Was kostet ein Penetrationstest im Jahr 2026?
Kurze Antwort: Ein seriöser, klar abgegrenzter Penetrationstest durch erfahrene Experten kostet je nach Scope in der Regel etwa 5.000 $ bis 50.000 $. Veröffentlichte Leitfäden beziffern Tests für Webanwendungen auf 5.000 $ bis 50.000 $ und externe Netzwerktests auf etwa 5.000 $ bis 20.000 $, bei Tagessätzen der Tester von 1.000 $ bis 3.000 $. Automatisierte Scans sind günstig, aber kein Pentest.
Jede Pentest-Firma beantwortet diese Frage mit „Es kommt darauf an“, und die meisten belassen es dabei, weil vage Preise gut für den Verkäufer sind. Es kommt zwar darauf an, aber die Preisspannen sind bekannt. Wenn Sie Ihren ersten Test kaufen, sollten Sie diese kennen, bevor Sie jemand in ein Verkaufsgespräch verwickelt. Hier sind sie.
Die Preisspannen am Markt laut öffentlichen Quellen
Wir haben uns diese Zahlen nicht ausgedacht, und Sie sollten sich auf das Wort eines einzelnen Anbieters nicht blind verlassen, auch nicht auf unseres. Zwei öffentlich zugängliche Preisratgeber von Firmen aus diesem Markt:
Der Pentest-Kostenratgeber von Astra Security beziffert die durchschnittlichen Kosten eines Penetrationstests auf 2.500 $ bis 50.000 $, wobei Tests für Webanwendungen je nach Komplexität zwischen 5.000 $ und 50.000 $ liegen. Der Preisratgeber von Bright Defense bewegt sich im selben Rahmen: 5.000 $ bis 30.000 $ für einen Webanwendungstest, 5.000 $ bis 20.000 $ für einen externen Netzwerktest sowie Tagessätze von 1.000 $ bis 3.000 $ für die ausführenden Personen.
Liest man genug dieser Ratgeber, zeichnet sich ein klares Bild ab: Ein seriöser, klar abgegrenzter Penetrationstest einer einzelnen Anwendung oder eines externen Netzwerks, durchgeführt von erfahrenen Experten, beginnt bei etwa 5.000 $ und steigt mit dem Scope. Die meisten Angebote am Markt sind ein Vielfaches eines Tagessatzes, und der Tagessatz ist hoch, weil die Expertise selten ist.
Was den Preis tatsächlich bestimmt
Vier Faktoren beeinflussen ein Angebot stärker als alles andere:
- Scope. Eine Web-App mit zwei Benutzerrollen bedeutet tagelange Arbeit. Fünf Apps, eine API und eine Cloud-Umgebung bedeuten wochenlange Arbeit. Sie kaufen Expertenstunden, und der Scope bestimmt die Stundenzahl.
- Tiefe. „Finden, was offenliegt“ ist günstiger als „Schwachstellen verketten, reale Auswirkungen demonstrieren und beweisen, was ein Angreifer erbeuten könnte“. Letzteres macht einen echten Pentest aus.
- Anforderungen an das Reporting. Ein Bericht, der einen Auditor, einen Versicherer oder das Sicherheitsteam eines Großkunden zufriedenstellen muss, erfordert Senior-Expertise beim Verfassen und Verteidigen.
- Wer die Arbeit ausführt. Ein Junior-Tester, der eine Checkliste abarbeitet, und ein Senior Operator, der bereits in gehärtete Umgebungen eingebrochen ist, rechnen völlig unterschiedlich ab, und die Ergebnisse unterscheiden sich noch stäker als die Rechnungen.
Wie vollständige Projekte kalkuliert werden
Vollständige Projekte werden individuell nach Scope kalkuliert, denn die Behauptung, ein Preis passe für jede Umgebung, führt dazu, dass Käufer entweder zu viel bezahlen oder unzureichend getestet werden. Wenn wir ein Angebot erstellen, basiert es auf demselben Prinzip wie das jedes ehrlichen Anbieters: wie viele Tage Senior-Arbeitsaufwand Ihr Scope tatsächlich benötigt.
Was auch ein vollständiger Pentest nicht abdeckt
Selbst die teure Variante hat ehrliche Grenzen, und Firmen, die diesen Absatz überspringen, wollen Ihnen etwas verkaufen. Ein Penetrationstest ist eine Momentaufnahme: Er gibt Auskunft über die im Scope befindlichen Systeme, während des Testzeitraums und im Rahmen der in den Rules of Engagement vereinbarten Techniken. Er ist keine Garantie, er deckt nicht die Anwendung ab, die Sie nächstes Quartal veröffentlichen, und er sagt nichts über Assets aus, die niemand in den Scope aufgenommen hat. Letzteres ist wichtiger, als die meisten Käufer ahnen. Deshalb halten wir die günstigste sinnvolle Sicherheitsinvestition dafür, überhaupt erst einmal die eigene exponierte Angriffsfläche zu kennen.
Wie Käufer zu viel bezahlen
Zwei Fehlermuster treten immer wieder auf. Das erste ist, Pentest-Preise für einen umbenannten Schwachstellenscan zu zahlen: ein automatisierter Tool-Durchlauf, exportiert und mit einem Logo neu formatiert. Wenn das Ergebnis verdächtig schnell eintrifft und sich wie ein Datenbank-Dump liest, ist genau das passiert. Das zweite ist, das günstigste Angebot anzunehmen, ohne zu fragen, wer tatsächlich an der Tastatur sitzt. Die Preisuntergrenze des Marktes für echte Senior-Arbeit wird durch Tagessätze bestimmt. Ein Angebot weit darunter sagt Ihnen also etwas über das Erfahrungsniveau, das Sie erhalten.
Die Absicherung gegen beides ist dieselbe: Fragen Sie, was manuell und was automatisiert erfolgt, fragen Sie, wer die Arbeit ausführt und wer sie prüft, und bitten Sie vor der Unterschrift um einen anonymisierten Musterbericht.
Die Kurzfassung
Echte Penetrationstests beginnen bei etwa 5.000 $ und skalieren mit dem Scope. Die oben genannten öffentlichen Ratgeber stimmen darin größtenteils überein. Unterhalb dieser Grenze liegen Scans und Checks, bei denen es sich um legitime Werkzeuge mit sinnvollem Einsatzzweck handelt, solange niemand sie als etwas ausgibt, was sie nicht sind.
Penetrationstest-Kosten: Schnelle Antworten
Was kostet ein Penetrationstest?
Die meisten abgegrenzten Tests durch erfahrene Prüfer liegen je nach Scope bei etwa 5.000 $ bis 50.000 $. Veröffentlichte Leitfäden beziffern Tests für Webanwendungen auf 5.000 $ bis 50.000 $ und externe Netzwerktests auf etwa 5.000 $ bis 20.000 $, bei Tagessätzen der Tester von 1.000 $ bis 3.000 $.
Warum ist ein Penetrationstest so teuer?
Der Preis entsteht hauptsächlich durch die Zeit qualifizierter Experten. Die Tagessätze sind hoch, weil das Fachwissen selten ist, und die Gesamtsumme steigt mit dem Scope, sodass ein größeres oder komplexeres Ziel mehr kostet.
Was ist der günstigste Weg, meine Sicherheit zu testen?
Automatisierte Schwachstellenscans sind günstig oder kostenlos und es lohnt sich, sie regelmäßig auszuführen, aber ein Scan ist kein Pentest. Nutzen Sie einen Scan für die fortlaufende Abdeckung, einen Check für einen schnellen ersten Blick und einen vollständigen Penetrationstest, wenn Sie Tiefgang benötigen.