Was kostet ein Penetrationstest? Preise & Ablauf

Die kurze Antwort vorweg: Ein professioneller Penetrationstest kostet in Deutschland typischerweise zwischen 4.000 und 25.000 Euro. Der genaue Preis hängt stark vom Umfang, der Anzahl der zu prüfenden Systeme und der Testtiefe ab. Ein einzelner Web-Applikations-Test liegt meist am unteren Ende, ein umfassender Test der gesamten IT-Infrastruktur eines Mittelständlers am oberen. In diesem Ratgeber erklären wir, welche Faktoren den Preis bestimmen, wie ein Pentest abläuft und woran Sie seriöse Anbieter erkennen.

Was ist ein Penetrationstest überhaupt?

Ein Penetrationstest (kurz Pentest) ist ein autorisierter, kontrollierter Angriff auf Ihre IT-Systeme, durchgeführt von spezialisierten Sicherheitsexperten. Das Ziel: Schwachstellen finden, bevor echte Angreifer sie ausnutzen. Anders als ein automatisierter Schwachstellen-Scan kombiniert ein echter Pentest Werkzeuge mit manueller Analyse und dem Denken eines Angreifers. Genau diese menschliche Komponente unterscheidet einen aussagekräftigen Test von einem reinen Report aus einem Scanner.

Für viele Unternehmen ist ein Pentest heute nicht nur eine Kür, sondern Teil der Sorgfaltspflicht. Cyber-Versicherungen, Auftraggeber im Rahmen von Lieferketten und Zertifizierungen wie ISO 27001 fragen ihn regelmäßig nach. Wer seine Sicherheit strukturiert aufbauen will, findet in unserer Cyber-Security-Beratung einen Überblick über das Gesamtbild.

Diese Faktoren bestimmen den Preis

Es gibt keinen Festpreis, weil kein IT-Umfeld dem anderen gleicht. Der Aufwand wird in Personentagen kalkuliert, und ein Personentag eines erfahrenen Pentesters liegt in Deutschland grob bei 1.200 bis 1.800 Euro. Folgende Faktoren treiben die Anzahl der Tage:

• Scope (Testumfang): Wie viele IP-Adressen, Anwendungen, APIs oder Standorte werden geprüft? Je größer der Scope, desto mehr Tage.
• Testtiefe: Ein oberflächlicher Sicherheitscheck ist günstiger als ein tiefer Test mit Ausnutzung gefundener Lücken (Exploitation) und lateraler Bewegung im Netzwerk.
• Testperspektive: Black-Box (ohne Vorwissen), Grey-Box (mit Teilzugängen) oder White-Box (voller Einblick in Quellcode und Architektur). White-Box liefert die gründlichsten Ergebnisse, kostet aber mehr Vorbereitung.
• Art des Ziels: Webanwendung, mobile App, interne Netzwerk-Infrastruktur, Cloud-Umgebung oder Social Engineering, jeder Typ verlangt anderes Spezialwissen.
• Re-Test: Eine erneute Prüfung nach der Fehlerbehebung ist sinnvoll und wird oft separat berechnet.

Preisspannen 2026 im Überblick

Die folgenden Richtwerte helfen bei der ersten Budgetplanung. Sie ersetzen kein konkretes Angebot, geben aber eine realistische Größenordnung für den deutschen Mittelstand:

• Einzelne Webanwendung (Grey-Box): ca. 4.000 bis 9.000 Euro
• Externe Infrastruktur (mehrere Server, Perimeter): ca. 5.000 bis 12.000 Euro
• Interner Netzwerk-Pentest: ca. 7.000 bis 15.000 Euro
• Cloud-Umgebung (z. B. Microsoft 365, Azure, AWS): ca. 6.000 bis 18.000 Euro
• Umfassender Test mehrerer Bereiche: 15.000 bis 25.000 Euro und mehr
• Social-Engineering-Kampagne (Phishing-Simulation): ca. 3.000 bis 8.000 Euro

Sehr günstige Angebote unter 2.000 Euro bestehen erfahrungsgemäß oft nur aus einem automatisierten Scan mit generischem Report. Das kann ein sinnvoller Einstieg sein, ersetzt aber keinen manuellen Pentest, wenn es um echte Sicherheitsaussagen geht.

So läuft ein Penetrationstest ab

Ein sauber durchgeführter Test folgt einer klaren Struktur. Wer den Ablauf kennt, kann Angebote besser vergleichen:

1. Scoping und Angebot

Gemeinsam wird festgelegt, was getestet wird, mit welcher Perspektive und in welchem Zeitraum. Hier entsteht auch die schriftliche Beauftragung. Ohne diese Genehmigung ist ein Pentest rechtlich nicht zulässig, das ist ein zentraler Punkt.

2. Informationsbeschaffung (Reconnaissance)

Die Tester sammeln öffentlich verfügbare Informationen und kartieren die erreichbaren Systeme, ähnlich wie ein echter Angreifer.

3. Schwachstellenanalyse

Mit einer Kombination aus automatisierten Werkzeugen und manueller Prüfung werden potenzielle Lücken identifiziert und bewertet.

4. Ausnutzung (Exploitation)

Gefundene Schwachstellen werden kontrolliert ausgenutzt, um den realen Schaden abzuschätzen. Ein guter Tester dokumentiert dabei sauber und richtet keinen echten Schaden an.

5. Berichterstattung

Sie erhalten einen strukturierten Bericht mit einer Management-Zusammenfassung, einer technischen Detailbeschreibung jeder Schwachstelle, einer Risikoeinstufung (z. B. nach CVSS) und konkreten Handlungsempfehlungen.

6. Nachtest

Nach der Behebung wird geprüft, ob die Maßnahmen wirken. Erst dieser Schritt schließt den Kreis.

Woran Sie einen seriosen Anbieter erkennen

Der Markt ist unübersichtlich. Diese Checkliste hilft bei der Auswahl:

• Der Anbieter fragt zuerst nach Ihren Zielen, statt sofort einen Pauschalpreis zu nennen.
• Es gibt eine klare schriftliche Beauftragung und Regelungen zur Vertraulichkeit.
• Der Bericht enthält nachvollziehbare Belege (Nachweise, Screenshots) und nicht nur Scanner-Ausgaben.
• Anerkannte Methodiken wie das BSI-Vorgehensmodell, OWASP oder OSSTMM werden genannt.
• Zertifizierungen der Tester (z. B. OSCP) sind ein gutes Signal, aber kein Selbstzweck.
• Ein Nachtest ist Teil des Angebots oder wird transparent optional angeboten.

Pentest und regulatorische Anforderungen

Viele Unternehmen fragen einen Pentest an, weil regulatorischer Druck steigt. Die NIS2-Richtlinie erhöht die Anforderungen an das Risikomanagement in vielen Branchen, und regelmäßige Sicherheitsüberprüfungen gehören zu einem soliden Sicherheitskonzept. Ob und in welchem Umfang Ihr Unternehmen konkret betroffen ist, ist eine individuelle rechtliche Frage, die eine fachkundige Prüfung erfordert. Einen allgemeinen Überblick zur Einordnung geben wir in unserer NIS2-Beratung. Ein Pentest allein stellt keine Rechtskonformität her, er ist ein Baustein von mehreren.

Wie oft sollte getestet werden?

Als Faustregel gilt: einmal jährlich sowie zusätzlich nach größeren Änderungen an Ihren Systemen, etwa nach dem Launch einer neuen Anwendung oder einer Cloud-Migration. Sicherheit ist kein einmaliges Projekt, sondern ein laufender Prozess. Wer neue digitale Produkte plant, sollte Sicherheit von Anfang an mitdenken, ob bei der Webseitenerstellung oder bei der Einführung von KI-Anwendungen im Unternehmen.

Fazit

Was ein Penetrationstest kostet, lässt sich nicht mit einer einzigen Zahl beantworten, aber mit einer klaren Spanne: Für den Mittelstand sind meist 4.000 bis 25.000 Euro realistisch, je nach Umfang und Tiefe. Entscheidend ist nicht der niedrigste Preis, sondern ob der Test echte Aussagen über Ihre Sicherheitslage liefert. Ein manueller Test mit sauberem Bericht und Nachtest ist sein Geld wert, ein reiner Scanner-Report oft nicht.

Sie möchten wissen, welcher Testumfang für Ihr Unternehmen sinnvoll ist und welches Budget realistisch wäre? Wir von NovaCon beraten Sie persönlich und helfen Ihnen, den passenden Scope zu definieren. Erfahren Sie mehr über unser Penetration Testing oder nehmen Sie unverbindlich Kontakt mit uns auf.