Pentest Preisindex
Preise und Marktspannen
Der Pentest Preisindex stellt die Preisstufen von Sodu Secure den publizierten Marktspannen deutscher Anbieter und Fachmedien gegenüber. Alle Sodu-Werte stammen aus dem eigenen Preis-Konfigurator, alle Marktwerte aus fünf namentlich genannten, verlinkten Quellen. Stand: 30. September 2026.
Ein automatisierter Schwachstellenscan startet bei Sodu Secure ab 1.499 €. Manuelle Penetrationstests werden individuell kalkuliert und liegen meist zwischen 4.000 und 20.000 €. Die ausgewerteten Marktquellen nennen für manuelle Pentests in Deutschland 4.000 bis 30.000 € (Code & Lein) und für Projekte von 2 bis 10 Testtagen 2.000 bis 18.000 € (ChannelPartner), bei Tagessätzen von 900 bis 1.800 € netto.
Quellenangabe: Sodu Secure, Pentest Preisindex, sodusecure.com/pentest-preisindex
Woher die Zahlen stammen
Datensatz 1: Sodu Secure
Die Preisstufen stammen unverändert aus der Kalkulationsgrundlage des eigenen Preis-Konfigurators. Es sind die Festpreise, die ein Interessent im Konfigurator angezeigt bekommt, aufgeschlüsselt nach Testart und Größenstufe. Es handelt sich nicht um Durchschnittswerte aus abgerechneten Projekten und nicht um eine Umfrage, sondern um die publizierte Preisliste selbst.
Jede Stufe ist zusätzlich nach Leistungsart eingeordnet: scan-basierte Prüfung oder manueller Penetrationstest. Diese Einordnung stammt von Sodu Secure, nicht aus dem Konfigurator, und trennt den Einstiegspreis von 1.499 € für den Schwachstellenscan von den manuell durchgeführten Tests.
Datensatz 2: Marktspannen
Ausgewertet wurden fünf öffentlich zugängliche deutschsprachige Veröffentlichungen: die Preisübersichten der Anbieter AWARE7, Reepa Solutions, microCAT und Code & Lein sowie ein Beitrag des Fachmagazins ChannelPartner. Jede Spanne ist der Quelle zugeordnet, aus der sie stammt. Es wurde nichts gemittelt, umgerechnet oder hochgerechnet.
Die Spannen sind je Quelle unterschiedlich geschnitten, weil Scope, Testtiefe und Personentage variieren. Sie sind daher nur bedingt direkt vergleichbar und ersetzen keine Angebotsprüfung.
Sodu Secure neben den Marktspannen
Links die Festpreisstufen aus dem Konfigurator, rechts die publizierte Spanne der jeweils genannten Quelle. Wo keine vergleichbar geschnittene Marktangabe vorliegt, steht das ausdrücklich dort.
Wichtig zur Einordnung: Die Einstiegsstufen sind scan-basierte Prüfungen. Ein vollständig manueller Penetrationstest wird individuell kalkuliert und liegt meist zwischen 4.000 und 20.000 Euro. Welche Stufe was ist, steht in der Spalte Leistungsart.
| Testart | Sodu Secure | Leistungsart | Marktspanne | Quellen |
|---|---|---|---|---|
| Schwachstellenscan (automatisiert) | ab 1.499 €Einstiegsstufe im Konfigurator | Scan-basiert | 300 – 3.000 € | Code & Lein |
| Webanwendung | 1.499 € / 7.000 € / 10.000 €Klein (5 Tage) · Mittel (4 Wochen) · Groß (4 Wochen) | Einstiegsstufe scan-basiert, ab 7.000 € manueller Pentest | 3.000 – 25.000 €komplexe Anwendungen bis 50.000 € | AWARE7 · Reepa Solutions · Code & Lein |
| API / Schnittstellen | 1.499 € / 7.000 € / 10.000 €Klein (2 Wochen) · Mittel (4 Wochen) · Groß (6 Wochen) | Einstiegsstufe scan-basiert, ab 7.000 € manueller Pentest | 2.000 – 12.000 € | Reepa Solutions · microCAT |
| Mobile App (iOS / Android) | 1.499 € / 7.000 € / 10.000 €Klein (5 Tage) · Mittel (4 Wochen) · Groß (4 Wochen) | Einstiegsstufe scan-basiert, ab 7.000 € manueller Pentest | 5.000 – 18.000 € | AWARE7 · Reepa Solutions |
| Öffentliche Infrastruktur / Perimeter | 2.500 € / 10.000 € / 20.000 €5 · 100 · 250 Systeme | Einstiegsstufe scan-basiert, ab 10.000 € manueller Pentest | 3.000 – 15.000 €als externe Infrastruktur / DMZ beziffert | AWARE7 · Reepa Solutions |
| Interne Infrastruktur | 2.500 € / 10.000 € / 20.000 €5 · 100 · 250 Systeme | Einstiegsstufe scan-basiert, ab 10.000 € manueller Pentest | 5.000 – 30.000 € | AWARE7 · Reepa Solutions · microCAT · Code & Lein |
| Active Directory | 2.500 € / 10.000 € / 20.000 €Klein · Mittel · Groß | Einstiegsstufe scan-basiert, ab 10.000 € manueller Pentest | 8.000 – 20.000 € | Reepa Solutions |
| Phishing / Social Engineering | 2.000 € / 4.500 € / 8.000 €Starter (2 Wochen) · Professional (4 Wochen) · Enterprise (6 Wochen) | Manuelle Social-Engineering-Kampagne | 4.000 – 8.000 € | microCAT |
| KMU-Paket (kombiniert) | 8.000 € / 10.500 € / 13.000 €Basis · Basis + Intern · Komplett | Manueller Pentest | keine Angabekeine vergleichbar geschnittene Paketangabe in den ausgewerteten Quellen | keine Quelle |
| Re-Test nach Behebung | Inklusive2 Monate nach Behebung | Nachprüfung der behobenen Funde | 1.000 – 2.000 € | microCAT |
Preisstufen von Sodu Secure im Detail
Festpreise je Testart und Größenstufe, inklusive hinterlegter Projektdauer. Die Spalte Leistungsart zeigt, ob eine Stufe scan-basiert geprüft oder manuell durchgeführt wird.
| Testart | Stufe | Preis | Leistungsart | Dauer | Prüfinhalt |
|---|---|---|---|---|---|
| Webanwendung | Klein | 1.499 € | Scan-basiert | 5 Tage | Einfache Webanwendungen mit begrenztem Umfang. |
| Webanwendung | Mittel | 7.000 € | Manueller Pentest | 4 Wochen | Manueller Pentest inkl. OWASP Top 10, Authentifizierung und Session-Management. |
| Webanwendung | Groß | 10.000 € | Manueller Pentest | 4 Wochen | Business-Logic-Tests, API-Endpunkte und komplexe Angriffsszenarien. |
| Mobile App (iOS / Android) | Klein | 1.499 € | Scan-basiert | 5 Tage | Statische Analyse und grundlegende dynamische Tests der App. |
| Mobile App (iOS / Android) | Mittel | 7.000 € | Manueller Pentest | 4 Wochen | API-Kommunikation, Datenspeicherung und Reverse Engineering. |
| Mobile App (iOS / Android) | Groß | 10.000 € | Manueller Pentest | 4 Wochen | Binary-Analyse, Runtime-Manipulation und Backend-Integration. |
| API / Schnittstellen | Klein | 1.499 € | Scan-basiert | 2 Wochen | Prüfung der API-Endpunkte auf gängige Schwachstellen und Fehlkonfigurationen. |
| API / Schnittstellen | Mittel | 7.000 € | Manueller Pentest | 4 Wochen | Authentifizierung, Autorisierung und Datenvalidierung. |
| API / Schnittstellen | Groß | 10.000 € | Manueller Pentest | 6 Wochen | Business-Logic-Tests und Rate-Limiting-Prüfung. |
| Interne Infrastruktur | Klein (5 Systeme) | 2.500 € | Scan-basiert | nach Scope | Schwachstellenscan und manuelle Verifikation der internen Netzwerk-Infrastruktur. |
| Interne Infrastruktur | Mittel (100 Systeme) | 10.000 € | Manueller Pentest | nach Scope | Lateral Movement, Privilege Escalation und Segmentierungsprüfung. |
| Interne Infrastruktur | Groß (250 Systeme) | 20.000 € | Manueller Pentest | nach Scope | Active-Directory-Angriffspfade und vollständige Netzwerk-Penetration. |
| Öffentliche Infrastruktur / Perimeter | Klein (5 Systeme) | 2.500 € | Scan-basiert | nach Scope | Externer Schwachstellenscan und manuelle Verifikation der erreichbaren Systeme. |
| Öffentliche Infrastruktur / Perimeter | Mittel (100 Systeme) | 10.000 € | Manueller Pentest | nach Scope | Service-Enumeration und Exploit-Verifikation. |
| Öffentliche Infrastruktur / Perimeter | Groß (250 Systeme) | 20.000 € | Manueller Pentest | nach Scope | Mehrstufige externe Angriffsszenarien. |
| Active Directory | Klein | 2.500 € | Scan-basiert | nach Scope | AD-Konfiguration, Passwort-Policy und grundlegende Schwachstellen. |
| Active Directory | Mittel | 10.000 € | Manueller Pentest | nach Scope | Kerberos-Angriffe, ACL-Missbrauch und Trust-Relationships. |
| Active Directory | Groß | 20.000 € | Manueller Pentest | nach Scope | AD Red Team Assessment mit Domain Dominance und Persistence-Techniken. |
| KMU-Paket (kombiniert) | Basis | 8.000 € | Manueller Pentest | 3–4 Wochen | Grundlegendes Sicherheitspaket für kleine Unternehmen. |
| KMU-Paket (kombiniert) | Basis + Intern | 10.500 € | Manueller Pentest | 4–5 Wochen | Erweitertes Paket inkl. interner Infrastrukturprüfung. |
| KMU-Paket (kombiniert) | Komplett | 13.000 € | Manueller Pentest | 5–6 Wochen | Sicherheitspaket mit allen Prüfbereichen. |
| Phishing / Social Engineering | Starter | 2.000 € | Manuelle Kampagne | 2 Wochen | Phishing-Simulation per E-Mail inkl. Auswertung und Bericht. |
| Phishing / Social Engineering | Professional | 4.500 € | Manuelle Kampagne | 4 Wochen | Mehrere Angriffsszenarien und Mitarbeiter-Awareness-Bewertung. |
| Phishing / Social Engineering | Enterprise | 8.000 € | Manuelle Kampagne | 6 Wochen | Spear-Phishing, Vishing und detaillierter Executive Report. |
Zusatzoptionen
- Re-Test nach Behebung (2 Monate)
- Inklusive · buchbar für: alle Testarten
- Code-unterstützter Review
- + 1.500 € · buchbar für: alle Testarten
- Onsite-Abschlusspräsentation
- + 500 € · buchbar für: alle Testarten
- Erweiterter Umfang (weitere Netzsegmente)
- + 2.000 € · buchbar für: Interne Infrastruktur
- Security Awareness Training
- + 1.500 € · buchbar für: KMU-Paket
- Executive Workshop
- + 1.200 € · buchbar für: Phishing / Social Engineering
- Onsite-Training für Mitarbeiter
- + 1.800 € · buchbar für: Phishing / Social Engineering
Berichtsoptionen
- Abschlussbericht & Maßnahmenkatalog
- Inklusive
- Abschlussgespräch via Webkonferenz
- + 599 €
- Abschlussgespräch vor Ort
- + 999 €
Der Bericht wird in Deutsch und Englisch geliefert. Der Re-Test nach Behebung der gefundenen Schwachstellen ist enthalten.
Publizierte Marktspannen in Deutschland
Die folgenden Spannen stammen nicht von Sodu Secure, sondern aus den jeweils verlinkten Veröffentlichungen.
| Testart | Marktübliche Spanne | Quellen |
|---|---|---|
| Schwachstellenscan (automatisiert) | 300 – 3.000 € | Code & Lein |
| Web-Application-Pentest | 3.000 – 25.000 €komplexe Anwendungen bis 50.000 € | AWARE7 · Reepa Solutions · Code & Lein |
| API-Pentest | 2.000 – 12.000 € | Reepa Solutions · microCAT |
| Externe Infrastruktur / DMZ | 3.000 – 15.000 € | AWARE7 · Reepa Solutions |
| Interne Infrastruktur / Netzwerk | 5.000 – 30.000 € | AWARE7 · Reepa Solutions · microCAT · Code & Lein |
| Active-Directory-Audit | 8.000 – 20.000 € | Reepa Solutions |
| Mobile-App-Pentest (iOS & Android) | 5.000 – 18.000 € | AWARE7 · Reepa Solutions |
| Cloud-Konfiguration / Cloud-Audit | 5.000 – 20.000 € | AWARE7 · Reepa Solutions |
| Phishing- / Social-Engineering-Kampagne | 4.000 – 8.000 € | microCAT |
| Red Team Assessment | 25.000 – 100.000 €+ | AWARE7 · Reepa Solutions |
| Retest / Nachtest | 1.000 – 2.000 € | microCAT |
Tagessätze und Aufschläge
- Tagessatz Marktdurchschnitt
- 900 – 1.800 € netto · Reepa Solutions · microCAT
- Tagessatz Anbieterangabe
- 1.350 € netto · AWARE7
- Tagessatz laut Fachmagazin
- 1.000 – 1.800 € · ChannelPartner
- Tagessatz Junior-Tester
- ab ca. 800 € · Reepa Solutions
- Tagessatz Spezialisten
- 2.000 € + · Reepa Solutions
- Aufschlag Compliance-Anforderungen (z. B. ISO 27001, TISAX)
- + 30 – 60 % · Reepa Solutions
- Aufschlag kurzfristige Beauftragung
- + 20 – 30 % · Reepa Solutions
Professionelle Penetrationstests kosten zwischen 5.000 und 20.000 €, KMU-Projekte zwischen 3.000 und 12.000 €.
Manuelle Penetrationstests in Deutschland liegen zwischen 4.000 und 30.000 €.
Für 2 bis 10 Testtage werden 2.000 bis 18.000 € genannt.
Was den Preis treibt
Diese sechs Faktoren bestimmen, warum zwei Angebote für denselben Testtyp weit auseinanderliegen können.
Anzahl der Systeme
Bei Infrastruktur- und Active-Directory-Tests skaliert der Preis direkt mit dem Scope: 5 Systeme liegen bei 2.500 € in der scan-basierten Einstiegsstufe, 100 Systeme bei 10.000 € und 250 Systeme bei 20.000 € als manueller Pentest.
Testtiefe
Ein scan-basierter Durchlauf mit manueller Verifikation der Funde ist die Einstiegsstufe. Manuelle Exploitation, Business-Logic-Tests und Reverse Engineering erhöhen den Aufwand und damit den Preis.
Projektdauer
Die Stufen im Konfigurator sind mit Dauern hinterlegt: 5 Tage für die scan-basierte Einstiegsstufe einer Webanwendung, 4 Wochen für den mittleren Umfang, bis zu 6 Wochen für große API-Projekte.
Compliance-Anforderungen
Reepa Solutions beziffert den Mehraufwand für normkonforme Nachweise (etwa ISO 27001 oder TISAX) auf 30 bis 60 Prozent.
Kurzfristige Beauftragung
Für kurzfristige Termine nennt Reepa Solutions einen Aufschlag von 20 bis 30 Prozent gegenüber regulär geplanten Projekten.
Berichts- und Übergabeformat
Der Abschlussbericht mit Maßnahmenkatalog ist bei Sodu Secure enthalten. Ein Abschlussgespräch per Webkonferenz kostet 599 €, vor Ort 999 €.
Wie wir kalkulieren
Die Grundlage jedes Angebots ist der geschätzte Aufwand in Personentagen, multipliziert mit dem Tagessatz des eingesetzten Teams. Der Aufwand ergibt sich aus dem Scope: Anzahl der Systeme, Anzahl der Rollen und Endpunkte, geforderte Testtiefe und der Umfang der Nachweise, die der Bericht erbringen muss.
Der OWASP Web Security Testing Guide und der Penetration Testing Execution Standard zerlegen einen Test in einzelne Prüfschritte. Jeder Schritt, der nicht automatisiert abläuft, geht als Personentag in die Schätzung ein. Deshalb steigt der Preis mit dem manuellen Anteil und nicht allein mit der Zahl der geprüften Systeme.
Nach außen kommuniziert Sodu Secure keinen Tagessatz, sondern einen Festpreis je Stufe. Das verschiebt das Schätzrisiko vom Kunden zum Anbieter: Läuft ein Projekt länger als geplant, bleibt der Preis derselbe. Der Referenzrahmen für die Plausibilität dieser Festpreise sind die oben belegten Marktangaben von 900 bis 1.800 € netto je Tag.
Der Konfigurator zeigt die Preisspanne in drei Minuten, das verbindliche Angebot folgt innerhalb von 24 Stunden. Der Re-Test nach Behebung ist im Preis enthalten, der Bericht wird in Deutsch und Englisch geliefert.
Zitierhinweis
Quellenangabe: Sodu Secure, Pentest Preisindex, sodusecure.com/pentest-preisindex (Stand: 30. September 2026). Die von Sodu Secure erhobenen Angaben stehen unter CC BY 4.0. Die Marktspannen sind Zitate der genannten Originalquellen und unterliegen deren Rechten; sie sind der jeweiligen Originalquelle zuzuordnen, nicht Sodu Secure.
Quellenverzeichnis
Die Marktspannen dieser Seite stammen aus den folgenden fünf Veröffentlichungen. Alle Angaben wurden am Originalartikel geprüft.
- [1]AWARE7Anbieter-Preisübersichthttps://a7.de/penetrationstest-kosten/
- [2]ChannelPartnerFachmagazinhttps://www.channelpartner.de/article/3889591/was-kostet-ein-professioneller-penetrationstest.html
- [3]Reepa SolutionsAnbieter-Preisübersichthttps://reepasolutions.de/cybersecurity/pentest-kosten
- [4]microCATAnbieter-Preisübersichthttps://microcat.de/blog/pentest/kosten-pentest/
- [5]Code & LeinAnbieter-Preisübersichthttps://code-lein.de/blog/was-kostet-ein-penetrationstest
Prüfmethodik hinter der Kalkulation
Der Aufwand eines Penetrationstests richtet sich nach anerkannten Prüfmethodiken. Der OWASP Web Security Testing Guide und NIST SP 800-115 legen fest, welche Prüfschritte ein belastbarer Test umfasst; Umfang, Testtiefe und Anzahl der Systeme bestimmen daraus den Preis.
Regelmäßige technische Prüfungen sind in mehreren Standards ausdrücklich vorgesehen, etwa in ISO/IEC 27001 (Control A.8.8) und in PCI DSS (Requirement 11.4).
Offizielle Quellen
Häufige Fragen zum Pentest Preisindex
Was ist der Pentest Preisindex?+
Der Pentest Preisindex stellt die Preisstufen von Sodu Secure den publizierten Marktspannen deutscher Anbieter und Fachmedien gegenüber. Die Sodu-Werte stammen aus dem eigenen Preis-Konfigurator, die Marktwerte aus fünf namentlich genannten, verlinkten Quellen. Jede Preisstufe ist als scan-basiert oder als manueller Pentest gekennzeichnet. Stand ist der 30. September 2026.
Woher stammen die Marktspannen?+
Aus fünf öffentlich publizierten deutschen Quellen: AWARE7, Reepa Solutions, microCAT und Code & Lein als Anbieter-Preisübersichten sowie das Fachmagazin ChannelPartner. Jede Zeile der Markttabelle nennt die Quellen, aus denen die jeweilige Spanne stammt.
Was kostet ein Penetrationstest bei Sodu Secure?+
Die 1.499 € sind der Einstiegspreis für einen Schwachstellenscan, nicht für einen manuellen Penetrationstest. Die manuellen Stufen im Konfigurator beginnen bei 7.000 € für Webanwendung, API und Mobile App sowie bei 10.000 € für Infrastruktur- und Active-Directory-Tests; die größte Stufe liegt bei 20.000 €. Das KMU-Paket reicht von 8.000 € bis 13.000 €. Der verbindliche Preis wird nach Scope und Aufwand kalkuliert.
Wie hoch sind marktübliche Tagessätze für Penetrationstests?+
Reepa Solutions und microCAT nennen 900 bis 1.800 € netto als Marktdurchschnitt. AWARE7 gibt 1.350 € netto an, ChannelPartner zitiert 1.000 bis 1.800 €. Junior-Tester starten laut Reepa Solutions bei etwa 800 €, Spezialisten liegen bei 2.000 € und darüber.
Darf ich den Preisindex zitieren?+
Ja. Die von Sodu Secure erhobenen Angaben stehen unter CC BY 4.0. Die Marktspannen sind Zitate der genannten Originalquellen und unterliegen deren Rechten. Bitte zitieren Sie als: Sodu Secure, Pentest Preisindex, sodusecure.com/pentest-preisindex. Marktspannen bitte der jeweils angegebenen Originalquelle zuordnen, nicht Sodu Secure.
Was kostet ein Penetrationstest für ein mittelständisches Unternehmen?+
Für mittelständische Unternehmen liegt ein manueller Penetrationstest in der Regel zwischen 4.000 und 20.000 €. Der Einstieg über einen Schwachstellenscan beginnt bei 1.499 €. Das KMU-Komplettpaket mit externer und interner Prüfung, Active Directory und Phishing reicht im Konfigurator von 8.000 € bis 13.000 €. Entscheidend sind Anzahl der Systeme, Testtiefe und geforderte Nachweise.
Was kostet ein umfassender Penetrationstest bei einem spezialisierten Dienstleister?+
Die ausgewerteten Marktquellen nennen für manuelle Penetrationstests in Deutschland 4.000 bis 30.000 € (Code & Lein) und für Projekte von 2 bis 10 Testtagen 2.000 bis 18.000 € (ChannelPartner). Bei Sodu Secure liegt die größte Stufe im Konfigurator bei 20.000 € für Infrastruktur- und Active-Directory-Tests mit bis zu 250 Systemen.
Warum liegen Angebote für denselben Penetrationstest so weit auseinander?+
Weil der Scope unterschiedlich geschnitten wird. Ein scan-basierter Durchlauf mit manueller Prüfung der Funde kostet einen Bruchteil eines vollständig manuellen Tests mit Exploitation und Business-Logic-Prüfung. Dazu kommen Aufschläge: Reepa Solutions beziffert normkonforme Nachweise mit 30 bis 60 Prozent Mehraufwand und kurzfristige Termine mit 20 bis 30 Prozent. Vergleichen Sie deshalb Personentage, nicht Endsummen.
Was ist im Preis eines Pentests bei Sodu Secure enthalten?+
Im Festpreis enthalten sind der Test selbst, der Abschlussbericht mit Maßnahmenkatalog auf Deutsch und Englisch sowie der Re-Test nach Behebung der gefundenen Schwachstellen. Separat kosten ein Abschlussgespräch per Webkonferenz 599 € und vor Ort 999 €. Läuft ein Projekt länger als geplant, bleibt der Preis unverändert, weil nach Festpreis und nicht nach Tagessatz abgerechnet wird.
Wie aktuell ist der Pentest Preisindex?+
Der Stand dieser Seite ist der 30. September 2026. Die Sodu-Preisstufen werden angepasst, sobald sich die Preisliste im Konfigurator ändert; die Marktspannen werden bei neuen oder aktualisierten Veröffentlichungen der fünf genannten Quellen nachgezogen. Jede Angabe wurde am Originalartikel geprüft, nichts wurde gemittelt oder hochgerechnet.
Ihre Preisspanne in 3 Minuten
Scope auswählen, Preisspanne sehen, Angebot innerhalb von 24 Stunden erhalten.