Aufklärung
Der Tester sammelt Informationen: erreichbare Dienste, Softwareversionen, Subdomains, öffentlich auffindbare Daten über Ihr Unternehmen, geleakte Zugangsdaten aus bekannten Datensammlungen. Diese Phase ist unspektakulär und liefert regelmäßig den ersten Befund – vergessene Testsysteme, alte Subdomains, Verwaltungszugänge ohne Zugriffsbeschränkung.
3. Prüfung und Analyse
Automatisierte Scans als Grundlage, dann die manuelle Arbeit: Eingaben manipulieren, Rechte umgehen, Abläufe in falscher Reihenfolge durchlaufen, IDs verändern. Hier entsteht der Wert gegenüber einem Scan.
4. Ausnutzung
Gefundene Lücken werden kontrolliert bis zum Nachweis ausgenutzt – nicht weiter. Ziel ist der Beleg, dass die Lücke real ist, nicht Schaden. Üblich sind Bildschirmaufnahmen und reproduzierbare Schritte.
5. Bericht
Das eigentliche Produkt. Ein brauchbarer Bericht hat drei Teile: eine Zusammenfassung für die Geschäftsführung in verständlicher Sprache mit Risikoeinschätzung; die technischen Befunde mit Schweregrad, Nachvollziehbarkeit und konkretem Behebungsvorschlag; und eine priorisierte Maßnahmenliste.
Prüfen Sie vor der Beauftragung einen Beispielbericht. Hier trennt sich die Spreu vom Weizen. Ein Bericht, der im Wesentlichen aus dem exportierten Ergebnis eines Scanners besteht – hundert Seiten, viele Befunde mit mittlerem Schweregrad, keine Priorisierung, keine Falschmeldungsprüfung – ist kein Pentest-Bericht. Fragen Sie außerdem, wie viele Testtage auf manuelle Arbeit entfallen.
6. Nachbesprechung und Re-Test
Ein Termin, in dem die Befunde durchgesprochen und Fragen geklärt werden. Danach beheben Sie die Punkte, und der Tester prüft gezielt nach, ob die Behebung wirkt. Ein Re-Test der wichtigsten Befunde sollte im Angebot enthalten sein – wenn nicht, kommen dafür erfahrungsgemäß zusätzlich mittlere vierstellige Beträge hinzu. Fragen Sie das vor der Beauftragung ab.
Kosten und Einflussfaktoren
Die Tagessätze im deutschsprachigen Raum liegen 2026 nach Marktübersichten je nach Erfahrungsstufe und Spezialisierung zwischen etwa 900 und 2.000 Euro netto, für Senior-Beratung auch darüber. Ein Personentag entspricht dabei üblicherweise acht Stunden aktiver Prüfarbeit.
| Testart | Typische Spanne |
|---|---|
| Automatisierter Schwachstellenscan | 300 bis 3.000 Euro |
| Webanwendung, ein Produkt | 4.000 bis 12.000 Euro |
| Externer Infrastrukturtest | 5.000 bis 15.000 Euro |
| Mobile App inklusive Backend | 5.000 bis 15.000 Euro |
| Interne Infrastruktur | 8.000 bis 25.000 Euro |
| Cloud-Umgebung | 6.000 bis 20.000 Euro |
| Red Team | ab 25.000 Euro, nach oben offen |
Die Dauer liegt meist zwischen zwei und zwanzig Tagen, die häufigste Beauftragung bei etwa fünf Tagen. Was die Spanne bestimmt:
Die versteckten Kostenpositionen, die in Angeboten regelmäßig fehlen: der eigene Aufwand für Ausschreibung, Anbieterauswahl und Scoping; die Bereitstellung von Testumgebung und Testkonten; der Re-Test, wenn nicht enthalten; und vor allem der Aufwand für die Behebung. Letzterer übersteigt die Testkosten nicht selten. Planen Sie ihn von Anfang an mit ein – ein Pentest ohne reserviertes Behebungsbudget ist eine teure Dokumentation Ihres Risikos.
Checkliste zur Anbieterauswahl
Warnsignale: Festpreis ohne Scoping-Gespräch. Garantien wie „wir finden alle Lücken“. Werbung mit einer Mindestanzahl von Befunden. Berichte ohne Priorisierung. Und ein Angebot, das deutlich unter dem Markt liegt – bei Tagessätzen von unter 600 Euro bekommen Sie mit großer Wahrscheinlichkeit einen automatisierten Scan mit manuellem Deckblatt.
Was vorher und nachher wichtiger ist als der Test
Ein Pentest lohnt erst, wenn die Grundlagen stehen. Sonst finden Sie teuer, was Sie auch ohne Test gewusst hätten:
Und nach dem Test ist der entscheidende Schritt die Behebung mit Termin und Zuständigkeit pro Befund. Ein Bericht, der nach drei Monaten unbearbeitet im Ordner liegt, verschlechtert Ihre Lage: Sie haben dann dokumentiertes Wissen über eine Lücke, die Sie nicht geschlossen haben – und das ist im Haftungsfall schlechter als Unwissen.
Zur Härtung der eigenen Anwendung gehört auch die Zugriffskontrolle, siehe OAuth 2.0 und JWT, und die Absicherung zentraler Schnittstellen, siehe API Gateway. Die Transportverschlüsselung behandelt der Artikel SSL-Zertifikat.
Fazit
Ein Penetrationstest findet die Fehlerklasse, die kein Werkzeug findet – Logik- und Rechtefehler in Ihrer eigenen Anwendung. Dafür lohnt er, und zwar am besten als Grey-Box-Test über Webanwendung und externe Infrastruktur, mit fünf bis zehn Personentagen und einem enthaltenen Re-Test. Rechnen Sie bei einer typischen Webanwendung mit einem mittleren bis hohen vierstelligen Betrag – und mit mindestens demselben Betrag für die Behebung. Zwei Dinge sind dabei wichtiger als die Anbieterwahl: dass die Grundlagen vorher stehen, und dass hinterher jemand die Befunde mit Termin abarbeitet. Ein Pentest macht nicht sicher. Er zeigt, wo Sie es nicht sind – der Rest ist Ihre Arbeit.