Was kostet ein Penetrationstest? Ehrliche Marktübersicht mit echten Zahlen

Warum Pentest-Preise so intransparent wirken

Kaum ein Pentest-Anbieter nennt öffentlich Preise - und wer Angebote einholt, bekommt Spannen, die sich um den Faktor zehn unterscheiden können. Das liegt nicht an Willkür, sondern daran, dass ein Penetrationstest eine Dienstleistung nach Aufwand ist: Der Preis entsteht aus Personentagen mal Tagessatz, und der Aufwand hängt vom Prüfobjekt ab. Trotzdem gibt es belastbare öffentliche Zahlen. Für diesen Artikel haben wir die Preisangaben mehrerer deutscher Quellen ausgewertet: der Anbieter AWARE7, CODE-LEIN, Reepa Solutions und microCAT sowie des IDG-Fachmediums ChannelPartner. Das Ergebnis ist eine ehrliche Marktübersicht - mit allen Quellen im Text, damit Sie jede Zahl nachprüfen können.

Marktübersicht: Belegte Preisspannen deutscher Quellen

• •AWARE7 GmbH (Pentest-Anbieter): Tagessatz 1.350 Euro netto. Kleine Web-App 3.000-8.000 Euro, mittelgroße Web-App mit mehreren Rollen und API 8.000-20.000 Euro, komplexe Web-App 15.000-50.000 Euro, internes Netzwerk bis 50 Hosts 5.000-12.000 Euro, externes Netzwerk 3.000-8.000 Euro, Mobile App 5.000-15.000 Euro, Red Team 25.000 bis über 100.000 Euro. Typische KMU-Projekte: 3.000-12.000 Euro.
• •CODE-LEIN GmbH (Fachblog): Manueller Pentest in Deutschland gesamt 4.000-30.000 Euro, Web-App-Pentest 4.000-12.000 Euro, Infrastruktur-Pentest 8.000-25.000 Euro. Tagessätze qualifizierter Tester 1.200-1.800 Euro. Wichtig zur Einordnung: Ein reiner Schwachstellenscan kostet dagegen nur 300-3.000 Euro.
• •ChannelPartner (IDG-Fachmedium): Der zitierte Aramido-Gründer Armin Harbrecht nennt Tagessätze von typischerweise 1.000-1.800 Euro. Pentests dauern meist 2 bis 10 Testtage - daraus ergeben sich Gesamtkosten von rund 2.000 Euro für einen kurzen bis etwa 18.000 Euro für einen aufwändigen Test.
• •Reepa Solutions: Web-Application-Pentest 6.000-25.000 Euro (5-15 Personentage), API-Pentest 4.000-12.000 Euro, Mobile App für iOS und Android 8.000-18.000 Euro, externe Infrastruktur 3.000-15.000 Euro, interne Infrastruktur 8.000-30.000 Euro, Active-Directory-Audit 8.000-20.000 Euro, Cloud-Audit 6.000-18.000 Euro. Tagessätze: Junior ca. 800 Euro, Senior 1.200-1.800 Euro, Spezialisten ab 2.000 Euro.
• •microCAT: Allgemeine Spanne 2.000-25.000 Euro. Internes Netzwerk mit 10-20 IPs 5.000-7.500 Euro, komplexe Infrastruktur inklusive Cloud 10.000-20.000 Euro, Social-Engineering-Kampagne 4.000-8.000 Euro. Retest nach der Behebung: 1.000-2.000 Euro, meist ein Testtag. Tagessätze 900-1.800 Euro.
• •Konsolidiert über alle Quellen ergibt sich pro Testart: Web-App ca. 3.000-25.000 Euro je nach Komplexität, API 4.000-12.000 Euro, externe Infrastruktur 3.000-15.000 Euro, interne Infrastruktur und Active Directory 5.000-30.000 Euro, Mobile App 5.000-18.000 Euro, Cloud 5.000-20.000 Euro, Red Team 25.000-100.000 Euro. Die Spannen sind je Anbieter unterschiedlich geschnitten - wirklich vergleichbar werden Angebote erst, wenn Personentage und Tagessatz ausgewiesen sind.

Die Kostenfaktoren: Was den Preis wirklich bestimmt

Der Preis eines Penetrationstests folgt fast immer demselben Modell: Personentage mal Tagessatz plus Berichtserstellung. Der mit Abstand größte Hebel ist laut CODE-LEIN der Scope - also die Anzahl der Systeme, Anwendungen und IP-Adressen. Danach folgen die Komplexität des Prüfobjekts (Rollenmodelle, Schnittstellen, Geschäftslogik), der Testansatz (Black-, Grey- oder White-Box) und die Berichtstiefe inklusive Nachtest. Compliance-Anforderungen erhöhen den Aufwand laut Reepa Solutions um 30-60 Prozent, kurzfristige Rush-Projekte kosten dort 20-30 Prozent Aufschlag.

So budgetieren Sie richtig: 8 Praxis-Tipps

Mit diesen acht Punkten holen Sie vergleichbare Angebote ein, erkennen Mogelpackungen und setzen Ihr Budget dort ein, wo es die Sicherheit tatsächlich verbessert.

Fazit: Realistisch budgetieren statt billig einkaufen

Die ehrliche Antwort auf die Kostenfrage lautet: Ein professioneller, manueller Penetrationstest kostet in Deutschland je nach Scope meist zwischen 4.000 und 30.000 Euro, klar umrissene kleinere Projekte auch darunter. Die Quellen dieser Übersicht - AWARE7, CODE-LEIN, Reepa Solutions, microCAT und ChannelPartner - kommen trotz unterschiedlicher Paket-Schnitte auf sehr ähnliche Tagessätze von 900 bis 1.800 Euro. Wer deutlich darunter anbietet, verkauft in der Regel keinen Pentest, sondern einen automatisierten Scan.

Sodu Secure arbeitet mit transparenten Festpreisen nach Scoping-Gespräch: Web-App-Pentests ab 1.499 Euro, Netzwerk- und Active-Directory-Tests ab 2.500 Euro - inklusive kostenlosem Retest und Bericht innerhalb von 24 Stunden auf Deutsch und Englisch. Die vollständige Preisübersicht und das Anfrageformular finden Sie über die verlinkten Seiten unten - Sie erhalten innerhalb eines Werktags ein konkretes Angebot mit ausgewiesenen Personentagen.