Die kurze Antwort vorweg: Ein professioneller Penetrationstest kostet in Deutschland typischerweise zwischen 4.000 und 25.000 Euro. Der genaue Preis haengt stark vom Umfang, der Anzahl der zu pruefenden Systeme und der Testtiefe ab. Ein einzelner Web-Applikations-Test liegt meist am unteren Ende, ein umfassender Test der gesamten IT-Infrastruktur eines Mittelstaendlers am oberen. In diesem Ratgeber erklaeren wir, welche Faktoren den Preis bestimmen, wie ein Pentest ablaeuft und woran Sie serioese Anbieter erkennen.
Was ist ein Penetrationstest ueberhaupt?
Ein Penetrationstest (kurz Pentest) ist ein autorisierter, kontrollierter Angriff auf Ihre IT-Systeme, durchgefuehrt von spezialisierten Sicherheitsexperten. Das Ziel: Schwachstellen finden, bevor echte Angreifer sie ausnutzen. Anders als ein automatisierter Schwachstellen-Scan kombiniert ein echter Pentest Werkzeuge mit manueller Analyse und dem Denken eines Angreifers. Genau diese menschliche Komponente unterscheidet einen aussagekraeftigen Test von einem reinen Report aus einem Scanner.
Fuer viele Unternehmen ist ein Pentest heute nicht nur eine Kuer, sondern Teil der Sorgfaltspflicht. Cyber-Versicherungen, Auftraggeber im Rahmen von Lieferketten und Zertifizierungen wie ISO 27001 fragen ihn regelmaessig nach. Wer seine Sicherheit strukturiert aufbauen will, findet in unserer Cyber-Security-Beratung einen Ueberblick ueber das Gesamtbild.
Diese Faktoren bestimmen den Preis
Es gibt keinen Festpreis, weil kein IT-Umfeld dem anderen gleicht. Der Aufwand wird in Personentagen kalkuliert, und ein Personentag eines erfahrenen Pentesters liegt in Deutschland grob bei 1.200 bis 1.800 Euro. Folgende Faktoren treiben die Anzahl der Tage:
- Scope (Testumfang): Wie viele IP-Adressen, Anwendungen, APIs oder Standorte werden geprueft? Je groesser der Scope, desto mehr Tage.
- Testtiefe: Ein oberflaechlicher Sicherheitscheck ist guenstiger als ein tiefer Test mit Ausnutzung gefundener Luecken (Exploitation) und lateraler Bewegung im Netzwerk.
- Testperspektive: Black-Box (ohne Vorwissen), Grey-Box (mit Teilzugaengen) oder White-Box (voller Einblick in Quellcode und Architektur). White-Box liefert die gruendlichsten Ergebnisse, kostet aber mehr Vorbereitung.
- Art des Ziels: Webanwendung, mobile App, interne Netzwerk-Infrastruktur, Cloud-Umgebung oder Social Engineering, jeder Typ verlangt anderes Spezialwissen.
- Re-Test: Eine erneute Pruefung nach der Fehlerbehebung ist sinnvoll und wird oft separat berechnet.
Preisspannen 2026 im Ueberblick
Die folgenden Richtwerte helfen bei der ersten Budgetplanung. Sie ersetzen kein konkretes Angebot, geben aber eine realistische Groessenordnung fuer den deutschen Mittelstand:
- Einzelne Webanwendung (Grey-Box): ca. 4.000 bis 9.000 Euro
- Externe Infrastruktur (mehrere Server, Perimeter): ca. 5.000 bis 12.000 Euro
- Interner Netzwerk-Pentest: ca. 7.000 bis 15.000 Euro
- Cloud-Umgebung (z. B. Microsoft 365, Azure, AWS): ca. 6.000 bis 18.000 Euro
- Umfassender Test mehrerer Bereiche: 15.000 bis 25.000 Euro und mehr
- Social-Engineering-Kampagne (Phishing-Simulation): ca. 3.000 bis 8.000 Euro
Sehr guenstige Angebote unter 2.000 Euro bestehen erfahrungsgemaess oft nur aus einem automatisierten Scan mit generischem Report. Das kann ein sinnvoller Einstieg sein, ersetzt aber keinen manuellen Pentest, wenn es um echte Sicherheitsaussagen geht.
So laeuft ein Penetrationstest ab
Ein sauber durchgefuehrter Test folgt einer klaren Struktur. Wer den Ablauf kennt, kann Angebote besser vergleichen:
1. Scoping und Angebot
Gemeinsam wird festgelegt, was getestet wird, mit welcher Perspektive und in welchem Zeitraum. Hier entsteht auch die schriftliche Beauftragung. Ohne diese Genehmigung ist ein Pentest rechtlich nicht zulaessig, das ist ein zentraler Punkt.
2. Informationsbeschaffung (Reconnaissance)
Die Tester sammeln oeffentlich verfuegbare Informationen und kartieren die erreichbaren Systeme, aehnlich wie ein echter Angreifer.
3. Schwachstellenanalyse
Mit einer Kombination aus automatisierten Werkzeugen und manueller Pruefung werden potenzielle Luecken identifiziert und bewertet.
4. Ausnutzung (Exploitation)
Gefundene Schwachstellen werden kontrolliert ausgenutzt, um den realen Schaden abzuschaetzen. Ein guter Tester dokumentiert dabei sauber und richtet keinen echten Schaden an.
5. Berichterstattung
Sie erhalten einen strukturierten Bericht mit einer Management-Zusammenfassung, einer technischen Detailbeschreibung jeder Schwachstelle, einer Risikoeinstufung (z. B. nach CVSS) und konkreten Handlungsempfehlungen.
6. Nachtest
Nach der Behebung wird geprueft, ob die Massnahmen wirken. Erst dieser Schritt schliesst den Kreis.
Woran Sie einen seriosen Anbieter erkennen
Der Markt ist unuebersichtlich. Diese Checkliste hilft bei der Auswahl:
- Der Anbieter fragt zuerst nach Ihren Zielen, statt sofort einen Pauschalpreis zu nennen.
- Es gibt eine klare schriftliche Beauftragung und Regelungen zur Vertraulichkeit.
- Der Bericht enthaelt nachvollziehbare Belege (Nachweise, Screenshots) und nicht nur Scanner-Ausgaben.
- Anerkannte Methodiken wie das BSI-Vorgehensmodell, OWASP oder OSSTMM werden genannt.
- Zertifizierungen der Tester (z. B. OSCP) sind ein gutes Signal, aber kein Selbstzweck.
- Ein Nachtest ist Teil des Angebots oder wird transparent optional angeboten.
Pentest und regulatorische Anforderungen
Viele Unternehmen fragen einen Pentest an, weil regulatorischer Druck steigt. Die NIS2-Richtlinie erhoeht die Anforderungen an das Risikomanagement in vielen Branchen, und regelmaessige Sicherheitsueberpruefungen gehoeren zu einem soliden Sicherheitskonzept. Ob und in welchem Umfang Ihr Unternehmen konkret betroffen ist, ist eine individuelle rechtliche Frage, die eine fachkundige Pruefung erfordert. Einen allgemeinen Ueberblick zur Einordnung geben wir in unserer NIS2-Beratung. Ein Pentest allein stellt keine Rechtskonformitaet her, er ist ein Baustein von mehreren.
Wie oft sollte getestet werden?
Als Faustregel gilt: einmal jaehrlich sowie zusaetzlich nach groesseren Aenderungen an Ihren Systemen, etwa nach dem Launch einer neuen Anwendung oder einer Cloud-Migration. Sicherheit ist kein einmaliges Projekt, sondern ein laufender Prozess. Wer neue digitale Produkte plant, sollte Sicherheit von Anfang an mitdenken, ob bei der Webseitenerstellung oder bei der Einfuehrung von KI-Anwendungen im Unternehmen.
Fazit
Was ein Penetrationstest kostet, laesst sich nicht mit einer einzigen Zahl beantworten, aber mit einer klaren Spanne: Fuer den Mittelstand sind meist 4.000 bis 25.000 Euro realistisch, je nach Umfang und Tiefe. Entscheidend ist nicht der niedrigste Preis, sondern ob der Test echte Aussagen ueber Ihre Sicherheitslage liefert. Ein manueller Test mit sauberem Bericht und Nachtest ist sein Geld wert, ein reiner Scanner-Report oft nicht.
Sie moechten wissen, welcher Testumfang fuer Ihr Unternehmen sinnvoll ist und welches Budget realistisch waere? Wir von NovaCon beraten Sie unabhaengig und helfen Ihnen, den passenden Scope zu definieren. Erfahren Sie mehr ueber unser Penetration Testing oder nehmen Sie unverbindlich Kontakt mit uns auf.