Welche Testart zu welchem Risikoprofil passt, was die Prüfung realistisch kostet, wie Sie den Prüfumfang sauber abgrenzen und welche sieben Fragen Sie jedem Anbieter stellen sollten.
Viele Unternehmen scheitern beim IT-Sicherheitstest, bevor der erste Angriff simuliert wird. Nicht weil das Thema zu komplex wäre, sondern weil der Auftrag falsch gestellt ist: kein klarer Prüfumfang, keine Vorstellung vom Ergebnis, kein Plan für die Zeit danach. Was wir bei fast jedem Erstauftrag beobachten: Auftraggeber wissen nicht, welche Testart zu ihrem Risikoprofil passt, und holen Angebote ein, die sich kaum vergleichen lassen. Dieser Leitfaden ändert das. Er erklärt, welche Testarten es gibt, was sie realistisch kosten, wie Sie den Prüfumfang sauber definieren und welche sieben Fragen Sie jedem Anbieter stellen sollten, bevor Sie unterschreiben.
Ein Schwachstellenscan prüft automatisiert, ob bekannte Lücken existieren. Ein manueller Penetrationstest prüft, ob sie ausnutzbar sind, und dokumentiert funktionierende Angriffsketten. Red Teaming prüft darüber hinaus, ob Ihre Organisation den Angriff überhaupt bemerkt. Erst wenn diese Entscheidung gefallen ist, lohnt es sich, Angebote einzuholen - sonst vergleichen Sie Preise für drei verschiedene Leistungen.
“Je konkreter Ihr Prüfumfang, desto vergleichbarer die Angebote - und desto geringer das Risiko von Nachträgen.”
Die Kosten hängen an Umfang und Methode, nicht an der Branche. Nach den öffentlich einsehbaren Preisübersichten deutscher Anbieter liegt ein Web-Application-Pentest bei 3.000 bis 25.000 Euro netto, der Test einer Programmierschnittstelle bei 2.000 bis 12.000 Euro, eine externe Infrastrukturprüfung bei 3.000 bis 15.000 Euro und ein interner Netzwerktest bei 5.000 bis 30.000 Euro. Ein Red-Team-Assessment beginnt bei rund 25.000 Euro. Ein automatisierter Schwachstellenscan liegt mit 300 bis 3.000 Euro deutlich darunter, leistet aber auch deutlich weniger. Diese Spannen stammen aus den veröffentlichten Preisangaben von AWARE7, Reepa Solutions, microCAT, Code & Lein und ChannelPartner; im Pentest-Preisindex von Sodu Secure sind sie mit Quelle nachlesbar. Die größten Preistreiber sind die Anzahl der Anwendungen, IP-Adressen und Benutzerrollen, die gewählte Testtiefe sowie Compliance-Anforderungen aus NIS2, ISO 27001, DORA oder TISAX, die detailliertere Berichte und Nachweise erfordern.
Bevor Sie ein Angebot einholen, halten Sie schriftlich fest, welche Systeme, IP-Adressen, Domains, Anwendungen und Benutzerrollen in den Test einbezogen werden und welche ausdrücklich ausgeschlossen sind, und benennen Sie, wer während der Durchführung für Rückfragen erreichbar ist. Das BSI verlangt für IS-Penetrationstests grundsätzlich einen schriftlichen Auftrag mit genauer Abgrenzung des Prüfobjekts, benannten Ansprechpartnern und geregelten Abbruchkriterien - fehlen diese Angaben, fehlt auch die rechtliche Grundlage für den Test. Klären Sie außerdem früh, ob Sie den Test als Nachweis für ISO 27001, NIS2, DORA, TISAX oder PCI-DSS benötigen: Das wirkt sich direkt auf Berichtsformat, Prüftiefe und Anbieterqualifikation aus, und für Finanzinstitute sieht DORA bei einem TLPT zertifizierte Tester und eine aktive Testphase von mindestens zwölf Wochen vor. Sprechen Sie diese Anforderungen mit Ihrem Auditor ab, bevor Sie beauftragen, nicht danach. Drei Fehler treten beim ersten Test immer wieder auf: ein zu vager Prüfumfang, kein eingeplanter Nachtest zur Verifizierung behobener Schwachstellen und ein Bericht, für dessen Befunde niemand eine Behebungsreihenfolge festgelegt hat. Ebenso wichtig ist, wen Sie beauftragen: Qualifikation, Transparenz und geregelte Haftung sind keine netten Extras, sondern Mindestanforderungen.
Am Bericht entscheidet sich, ob der Test etwas verändert. Die Zusammenfassung für die Leitungsebene richtet sich an Geschäftsführung und Risikoverantwortliche: Gesamtbewertung der Sicherheitslage, kritische Angriffswege, Geschäftsrisiken und eine priorisierte Maßnahmen-Roadmap ohne Technikvokabular. Der technische Befundbericht dokumentiert jede einzelne Schwachstelle mit eindeutiger Befund-Kennung, betroffenem System, technischer Ursache, Reproduktionsschritten und konkreter Handlungsempfehlung. Jeder Befund sollte einen vollständigen CVSS-Vektor tragen, nicht nur eine Farbmarkierung, und einen Machbarkeitsnachweis enthalten - Screenshot, HTTP-Anfrage oder Protokollauszug -, der zeigt, dass die Lücke tatsächlich ausgenutzt wurde und kein theoretisches Risiko ist. Wer nur einen Scanner-Export bekommt, hat keinen verwertbaren Penetrationstest-Bericht. Sodu Secure schließt einen definierten Nachtest standardmäßig ein: Jeder Befund wird nach der Behebung erneut geprüft und mit einem aktualisierten Statusbericht dokumentiert. Für Entwicklerteams, die darüber hinaus kontinuierliche Prüfungen brauchen, gibt es mit AuditAI ein wöchentliches KI-gestütztes Code-Review als ergänzende Option.
Einen IT-Sicherheitstest richtig zu planen erfordert keine wochenlange Vorarbeit. Es braucht einen klaren Prüfumfang, die passende Testart für Ihr Risikoprofil, realistische Budgeterwartungen und die sieben Fragen als Filter für die Anbieterauswahl. Wer so vorgeht, vermeidet die drei teuersten Fehler: einen zu vagen Auftrag, einen Anbieter ohne nachweisbare Qualifikation und einen Bericht, der im Regal landet, weil niemand weiß, was als Nächstes zu tun ist. Beschreiben Sie uns Ihre Systeme - Sie erhalten einen konkreten Prüfumfang, ein individuell kalkuliertes Angebot und Begleitung bis zum abgeschlossenen Nachtest.
Beschreiben Sie kurz Ihre Systeme - wir melden uns mit einem konkreten Prüfumfang und einem individuell kalkulierten Angebot zurück. Nachtest inklusive.
Kein Spam, jederzeit abbestellen
Tagessätze, Preisspannen je Testart und übliche Aufschläge - jede Zahl mit Quelle und Datum.
Vergleichskriterien, Zertifizierungen und worauf Sie bei der Auswahl achten müssen.
Offensive Security, Sodu Secure GmbH
OSCP-zertifizierte Penetrationstester aus Berlin. Über 500 durchgeführte Pentests für Unternehmen vom Start-up bis zum Konzern - manuell geprüft, mit verifizierten Findings und kostenlosem Retest.
War dieser Artikel hilfreich?
Mit Ihrem Netzwerk teilen