Penetrationstest Kosten: So lesen Sie ein Angebot (Tage, Umfang, Retest)

Wer nach Penetrationstest Kosten sucht, findet kaum Preislisten, aber eine einfache Formel: Personentage, die das Testteam braucht, mal Tagessatz, dazu der Bericht und, falls vereinbart, ein Retest. Die Zahl der Tage bestimmt der Umfang: wie viele Webanwendungen, Benutzerrollen und API-Endpunkte, welcher Teil des internen Netzes, welche Cloud-Konten. Was in diese Tage gehört, beschreiben der Praxis-Leitfaden des BSI, der OWASP Web Security Testing Guide und NIST SP 800-115. Wir zeigen, wie Sie ein Angebot Posten für Posten lesen, bevor Sie einen Penetrationstest beauftragen.

Penetrationstest Kosten: Wie setzt sich der Preis zusammen?

Nur wenige Anbieter in Deutschland veröffentlichen Tagessätze, und ein Angebot, das nur eine Summe ohne Tage nennt, verschweigt den Rechenweg. Der Preis ist Tage mal Tagessatz. Die Tage ergeben sich aus dem abgestimmten Umfang, deshalb nennt dasselbe Team für eine Webanwendung ganz andere Summen als für ein internes Netz mit drei Cloud-Konten.

Ein öffentlicher Anhaltspunkt: Anbieter auf dem britischen Behördenmarktplatz G-Cloud 14 veröffentlichen ihre Tagessätze. Pentest Cyber nennt 900 GBP pro Tag, PureCyber 750 bis 1.400 GBP pro Tag für Tests von Webanwendungen (Stand 27. Oktober 2026). Das sind Listenpreise der Anbieter, keine vergebenen Auftragswerte, und sie lassen sich nicht eins zu eins auf den deutschen Markt übertragen.

Was bestimmt die Zahl der Personentage?

Jedes Testobjekt kostet Testzeit. Bevor ein Anbieter Tage schätzt, muss er wissen, wie groß jedes Ziel ist. Die Tabelle zeigt, wonach er fragt und warum das die Schätzung verändert.

Für Webanwendungen gliedert der OWASP-Leitfaden die Tests in Kategorien wie Authentifizierung, Autorisierung, Session-Management, Eingabevalidierung, Geschäftslogik und clientseitige Tests. Wo diese Schwächen meist entstehen, zeigen unsere Tipps zur Sicherheit von Webanwendungen. Die Konfiguration der Cloud-Konten, die ein Pentest nur streift, deckt ein Cloud-Audit ab.

Bitten Sie den Anbieter, die Annahmen unter den Preis zu schreiben: Zahl der Rollen, Endpunkte oder IP-Adressen. Ändert sich der Umfang später, sehen Sie sofort, welche Annahme sich verschoben hat und warum der Preis steigt oder sinkt.

Blackbox, Greybox oder Whitebox: Was bringt mehr fürs Geld?

Die Begriffe beschreiben, wie viel das Testteam vorab weiß. Der OWASP-Leitfaden nennt Tests ohne Vorwissen Blackbox-Tests und Tests mit teilweisem Wissen über die Anwendung Greybox-Tests. In der Praxis heißt Greybox meist: ein Testkonto je Rolle. Bei einem Whitebox-Test bekommt das Team Dokumentation, Zugänge und oft den Quellcode.

Blackbox klingt realistisch, doch ein Teil der bezahlten Tage fließt in Aufklärung, die Sie dem Testteam mit einer E-Mail hätten ersparen können. Das BSI empfiehlt in seinem Praxis-Leitfaden grundsätzlich Whitebox-Tests und eine moderate Angriffsstärke. Ein echter Angreifer ist nicht an die Tage aus Ihrem Angebot gebunden. Ihr Testteam schon.

Für Webanwendungen ist Greybox üblich. Brauchen Sie statt einer Angriffssimulation eine Prüfung der Anwendung gegen einen Sicherheitsstandard, ist das ein anderer Umfang: eine Prüfung nach OWASP ASVS.

Was gehört in ein Pentest-Angebot?

Ein vergleichbares Angebot beschreibt die Arbeit, nicht nur die Summe. Prüfen Sie diese Posten:

• Umfang. Ziele mit Namen: URLs, API-Basisadressen, IP-Bereiche, Cloud-Konten, dazu ausdrücklich ausgeschlossene Systeme.
• Methodik. Der Leitfaden, nach dem das Team arbeitet, etwa der BSI-Leitfaden, der OWASP Web Security Testing Guide oder NIST SP 800-115 mit den Phasen Planung, Erkundung, Angriff und Bericht.
• Aufwand. Personentage je Ziel und die Zahl der Personen im Team.
• Testbedingungen. Umgebung, Zeitfenster, Zugänge, die Sie bereitstellen, und eine Ansprechperson während des Tests.
• Rules of Engagement. Eine unterschriebene Freigabe, was wie getestet werden darf; nach NIST SP 800-115 ist sie die Befugnis des Testteams.
• Bericht. Eine Zusammenfassung für die Geschäftsleitung und je Befund Schweregrad, Nachweis, Schritte zur Reproduktion und eine Empfehlung.
• Retest. Ob er im Preis enthalten ist, in welchem Zeitraum und für welche Befunde.

Ein Posten wie „Pentest Anwendung: 1 Paket“ verrät nicht, ob Sie manuelle Tests kaufen oder einen automatisierten Scan mit Firmenlogo auf dem Bericht.

Warum weichen zwei Pentest-Angebote so stark voneinander ab?

Meist, weil sie unterschiedliche Leistungen kalkulieren. Legen Sie zwei Angebote nebeneinander, stellen Sie oft fest:

• eines umfasst API und Admin-Oberfläche, das andere nur den öffentlichen Teil der Anwendung;
• eines rechnet Tage manueller Tests ab, das andere lässt vor allem einen Schwachstellenscanner laufen;
• eines plant eine Person, das andere ein Team (der BSI-Leitfaden geht von mindestens zwei Personen je Test aus);
• eines enthält Retest und Management-Zusammenfassung, das andere berechnet beides extra;
• eines testet nachts in der Produktion, das andere tagsüber auf einer Testkopie.

Lassen Sie beide Anbieter dieselbe Tabelle ausfüllen: Ziele, Tage je Ziel, Methodik, Team, Bericht und Retest. Der Preisunterschied schrumpft dann meist oder lässt sich erklären. Ein Pentest prüft, ob jemand hineinkommt. Ein IT-Audit von Prozessen und Berechtigungen ersetzt er nicht.

Was ist ein Retest, und gehört er in den Preis?

Ein Retest ist ein zweiter, kürzerer Test, nachdem Sie die Befunde behoben haben. NIST SP 800-115 (Abschnitt 8.3) hält fest, dass ein erneuter Test die Umsetzung der Korrekturen bestätigt und das Testteam eine Korrektur prüft, indem es den ursprünglichen Test wiederholt. Ohne Retest zeigt der Bericht, was offen war, nicht, was heute behoben ist.

Stellen Sie vor der Unterschrift vier Fragen. Ist der Retest im Preis oder ein eigener Posten? Wie lange nach dem Bericht können Sie ihn abrufen? Deckt er alle Befunde ab oder nur kritische und hohe? Bekommen Sie einen aktualisierten Bericht, der jeden Befund als behoben markiert? Lassen Sie sich die Antworten ins Angebot schreiben.

Wann erwartet die Regulierung einen Penetrationstest?

Für Finanzunternehmen ist DORA eindeutig (Stand 27. Oktober 2026). Finanzunternehmen, die keine Kleinstunternehmen sind, müssen mindestens jährlich alle IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, angemessen testen lassen, durch unabhängige interne oder externe Tester. Penetrationstests stehen in der Liste der Testarten in Art. 25 Abs. 1.

Bedrohungsorientierte Penetrationstests (TLPT) alle 3 Jahre gelten nur für Finanzunternehmen, die die zuständige Behörde dazu bestimmt (Verordnung (EU) 2022/2554, Art. 24-26; in Deutschland ist die BaFin zuständig).

NIS2 verwendet das Wort Pentest nicht. Art. 21 Abs. 2 Buchst. f verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen; § 30 Abs. 2 BSIG in der Fassung des NIS2UmsuCG übernimmt diese Mindestliste für besonders wichtige und wichtige Einrichtungen.

Für Cloud-, Rechenzentrums-, Managed-Service- und ähnliche Anbieter geht nach § 30 Abs. 3 BSIG die Durchführungsverordnung (EU) 2024/2690 vor. Ihr Anhang (Nr. 6.5) verlangt eine Richtlinie für Sicherheitstests mit Bedarf, Umfang und Häufigkeit, Erwägungsgrund 15 nennt Penetrationstests als eine Möglichkeit.

In beiden Fällen müssen Sie Umfang, Methodik und Korrekturen belegen. Deshalb zählen Bericht und Retest so viel wie die Testtage. Der BSI-Leitfaden empfiehlt außerdem, Wiederholungsprüfungen alle zwei bis drei Jahre durchzuführen. Was passiert, wenn niemand testet, beschreibt unser Artikel über Datenlecks und ihre Folgen.

So bekommen Sie Pentest-Angebote, die sich vergleichen lassen

Bevor Sie Preise anfragen, listen Sie Ziele, Benutzerrollen, API-Dokumentation, IP-Bereiche und Cloud-Konten auf und legen Umgebung und Zeitfenster fest. Schicken Sie dieselbe Liste an jeden Anbieter und lassen Sie sich Tage je Ziel, Methodik, Team, Berichtsinhalt und Retest-Bedingungen schriftlich geben. Lesen Sie auch, wie wir Penetrationstests durchführen, oder schreiben Sie uns, wenn Sie Ihren Umfang besprechen möchten.