Der richtige Penetrationstest Anbieter –
Wie man Qualität erkennt
Woran unterscheiden Sie seriöse Pentester von Anbietern, die einen automatisierten Scan als Penetrationstest verkaufen? Dieser Leitfaden zeigt die Prüfkriterien, die Warnsignale und die Anbieter-Typen am deutschen Markt – inklusive der offenen Einordnung, wo Sodu Secure dabei steht.
Woran erkennt man einen guten Penetrationstest-Anbieter?
Einen guten Penetrationstest-Anbieter erkennen Sie an zertifizierten Testern (z. B. OSCP, OSWE, CREST), dokumentierter Methodik nach OWASP, PTES oder BSI-Praxis-Leitfaden, einem aussagekräftigen Musterbericht mit CVSS-Bewertung, schriftlichem Vertrag inklusive NDA und Haftpflicht, nachweisbaren Referenzen sowie einem Retest nach der Behebung. Reine Schwachstellenscans, die als Pentest verkauft werden, sind das häufigste Warnsignal.
Grundlagen zuerst? Was ist ein Penetrationstest?
Made in Germany · OSCP-zertifiziert · Hand-getestet
Was unsere Kunden sagen
Teams aus der DACH-Region vertrauen auf Sodu Secure, um kritische Schwachstellen zu finden, bevor Angreifer es tun.
“Die Zusammenarbeit mit Sodu Secure war von Anfang an sehr professionell und angenehm. Besonders beeindruckt hat uns der detaillierte Abschlussbericht mit klaren Handlungsempfehlungen zur Behebung der gefundenen Probleme. Wir empfehlen Sodu Secure gerne als kompetenten und zuverlässigen Partner weiter.”
“Endlich ein Pentest-Partner, der nicht nur eine PDF abliefert. Das Team hat im Retest jede Schwachstelle persönlich verifiziert. Für unsere ISO-27001-Zertifizierung war das Gold wert.”
“Schnell, professionell und auf Augenhöhe mit unseren Entwicklern. Das wöchentliche AuditAI-Review fängt Probleme ab, bevor sie überhaupt in Produktion gehen.”
“Als Beratungshaus stehen und fallen wir mit dem Vertrauen unserer Mandanten. Sodu Secure hat unsere Systeme gründlich geprüft und uns nachvollziehbar gezeigt, wo wir nachbessern mussten. Absolut empfehlenswert.”
“Wir hatten Angst vor einem Pentest – am Ende war es der entspannteste IT-Termin des Jahres. Klare Sprache, faire Preise, echte Ergebnisse.”
“Die gefundenen Schwachstellen waren keine Theorie – das Team hat live demonstriert, wie ein Angreifer an unsere Kundendaten gekommen wäre. Das hat im Management sofort gesessen.”
“Die Zusammenarbeit mit Sodu Secure war von Anfang an sehr professionell und angenehm. Besonders beeindruckt hat uns der detaillierte Abschlussbericht mit klaren Handlungsempfehlungen zur Behebung der gefundenen Probleme. Wir empfehlen Sodu Secure gerne als kompetenten und zuverlässigen Partner weiter.”
“Endlich ein Pentest-Partner, der nicht nur eine PDF abliefert. Das Team hat im Retest jede Schwachstelle persönlich verifiziert. Für unsere ISO-27001-Zertifizierung war das Gold wert.”
“Schnell, professionell und auf Augenhöhe mit unseren Entwicklern. Das wöchentliche AuditAI-Review fängt Probleme ab, bevor sie überhaupt in Produktion gehen.”
“Als Beratungshaus stehen und fallen wir mit dem Vertrauen unserer Mandanten. Sodu Secure hat unsere Systeme gründlich geprüft und uns nachvollziehbar gezeigt, wo wir nachbessern mussten. Absolut empfehlenswert.”
“Wir hatten Angst vor einem Pentest – am Ende war es der entspannteste IT-Termin des Jahres. Klare Sprache, faire Preise, echte Ergebnisse.”
“Die gefundenen Schwachstellen waren keine Theorie – das Team hat live demonstriert, wie ein Angreifer an unsere Kundendaten gekommen wäre. Das hat im Management sofort gesessen.”
“Die Zusammenarbeit mit Sodu Secure war von Anfang an sehr professionell und angenehm. Besonders beeindruckt hat uns der detaillierte Abschlussbericht mit klaren Handlungsempfehlungen zur Behebung der gefundenen Probleme. Wir empfehlen Sodu Secure gerne als kompetenten und zuverlässigen Partner weiter.”
“Endlich ein Pentest-Partner, der nicht nur eine PDF abliefert. Das Team hat im Retest jede Schwachstelle persönlich verifiziert. Für unsere ISO-27001-Zertifizierung war das Gold wert.”
“Schnell, professionell und auf Augenhöhe mit unseren Entwicklern. Das wöchentliche AuditAI-Review fängt Probleme ab, bevor sie überhaupt in Produktion gehen.”
“Als Beratungshaus stehen und fallen wir mit dem Vertrauen unserer Mandanten. Sodu Secure hat unsere Systeme gründlich geprüft und uns nachvollziehbar gezeigt, wo wir nachbessern mussten. Absolut empfehlenswert.”
“Wir hatten Angst vor einem Pentest – am Ende war es der entspannteste IT-Termin des Jahres. Klare Sprache, faire Preise, echte Ergebnisse.”
“Die gefundenen Schwachstellen waren keine Theorie – das Team hat live demonstriert, wie ein Angreifer an unsere Kundendaten gekommen wäre. Das hat im Management sofort gesessen.”
Welche Zertifizierungen zeigen echte Pentest-Kompetenz?
Aussagekräftig sind Zertifikate mit praktischer Prüfung: OSCP, OSWE, GPEN und CREST verlangen, dass Kandidaten unter Zeitdruck reale Systeme kompromittieren. Reine Wissensprüfungen wie die CEH-Basisprüfung belegen Fachwissen, aber kein praktisches Können. Entscheidend ist außerdem, dass die Zertifikate auf die konkret eingesetzten Tester lauten – nicht auf das Unternehmen.
Offensive Security Certified Professional – Gold Standard für Penetrationstests. Beweis echten praktischen Könnens.
Certified Ethical Hacker – Breit anerkannte Zertifizierung. Zeigt fundiertes Security-Wissen.
Certified Information Systems Security Professional – Senior-Level Zertifizierung mit 5+ Jahren Erfahrung.
GIAC Penetration Tester – Hochwertiger Standard, vergleichbar mit OSCP.
eLearnSecurity Junior Penetration Tester – Einstiegszertifikat. Als alleiniger Qualifikationsnachweis eines Testers zu wenig.
Auswahlkriterien im Vergleich: 8 Punkte für Ihre Shortlist
Mit diesen Kriterien vergleichen Sie Penetrationstest-Anbieter strukturiert – aufgebaut auf den Empfehlungen des BSI-Praxis-Leitfadens für IS-Penetrationstests.
| Kriterium | Woran Sie es erkennen | Warum es zählt |
|---|---|---|
| Tester-Zertifikate | OSCP, OSWE, OSEP oder CREST – namentlich pro eingesetztem Tester, nicht nur als Logo auf der Website | Praktische Prüfungen wie die 24-Stunden-Prüfung des OSCP belegen echtes Können. Die CEH-Basisprüfung ist dagegen eine reine Wissensprüfung. |
| Methodik | OWASP Testing Guide, PTES, NIST SP 800-115 oder BSI-Praxis-Leitfaden – schriftlich dokumentiert | Das BSI empfiehlt Whitebox-Tests: Bei reinen Blackbox-Tests werden Schwachstellen übersehen und Innentäter-Szenarien fehlen. |
| Unabhängigkeit | Externe Prüfer, die das Prüfobjekt weder konzipiert noch betrieben haben; Testteam aus mindestens zwei Personen | BSI-Empfehlung: Vier-Augen-Prinzip und Unabhängigkeit machen Ergebnisse belastbar – auch gegenüber Auditoren. |
| Vertrag & Haftung | Schriftlicher Scope, Prüfzeitraum, NDA, Datenlöschung nach Projektende, Berufs- bzw. Cyberhaftpflicht | Das BSI ist eindeutig: nie ohne schriftlichen Auftrag testen. Der Vertrag schützt beide Seiten rechtlich. |
| Referenzen | Branchen und Unternehmensgrößen bisheriger Projekte bestätigen lassen – Kundennamen stehen oft unter NDA | Zeigt, ob der Anbieter Ihre Systemlandschaft und Ihre Regulierung (DSGVO, NIS2, ISO 27001) wirklich kennt. |
| Berichtqualität | Geschwärzten Musterbericht anfordern: Management Summary, technische Findings mit CVSS, konkrete Empfehlungen | Der Bericht ist das eigentliche Produkt. Ohne klare Struktur bleibt die Behebung im Alltag liegen. |
| Retest | Nachtest nach der Behebung ist im Angebot ausgewiesen – idealerweise ohne Aufpreis | Ohne Retest fehlt der Nachweis, dass die Schwachstellen tatsächlich geschlossen wurden. |
| Preistransparenz | Angebot erst nach Scoping-Gespräch; marktübliche Tagessätze liegen bei ca. 1.000–1.800 € | Pauschalangebote weit darunter sind in der Regel automatisierte Scans – keine echten Penetrationstests. |
Quellen: Methodik- und Vertragskriterien nach dem BSI-Praxis-Leitfaden für IS-Penetrationstests (PDF) · Tagessatz-Spannen laut ChannelPartner und CODE-LEIN.
Was sollten Sie vor der Beauftragung prüfen?
Vor der Beauftragung eines Penetrationstest-Anbieters gehören sechs Dinge auf den Tisch: die Zertifikate der eingesetzten Tester, ein geschwärzter Musterbericht, Referenzen aus vergleichbaren Projekten, die dokumentierte Methodik, eine nachvollziehbare Erklärung des manuellen Testanteils und Erfahrung in Ihrer Branche.
Zertifizierungen prüfen
OSCP, CEH oder GPEN sind Minimum. CISSP zeigt seniore Expertise. Junior-Zertifizierungen (eJPT) sind Warnsignal.
Sample-Reports anfordern
Professionelle Reports haben: Executive Summary, PoC-Screenshots, Findings nach Severity, Remediation Guide.
Referenzen & Kundenaussagen
Fragen Sie nach Referenzen oder Case Studies. Seriöse Pentester haben reale Kunden & Testimonials.
Methodologie verstehen
OWASP Top 10? PTES? NIST? Der Pentester sollte einen klaren, dokumentierten Prozess haben.
Manuelle Expertise nachvollziehen
Fragen Sie: 'Was findet ein Mensch, was Tools nicht finden?' – Der beste Pentester erklärt das gerne.
Erfahrung in Ihrer Branche
Ein Tester mit Projekten im Finanz-, Gesundheits- oder Automotive-Umfeld kennt die dort geltenden Regulierungen (DORA, MDR, TISAX) bereits.
Welche Warnsignale sprechen gegen einen Anbieter?
Sechs Warnsignale deuten auf einen unseriösen Penetrationstest hin: ein Pauschalpreis ohne Scoping, ausschließlich automatisierte Tools, keine schriftliche Scope-Freigabe, kein angebotener Retest, ein Bericht ohne Proof-of-Concept und eine dünne Geheimhaltungsvereinbarung. Trifft eines davon zu, lohnt sich die Rückfrage vor der Unterschrift.
Günstige Pauschalpreise
€500 für einen Pentest? Vorsicht! Seriöse Pentester arbeiten nach Scope & Aufwand.
Nur automatisierte Tools
Wenn nur Nessus/Qualys laufen: Das ist kein Pentest, das ist Vulnerability Scanning.
Keine schriftliche Genehmigung verlangt
Legitime Pentester verlangen immer einen Pentest-Vertrag & schriftliche Scope-Freigabe.
Kein Retest angeboten
Nach Behebung sollte kostenlos retestet werden. Wenn nicht: Keine Qualitätskontrolle.
Unzureichende Dokumentation
Wenn nur eine Tabelle ohne Context & PoC: Das ist nicht audit-ready.
Unzureichende NDA
Findings aus einem Pentest sind hochsensibel. Eine belastbare Geheimhaltungsvereinbarung ist Standard, nicht Verhandlungssache.
BSI-zertifizierte Penetrationstest-Anbieter: Was steckt dahinter?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zertifiziert sowohl Unternehmen als auch einzelne Penetrationstester. Drei Bausteine sollten Sie kennen, bevor Sie einen Anbieter auswählen.
„Die Grundlage jeder Dienstleistung sind qualifizierte und kompetente Mitarbeiter.“
Die offizielle BSI-Liste
Das BSI führt eine Liste zertifizierter IT-Sicherheitsdienstleister im Geltungsbereich IS-Penetrationstests – aktuell rund zwei Dutzend Unternehmen, darunter Telekom Security, TÜV Informationstechnik, SySS, HiSolutions, PwC und EY. Die Zertifikate sind in der Regel drei Jahre gültig.
Zur offiziellen BSI-ListeBSI-Kompetenzfeststellung für Tester
Das BSI prüft Zuverlässigkeit, Unabhängigkeit, Fachkompetenz und Qualität der Prüfer. Als Praxisnachweis erkennt es 11 externe Zertifikate an – darunter OSCP, CREST CRT und GIAC GPEN. Voraussetzung: mindestens 60 % Praxisanteil, Zertifikat maximal drei Jahre alt.
Kompetenzfeststellung beim BSIDer BSI-Praxis-Leitfaden
Der kostenlose Praxis-Leitfaden für IS-Penetrationstests ist die beste neutrale Checkliste für Ihre Anbieterwahl: Whitebox als Standard, Vier-Augen-Prinzip, klare Vertragsinhalte, Berichtsstruktur mit CVSS-Bewertung und Wiederholungsprüfungen alle zwei bis drei Jahre.
Praxis-Leitfaden lesen (PDF)Brauchen Sie zwingend einen BSI-zertifizierten Dienstleister?
In den meisten Fällen: nein. Die BSI-Zertifizierung ist vor allem dann relevant, wenn Behörden oder KRITIS-Betreiber sie in Ausschreibungen fordern. Für KMU und Mittelstand sind die Qualifikation der eingesetzten Tester und eine saubere Methodik entscheidender als das Firmen-Zertifikat. Transparenz unsererseits: Sodu Secure steht nicht auf der BSI-Liste. Unsere Tester sind OSCP-zertifiziert – eines der Zertifikate, die das BSI selbst als Praxis-Kompetenznachweis anerkennt – und wir orientieren uns am BSI-Praxis-Leitfaden: schriftliche Scope-Freigabe, manuelles Testing und ein Bericht mit Management Summary, CVSS-Bewertung und konkreten Empfehlungen.
Wofür steht Sodu Secure als Anbieter?
Sodu Secure ist eine spezialisierte Pentest-Boutique aus Berlin mit OSCP-, OSWE- und CEH-zertifizierten Testern und über 500 durchgeführten Penetrationstests. Getestet wird manuell, berichtet wird in Deutsch und Englisch, abgerechnet wird zum Festpreis – der Retest nach der Behebung ist enthalten.
Zertifizierte Pentester
OSCP, OSWE und CEH: unsere Experten sind offiziell zertifiziert. Keine Junior-Tester.
Manuelle Exploits
Wir benutzen Tools als Hilfe, aber finden Schwachstellen durch echtes Denken & Kreativität.
Audit-Ready Reports
Nicht nur Scan-Ergebnisse. Professionelle Reports mit PoCs, Geschäftskontexte, Remediation-Guides.
ISO 27001 & Compliance
Findings werden auf Annex A 8.8 (ISO 27001:2022), § 30 BSIG (NIS2), BSI-Grundschutz und Art. 32 DSGVO gemappt – auditfähig dokumentiert.
Partnerschaftlicher Ansatz
Fester Ansprechpartner, direkter Draht zum Tester, Zwischenstände statt Blackbox bis zur Berichtsabgabe.
Kostenloser Retest
Nach Behebung der Findings: Kostenlos retesten. Das ist Standard bei uns.
Welcher Pentest-Typ passt zu welchem Ziel?
Ein automatisierter Schwachstellenscan eignet sich für den schnellen Überblick, ein interner Penetrationstest für Netzwerke und Domänen, ein externer für alles, was aus dem Internet erreichbar ist, und ein Red Team Assessment für die Frage, ob ein Angriff überhaupt bemerkt wird. Manueller Anteil und Aufwand steigen in dieser Reihenfolge.
| Pentest-Typ | Tool-Einsatz | Manueller Anteil | Kosten (marktüblich) | Dauer | Geeignet für |
|---|---|---|---|---|---|
| Automatisierter Schwachstellenscan | überwiegend automatisiert | Sichtung der Treffer | 500 – 1.500 € | 1 – 2 Tage | Schneller Security-Check, Compliance-Start |
| Interner Penetrationstest | unterstützend | überwiegend manuell | 2.000 – 6.000 € | 3 – 10 Tage | Interne Systeme, Netzwerk-Security |
| Externer Penetrationstest | unterstützend | überwiegend manuell | 3.000 – 12.000 € | 5 – 14 Tage | Web-Apps, APIs, aus dem Internet erreichbare Systeme |
| Red Team Assessment | gering | nahezu vollständig manuell | 8.000 – 25.000 €+ | 2 – 4 Wochen | Konzerne, realistische Angriffssimulation |
Kostenspannen sind marktübliche Orientierungswerte über mehrere Anbieter hinweg, keine Preisliste von Sodu Secure. Belegte Marktpreise je Testart mit Quellenangabe finden Sie unter Pentest Kosten.
Der Markt im Überblick: Vier Typen von Pentest-Anbietern
Vom Big4-Beratungshaus bis zur Scan-Plattform – welcher Anbieter-Typ passt zu welchem Unternehmen?
Big4 & große Beratungshäuser
PwC und EY stehen auch auf der BSI-Liste. Stärken: Konzernprojekte, internationale Teams, formale Prozesse. Dafür längere Vorlaufzeiten und Budgets im oberen Segment.
Passt zu: Konzernen mit Ausschreibungspflicht
TÜV- & Prüfkonzerne
TÜV Informationstechnik und TÜV TRUST IT sind BSI-zertifiziert. Stärken: Nähe zu Zertifizierungsverfahren und Behördenumfeld, etablierte Prüfprozesse.
Passt zu: regulierten Branchen und KRITIS
Spezialisierte Boutiquen
Senior-Tester statt Junior-Rotation, direkter Draht zum Tester, schnelle Termine, faire Preise. Die Kategorie von Sodu Secure – und von BSI-gelisteten Mittelständlern wie SySS oder secuvera.
Passt zu: KMU und Mittelstand mit konkretem Prüfobjekt
Scan- & PTaaS-Plattformen
Günstig und schnell, aber weitgehend automatisiert. Als kontinuierliche Ergänzung sinnvoll – ersetzt jedoch keinen manuellen Penetrationstest durch zertifizierte Prüfer.
Passt zu: laufendem Basis-Monitoring
Preis-Orientierung: Marktübliche Tagessätze für qualifizierte Pentester liegen bei ca. 1.000–1.800 € (laut ChannelPartner bzw. CODE-LEIN), typische Projekte dauern 2–10 Tage. Was das für Ihr Projekt bedeutet, zeigen unsere Seite Pentest Kosten und der Preisrechner.
Warum 500 € kein Penetrationstest sein können
Marktübliche Tagessätze für qualifizierte Pentester liegen bei 1.000 bis 1.800 €. Ein Angebot über 500 € für einen kompletten „Pentest“ deckt damit nicht einmal einen halben Testtag ab – dahinter steckt in aller Regel ein automatisierter Scan. Ein manueller Penetrationstest wird individuell kalkuliert und kostet meist 4.000 bis 20.000 €.
Pentest Dienstleister, Pentest-Firma oder Penetrationstest Anbieter: Worauf es wirklich ankommt
Ob Sie nach einem Pentest Dienstleister, einem Penetrationstest Dienstleister, einer Pentest-Firma, einem Pentest-Unternehmen oder englisch nach einem Penetration Test Anbieter suchen: Gemeint ist immer dasselbe – ein externer IT-Sicherheitsdienstleister, der autorisierte Angriffe auf Ihre Systeme durchführt und die Ergebnisse so dokumentiert, dass Ihr Team sie beheben kann.
Wichtig zu wissen: Weder „Pentest“ noch „Penetrationstest“ ist ein geschützter Begriff. Jede Firma darf sich so nennen, und die Qualitätsspanne reicht vom umformatierten Schwachstellenscan bis zum mehrwöchigen Red-Team-Einsatz. Genau deshalb ersetzt die Prüfung der Tester-Qualifikation die fehlende Berufszulassung.
Bei der Dienstleister-Auswahl zählt deshalb nicht das Etikett, sondern die Substanz: nachweisbare Tester-Qualifikation, dokumentierte Methodik, belastbarer Vertrag und ein Bericht, mit dem Sie arbeiten können. Bewährtes Vorgehen für die Auswahl:
- Zwei bis drei Anbieter shortlisten und jeweils einen geschwärzten Musterbericht anfordern
- Die Zertifikate der konkret eingesetzten Tester nennen lassen (OSCP, OSWE, OSEP, CREST)
- Ein Scoping-Gespräch führen: Seriöse Dienstleister nennen Preise erst nach Klärung des Prüfumfangs
- Vertrag prüfen: schriftlicher Scope, NDA, Haftung, Datenlöschung und Retest nach der Behebung
Häufige Fragen zu Penetrationstest Anbietern
Woran Sie professionelle Methodik erkennen
Seriöse Penetrationstest Anbieter arbeiten nach dokumentierten Methodiken statt nur mit automatisierten Scans: Der OWASP Web Security Testing Guide und NIST SP 800-115 definieren, wie professionelle Sicherheitstests ablaufen, und MITRE ATT&CK katalogisiert die realen Angreifer-Taktiken, gegen die getestet wird.
Fragen Sie Anbieter deshalb konkret nach Methodik, Zertifizierungen der Tester (z. B. OSCP) und einem geschwärzten Beispielbericht – das trennt Qualität zuverlässig von Scan-Resellern.
Offizielle Quellen
Seriöse Pentester beauftragen
OSCP Certified · Zertifizierte Experten · Audit-Ready Reports · Kostenlos Retest
Jetzt starten – kostenlos & unverbindlich
Egal ob Sie schon konkret planen oder erst Orientierung brauchen – wählen Sie einfach den passenden Weg.
Ich möchte mich informieren
Konfigurieren Sie Ihren Pentest in unter 3 Minuten und erfahren Sie sofort & kostenlos den Preis – transparent, ohne Verpflichtung und ohne Wartezeit.
- Preis sofort online berechnen
- Transparente Preise - individuell kalkuliert
- Keine Anmeldung nötig
Ich möchte mich beraten lassen
Hinterlassen Sie Ihre Kontaktdaten – wir rufen Sie innerhalb von 24 Stunden zurück und beraten Sie kostenlos & unverbindlich.