Was kostet ein Penetrationstest? Kosten und Preise 2026
Die Kosten eines Penetrationstests hängen vor allem vom Umfang ab – der Anzahl der zu testenden Funktionen, Rollen, Hosts oder Benutzer – und von der gewünschten Tiefe. Ein Festpreis macht die Kosten planbar. Dieser Leitfaden erklärt die Kostenfaktoren, was ein faires Angebot enthalten muss und wie Sie ein begrenztes Budget dort einsetzen, wo das Risiko am größten ist.
Von Moez Bouzayani · · 2 Min. Lesezeit
Inhalt
„Was kostet ein Pentest?“ ist meist die erste Frage – und die ehrliche Antwort lautet: Es hängt davon ab, was getestet werden soll. Die Faktoren, die den Preis bestimmen, sind aber gut vorhersehbar. Wer sie kennt, kann Angebote sauber vergleichen.
Die wichtigsten Kostenfaktoren
1. Umfang
Der größte Einzelfaktor. Typische Bezugsgrößen sind:
- Webanwendungen: Anzahl der Seiten/Funktionen und Benutzerrollen,
- APIs: Anzahl der Endpunkte oder Operationen,
- Mobile Apps: Plattformen (Android, iOS) und ob das Backend dazugehört,
- Externes Netzwerk: Anzahl öffentlicher IP-Adressen und Dienste,
- Internes Netzwerk / Active Directory: Anzahl der Benutzer, Standorte und Domänen,
- Cloud: Anzahl der Accounts oder Subscriptions.
2. Rollen und Mandanten
Jede Benutzerrolle – und bei SaaS jede Mandantengrenze – muss gegen jede andere geprüft werden. Drei Rollen in einer mandantenfähigen Anwendung bedeuten deutlich mehr Testfälle als eine Rolle in einer einfachen Anwendung.
3. Testtiefe: Black-, Grey- oder White-Box
Ein Grey-Box-Test mit Testzugängen und etwas Dokumentation findet in der Regel am meisten pro Euro. Black-Box klingt realistischer, verbraucht aber viel Budget für das Hineinkommen statt für das Testen dessen, was hinter dem Login liegt.
4. Rahmenbedingungen
Tests außerhalb der Geschäftszeiten, reine Produktionsumgebungen, enge Change-Fenster oder Vor-Ort-Termine erhöhen den Aufwand.
Festpreis oder Tagessatz?
Viele Anbieter kalkulieren nach Personentagen. Das ist transparent beim Aufwand, aber das Risiko längerer Tests tragen Sie. Ein Festpreis verlagert dieses Risiko zum Anbieter: Sie kennen die Kosten vor dem Start und können verbindlich planen. In beiden Fällen lohnt die Frage, wie viele Testtage geplant sind – das zeigt, wie tief getestet wird.
Was ein faires Angebot enthalten muss
Vergleichen Sie Angebote nur, wenn sie dasselbe enthalten:
- manuelle Prüfung durch einen erfahrenen Tester (nicht nur einen automatisierten Scan),
- eine Management-Summary sowie Detailbefunde mit Nachweis und Empfehlung,
- Bewertung des Schweregrads (z. B. CVSS 3.1) und Priorisierung,
- sofortige Meldung kritischer Befunde,
- ein Abschlussgespräch,
- einen Retest der behobenen Befunde – anderswo oft extra berechnet.
Ein Angebot weit unter Marktniveau bedeutet oft „Scanner-Ausgabe mit Logo“. Ein sinnvoller Test kann trotzdem bezahlbar sein – wenn der Scope fokussiert ist.
So holen Sie das Meiste aus einem begrenzten Budget
- Nach Risiko priorisieren. Zuerst testen, was aus dem Internet erreichbar ist und sensible Daten enthält.
- Testzugänge und Dokumentation bereitstellen. Jede Stunde, die nicht in die Erkundung fließt, fließt in das Finden von Schwachstellen.
- Zusammengehörige Ziele kombinieren. Testen Sie eine Web-App und ihre API in einem Projekt: ein Kickoff, ein Bericht, ein Retest, und der Test deckt auch das Zusammenspiel beider ab.
- Einen Zyklus planen. Ein jährlicher Test mit Retests ist günstiger – und ein besserer Nachweis – als ein unregelmäßiges Großprojekt.
Konkrete Zahlen
Unsere Festpreise finden Sie auf der Preisseite. Für einen verbindlichen Preis für Ihren Umfang genügen wenige Klicks im Anfrageformular: Sie sehen Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail.