--- title: "Penetrationstest Deutschland | Mr Cyber – Verified security." url: https://mr-cyber.com/de language: de-DE description: "Pentests für Web-Apps, APIs, Mobile Apps, Active Directory und Cloud. Direkt vom Tester, manuelle Pentests ab 1.900 €, Festpreis in Sekunden, Retest inklusive." --- # Der einzige Hacker, den Sie selbst einladen. Wir brechen ein, mit Ihrer schriftlichen Freigabe, damit Kriminelle es nicht können. Manuelle Penetrationstests für Web, APIs, Mobile Apps, Cloud, Netzwerke, Active Directory und IoT. Festpreis, prüffähiger Bericht, Retest inklusive. [Festpreis berechnen](https://mr-cyber.com/de/angebot) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) - Manuelle Pentests ab **1.900 €** Gründungskunden: +1 Testtag geschenkt · noch 4 von 5 frei [Meinen Festpreis berechnen](https://mr-cyber.com/de/angebot) [Preise ansehen](https://mr-cyber.com/de/preise) - [OWASP WSTG · PTES · BSI · CVSS 3.1](https://mr-cyber.com/de/ablauf) - [Nachweise für ISO 27001, SOC 2, NIS2](https://mr-cyber.com/de/nis2-penetrationstest) - Gehostet & betrieben in Deutschland Schwachstellen gemeldet an - ![SCHUFA](/_a/Bvca6kXW.png) - Adobe - Infomaniak - DANA Indonesia - Zabbix - Icinga - Pi-hole - Jenkins - Prometheus - BMW - Doctolib - ![](/_a/Bvca6kXW.png) Kritische Schwachstellen gefunden, verantwortungsvoll gemeldet, behoben. ## Auf einen Blick Mr Cyber ist ein auf Penetrationstests spezialisiertes Sicherheitsunternehmen aus Deutschland. Wir finden Schwachstellen in Anwendungen und Infrastruktur, bevor Angreifer es tun, und liefern prüffähige Berichte für NIS2, ISO 27001 und SOC 2. Wer Mr Cyber, ein auf Penetrationstests spezialisiertes Sicherheitsunternehmen aus Deutschland. Was 13 manuelle Kerntests in drei Bereichen: Anwendungen, Netzwerk & Cloud und Angriff & Code. Auch getestet: Microsoft 365, Kubernetes, WLAN, OT/ICS und mehr. Dazu kontinuierliches Pentesting, die Schwachstellenanalyse (kein Pentest) und der KI-gestützte Pentest als eigene Optionen. Für wen Startups und Mittelstand in Deutschland, Österreich, der Schweiz und der EU. Ausschließlich B2B. Preis Manuelle Pentests zum Festpreis ab 1.900 €, abhängig vom Umfang, Retest inklusive. Kontinuierliches Pentesting: 590 € pro Monat. KI-gestützter Pentest: 590 € einmalig oder 390 € pro Monat, je Ziel. Zahlung Rechnung nach dem Bericht, zahlbar innerhalb von 14 Tagen. Keine Anzahlung. Ort Standardmäßig remote. Vor Ort auf Wunsch, Reisekosten nach Aufwand. Dauer Starttermin wählen Sie selbst im Kalender des Angebotsformulars, ab dem nächsten freien Tag. Bericht innerhalb von 5 Werktagen nach Testende. Standards OWASP WSTG, OWASP API Top 10, OWASP MASVS/MASTG, PTES, BSI-Empfehlungen, CVSS 3.1. Nachweise für NIS2, ISO 27001, SOC 2, TISAX, PCI DSS, BSI IT-Grundschutz und Kunden-Audits. ## Penetrationstests für alles, was angreifbar ist. Jeder Test von Hand geführt. - [### Webanwendungs-Pentest SaaS-Plattformen, Portale, Shops und interne Web-Apps, manuell geprüft nach OWASP WSTG. ab 2.900 € · 3 Testtage](https://mr-cyber.com/de/leistungen/webanwendung-penetrationstest) - [### API-Pentest REST- und GraphQL-APIs hinter Ihren Apps, Partnern und Integrationen, geprüft nach den OWASP API Top 10. ab 2.400 € · 3 Testtage](https://mr-cyber.com/de/leistungen/api-penetrationstest) - [### iOS-App-Pentest iPhone- und iPad-Apps samt API dahinter, manuell geprüft nach OWASP MASVS. ab 2.900 € · 3 Testtage](https://mr-cyber.com/de/leistungen/ios-app-pentest) - [### Android-App-Pentest Android-Apps samt API dahinter, manuell geprüft nach OWASP MASVS. ab 2.900 € · 3 Testtage](https://mr-cyber.com/de/leistungen/android-app-pentest) - [### Desktop-App-Pentest Windows-, macOS- und Linux-Anwendungen, Thick Clients und ihre Server, manuell geprüft. ab 3.800 € · 4 Testtage](https://mr-cyber.com/de/leistungen/desktop-anwendung-penetrationstest) - [### KI- & LLM-Pentest Chatbots, RAG-Assistenten, KI-Agenten und LLM-Funktionen in Ihrem Produkt, geprüft nach den OWASP LLM Top 10. ab 2.900 € · 3 Testtage](https://mr-cyber.com/de/leistungen/ki-llm-penetrationstest) - [### IoT- & Hardware-Pentest Vernetzte Produkte von Ende zu Ende. Gerät, Elektronik, Firmware, App und Cloud, gemeinsam getestet. ab 4.700 € · 5 Testtage](https://mr-cyber.com/de/leistungen/iot-hardware-penetrationstest) - [### Cloud-Pentest AWS-, Azure- und Google-Cloud-Konten, IAM und Workloads, geprüft nach CIS und manuell getestet. ab 3.300 € · 4 Testtage](https://mr-cyber.com/de/leistungen/cloud-penetrationstest) - [### Externer Pentest Öffentliche IPs, Domains, VPN, Mail und Fernzugänge, getestet aus Sicht eines Angreifers im Internet. ab 1.900 € · 2 Testtage](https://mr-cyber.com/de/leistungen/externer-penetrationstest) - [### Interner Pentest Büro- und Servernetze, Segmentierung und kritische Systeme, getestet aus Sicht eines Angreifers im Netz. ab 3.800 € · 4 Testtage](https://mr-cyber.com/de/leistungen/interner-penetrationstest) - [### Active-Directory-Pentest On-Prem-Active-Directory und hybrides Entra ID, geprüft auf Wege vom normalen Benutzer zum Domain-Admin. ab 3.400 € · 4 Testtage](https://mr-cyber.com/de/leistungen/active-directory-pentest) - [### Red Teaming & Assumed Breach Zielbasierte Angriffssimulation über mehrere Wochen, die Erkennung und Reaktion prüft, nach vereinbarten Regeln. ab 9.500 € · 10 Testtage](https://mr-cyber.com/de/leistungen/red-teaming) - [### Source-Code-Review Manuelle Prüfung Ihres Quellcodes auf Sicherheitslücken nach OWASP ASVS, mit Empfehlung pro Zeile. ab 2.900 € · 3 Testtage](https://mr-cyber.com/de/leistungen/source-code-review) - Auch getestet: [Microsoft 365](https://mr-cyber.com/de/leistungen/cloud-penetrationstest#m365) [Kubernetes](https://mr-cyber.com/de/leistungen/cloud-penetrationstest#kubernetes) [WLAN](https://mr-cyber.com/de/leistungen/interner-penetrationstest#wireless) [OT/ICS](https://mr-cyber.com/de/leistungen/interner-penetrationstest#ot) [OSINT](https://mr-cyber.com/de/leistungen/externer-penetrationstest#osint) [CI/CD](https://mr-cyber.com/de/leistungen/source-code-review#cicd) [Smart Contracts](https://mr-cyber.com/de/leistungen/source-code-review#web3) [Automotive](https://mr-cyber.com/de/leistungen/iot-hardware-penetrationstest#automotive) [Alle Leistungen](https://mr-cyber.com/de/leistungen) Unsicher, welcher Test passt? [Erstgespräch buchen](https://mr-cyber.com/de/kontakt#book) ### Eigene Optionen - [Kontinuierliches Pentesting Jeden Monat ein manueller Testtag, eingesetzt für Ihre Releases. Fester Monatspreis, monatlich kündbar. 590 € pro Monat · 1 manueller Testtag pro Monat](https://mr-cyber.com/de/leistungen/kontinuierliches-pentesting) - [Schwachstellenanalyse Kein Pentest Automatisierter Scan von bis zu 32 externen IP-Adressen, von Hand geprüft. Kein Pentest. 390 € · bis zu 32 IP-Adressen](https://mr-cyber.com/de/leistungen/schwachstellenanalyse) - [KI-gestützter Pentest KI-Agenten testen, ein erfahrener Pentester steuert und prüft jeden Befund. Einmalig oder monatlich. 590 € einmalig · 390 € pro Monat · je Ziel](https://mr-cyber.com/de/leistungen/ki-gestuetzter-pentest) ## Direkt zum Tester. Sie sprechen mit der Person, die Ihr System testet. Bei großen Beratungshäusern verkauft oft der Partner, und getestet wird von wechselnden Teams. Bei Mr Cyber betreut dieselbe Person Ihr Projekt von der Anfrage bis zum Retest. [Festpreis berechnen](https://mr-cyber.com/de/angebot) Wer Ihr Projekt mit Ihnen bespricht, testet auch selbst, schreibt den Bericht und prüft Ihre Korrekturen. - ### Direkter Draht zum Tester Rückfragen beantwortet die Person, die den Befund gefunden hat. Zwischen Vertrieb und Test geht nichts verloren. - ### Manuell statt Scanner Logikfehler, Rechteausweitung und Mandanten-Trennung findet kein Scanner. Genau dort liegen die kritischen Befunde. - ### Start, wann Sie wollen Wählen Sie Ihren Starttermin direkt im Kalender, ab dem nächsten freien Tag, passend zu Audit-Fristen und Release-Plänen. - ### Festpreis, vorab vereinbart Sie wissen vor dem Start, was der Test kostet. Retest der behobenen Befunde ist inklusive. ## Ihre Sicherheit wird ohnehin getestet. Besser von uns. Angreifer suchen rund um die Uhr automatisiert nach genau den Schwachstellen, die ein Penetrationstest findet. Die Frage ist nur, wer sie zuerst entdeckt. Ein Datenleck kostet deutsche Unternehmen laut IBM im Schnitt 4,25 Mio. €, also mehr als das Tausendfache eines Pentests ab 1.900 €. 119 neue Schwachstellen in IT-Systemen wurden im Schnitt täglich bekannt, rund 24 % mehr als im Vorjahreszeitraum. Deutschland, 1. Juli 2024 bis 30. Juni 2025. Quelle: BSI-Lagebericht 2025, S. 3. - 289,2 Mrd. € Schaden für die deutsche Wirtschaft durch Diebstahl, Spionage und Sabotage, rund 70 % davon durch Cyberangriffe. Bitkom 2025 - 87 % der befragten Unternehmen waren in den letzten 12 Monaten betroffen oder vermuten es. Bitkom 2025 - ~80 % der angezeigten Angriffe, zum Beispiel mit Ransomware, richteten sich gegen kleine und mittlere Unternehmen. BSI-Lagebericht 2025, S. 3 - 29.500 Einrichtungen in Deutschland fallen nach Schätzungen unter NIS2 und müssen wirksame Sicherheitsmaßnahmen nachweisen. BSI, NIS-2 Jahreszahlen aus öffentlichen Berichten. Quelle: [Bitkom-Studie „Wirtschaftsschutz 2025“](https://www.bitkom.org/sites/main/files/2025-12/bitkom-studienbericht-wirtschaftsschutz-2025.pdf) (1.002 befragte Unternehmen) · [BSI, „Die Lage der IT-Sicherheit in Deutschland 2025“](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2025_Achtseiter.pdf?__blob=publicationFile&v=7) (PDF, S. 3) · [BSI – NIS-2-regulierte Unternehmen](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html) ### NIS2 gilt seit dem 6. Dezember 2025. Das NIS2-Umsetzungsgesetz verpflichtet betroffene Unternehmen zu Risikomanagement-Maßnahmen und dazu, deren Wirksamkeit zu bewerten. Ein Penetrationstest liefert genau diesen Nachweis für Geschäftsleitung, Prüfer und BSI. ## Vom Angebot zum bestandenen Retest. 1. Tag 0 ### Angebot Ihr verbindlicher Festpreis erscheint sofort im Preisrechner, 30 Tage gültig für den angegebenen Umfang; das schriftliche Angebot (PDF) mit NDA, AVV und Testfreigabe kommt direkt nach Ihrer Anfrage per E-Mail. Lieber erst sprechen? Ein kostenloses Gespräch ist jederzeit möglich. 2. Vor Testbeginn ### Kickoff & Freigabe NDA, unterschriebene Beauftragung mit Scope und Rules of Engagement, Testzugänge, Notfallkontakte. Vorher wird nichts getestet. 3. Ab 2 Testtagen ### Test Manuelle Prüfung durch einen erfahrenen Tester im vereinbarten Scope. Kritische Schwachstellen melden wir sofort, nicht erst am Ende. 4. +5 Werktage ### Bericht & Abschlussgespräch Prüffähiger Bericht innerhalb von 5 Werktagen mit Management-Summary, CVSS-3.1-Bewertung und konkreten Empfehlungen. Gemeinsame Besprechung mit Ihrem Team. 5. Innerhalb von 60 Tagen ### Kostenloser Retest Sobald die Schwachstellen behoben sind, prüfen wir sie innerhalb von 60 Tagen kostenlos nach und bestätigen dies im aktualisierten Bericht. ## Angreifer schicken keinen Bericht. Wir schon. Jeder Befund ist reproduzierbar, nach CVSS 3.1 (auf Wunsch 4.0) bewertet und mit einer konkreten Empfehlung versehen. Die Management-Summary beantwortet die Frage der Geschäftsleitung: Wie groß ist das Risiko, und was ist zu tun? - Management-Summary auf einer Seite - Befunde mit Reproduktion, Nachweis und Fix - CVSS-3.1-Bewertung und Priorisierung - Zuordnung zu OWASP, CWE und Compliance-Anforderungen - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 - Retest-Bestätigung und Prüfbescheinigung für Ihren Auditor Kundenportal mit Triage, Status pro Befund und Ticket-Erstellung per KlickIn Entwicklung Pentest-Bericht · Admin & Söhne GmbH · MC-2026-014 Risiko: Hoch CVSS 3.1 · 8.2 Offen · Retest inklusive ### Admin-Bereich ohne Anmeldung erreichbar app.admin-soehne.example · /admin CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N #### Beschreibung Der Administrationsbereich unter /admin öffnet sich, ohne nach einem Passwort zu fragen. Wer die Adresse eintippt, sieht die komplette Kundenliste mit Namen, Adressen und Bestellhistorie und kann einige Einstellungen ändern, etwa den Hinweistext im Shop. #### Reproduktion 1. Ein privates Browserfenster öffnen, ohne sich anzumelden. 2. https://app.admin-soehne.example/admin aufrufen. 3. Das Admin-Dashboard lädt und zeigt alle Kunden samt Bearbeiten-Schaltflächen. ``` GET /admin HTTP/2 Host: app.admin-soehne.example HTTP/2 200 Admin Dashboard … ``` #### Geschäftliche Auswirkung Jeder im Internet kann sämtliche Kundendaten lesen, ohne Konto und ohne besondere Kenntnisse. Das ist eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss, plus ein Schreiben an jeden Kunden. Suchmaschinen oder automatisierte Scanner finden solche Seiten oft innerhalb weniger Tage. #### Empfehlung Den gesamten /admin-Bereich serverseitig mit einer verpflichtenden Anmeldung schützen und für Admins eine Zwei-Faktor-Authentifizierung vorschreiben. Noch besser: den Admin-Bereich nur aus dem Firmennetz oder per VPN erreichbar machen. Ein automatisierter Test prüft, dass jede Admin-Seite ohne Anmeldung den Zugriff verweigert. OWASP Top 10 2021: A01 Broken Access Control · CWE-306 (Missing Authentication for Critical Function) ## Für Ihre Prüfer gemacht. Nachweise zum Weitergeben. Fünf Dokumente aus einem Auftrag: der Bericht für Ihr Team, die Bescheinigung für alle, die nachfragen. - **Pentest-Bericht** · Befunde mit Nachweis, Empfehlung und CVSS 3.1 - **Management-Summary** · die Risikolage auf einer Seite - **Retest-Bestätigung** · behobene Befunde erneut geprüft, kostenlos - **Ticket-Importdatei (CSV, JSON und E-Mail)** · ein Ticket pro Befund - **Prüfbescheinigung** · eine Seite für Auditoren, Kunden und Versicherer [Zum Bericht](https://mr-cyber.com/de/beispielbericht) ## Aus der Praxis [Alle Beiträge](https://mr-cyber.com/de/ratgeber) - - Lagebild ### [Kühlanlagen-Angriffe in Europa: Was deutsche Händler und Kühlketten-Betreiber jetzt prüfen sollten](https://mr-cyber.com/de/ratgeber/kuehlanlagen-angriffe-europa) Erst Frankreich, dann Belgien, Irland, Deutschland und mehr: Angriffe auf Kühlanlagen-Steuerungen im Herbst 2026. Was bekannt ist, was Betreiber prüfen sollten. 4\. November 2026 · 8 Min. Lesezeit - - Leitfäden - Preise ### [Pentest-Preis vorab: So funktioniert ScopeCheck](https://mr-cyber.com/de/ratgeber/pentest-preis-berechnen) Wie ScopeCheck aus wenigen Fragen einen verbindlichen Pentest-Festpreis macht, wie der Preis zustande kommt und was passiert, wenn der Umfang abweicht. 19\. Oktober 2026 · 2 Min. Lesezeit - - Leitfäden - Compliance ### [NIS2 und Penetrationstests: Was Unternehmen in Deutschland wirklich brauchen](https://mr-cyber.com/de/ratgeber/nis2-anforderungen-penetrationstest) Was NIS2 und das NIS2UmsuCG zu Sicherheitstests verlangen, wer betroffen ist und wie Sie einen Pentest planen, der als Nachweis im Audit besteht. 17\. Oktober 2026 · 3 Min. Lesezeit ## Häufige Fragen Was kostet ein Penetrationstest? Unsere Festpreise beginnen bei 1.900 € für einen externen Pentest; ein Webanwendungs-Pentest startet bei 2.900 €. Der genaue Preis hängt vom Umfang ab. Im Anfrageformular sehen Sie Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Details auf der [Preisseite](https://mr-cyber.com/de/preise). Wie lange dauert ein Pentest? Unsere manuellen Pentests beginnen je nach Leistung bei 2 bis 10 Testtagen; größere Umfänge dauern länger. Der Bericht folgt innerhalb von 5 Werktagen nach Testende; kritische Befunde melden wir sofort. Was erhalten wir am Ende? Einen Bericht mit Management-Summary, Befunden samt Reproduktion und Fix sowie CVSS-Bewertung. Dazu eine Ticket-Importdatei (CSV, JSON und E-Mail): Jeder Befund wird ein eigenes Ticket, importfertig für Jira, ServiceNow, GitLab, Azure DevOps und GitHub. Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 erhalten die Tickets per E-Mail-Import. Nach Ihrer Behebung bestätigt ein Retest die Fixes, und Sie erhalten eine einseitige Prüfbescheinigung für Auditoren und Kunden. [Zum Bericht](https://mr-cyber.com/de/beispielbericht). Stört der Test unseren Produktivbetrieb? Wir stimmen Testzeiten, Intensität und verbotene Aktionen vorab in den Rules of Engagement ab. Destruktive Tests finden nur nach ausdrücklicher Freigabe statt; auf Wunsch testen wir in einer Staging-Umgebung. Sind wir zu klein für einen Pentest? Nein. Gerade Startups brauchen Pentest-Berichte, um Enterprise-Kunden, Investoren oder ISO-27001-/SOC-2-Audits zu überzeugen. Wir schneiden den Scope so zu, dass das Budget dort wirkt, wo das Risiko am größten ist. Wir haben schon einen Schwachstellenscanner. Reicht das nicht? Ein Scanner findet bekannte, technische Schwachstellen. Ein Penetrationstest findet zusätzlich Logikfehler, fehlende Berechtigungsprüfungen und verkettete Angriffe, also das, was Angreifer tatsächlich ausnutzen. Beides ergänzt sich. Wie wird mit unseren Daten umgegangen? NDA, AVV und Testfreigabe kommen mit dem Angebot. Testdaten und Ergebnisse werden verschlüsselt auf unseren Servern in Deutschland gespeichert, nur verschlüsselt übermittelt und 30 Tage nach Projektabschluss gelöscht. Ist ein Penetrationstest legal? Ja, mit Ihrer schriftlichen Beauftragung, die Ziele, Zeitraum und Methoden festlegt. Diese Freigabe ist Standard und schützt beide Seiten. Ohne sie testen wir nicht.