Was kostet ein Penetrationstest?
Die ehrliche Antwort lautet: Es kommt darauf an. Der Preis eines Pentests richtet sich vor allem nach Umfang und Art des Tests. Dieser Beitrag zeigt die wichtigsten Faktoren, nennt grobe Preisspannen und erklärt, woran Sie ein seriöses Angebot erkennen.
Das Wichtigste in Kürze
- Es gibt keinen Pauschalpreis – der Umfang bestimmt die Kosten.
- Für kleine und mittlere Unternehmen liegen typische Pentests oft im Bereich einiger Tausend Euro.
- Ein Festpreis nach kurzem Scoping ist seriöser als eine offene Stundenabrechnung.
Warum es keinen Pauschalpreis gibt
Ein Penetrationstest ist kein Produkt von der Stange, sondern eine Dienstleistung, die auf Ihre Systeme zugeschnitten wird. Ob eine einzelne Web-Anwendung geprüft wird oder die gesamte von außen erreichbare Infrastruktur eines Unternehmens, macht einen großen Unterschied im Aufwand – und damit im Preis.
Diese Faktoren bestimmen den Preis
- Art des Tests: Web-Anwendung und API, externe Infrastruktur, internes Netzwerk oder Social Engineering – jede Variante hat einen anderen Aufwand.
- Umfang: Anzahl der Anwendungen, Systeme, IP-Adressen und Funktionen.
- Testtiefe: Ohne Vorwissen (Black Box), mit Teilinformationen (Grey Box) oder mit vollem Einblick (White Box).
- Retest: die erneute Prüfung, ob behobene Schwachstellen wirklich geschlossen sind.
- Berichtsanspruch: ein verständlicher Bericht mit Management Summary, Risikobewertung und konkreten Maßnahmen braucht Sorgfalt.
Grobe Preisspannen
Als Orientierung, nicht als Festpreis – die genauen Kosten ergeben sich erst nach dem Scoping:
- Einzelne Web-Anwendung oder kleiner externer Prüfbereich: häufig etwa 3.000 bis 8.000 Euro.
- Externe Infrastruktur eines mittelständischen Unternehmens: häufig etwa 4.000 bis 10.000 Euro.
- Große oder komplexe Umgebungen, interne Tests oder Social Engineering: entsprechend höher.
Diese Werte sind marktübliche Richtgrößen und können je nach Anbieter und Situation abweichen.
Woran Sie einen guten Pentest erkennen
- Manuelle Prüfung statt reinem automatischem Scan – ein Scan allein ist kein Pentest.
- Ein verständlicher Bericht mit priorisierten, umsetzbaren Empfehlungen.
- Ein Retest nach der Behebung.
- Klare Rules of Engagement: Umfang, Zeitfenster und Ansprechpartner werden vorab schriftlich festgelegt.
Was Sie jetzt tun sollten
Lassen Sie den Umfang in einem kurzen Scoping-Gespräch klären und sich einen Festpreis geben. So wissen Sie von Anfang an, was der Test kostet und liefert. Einen ersten Eindruck Ihres Sicherheitsniveaus liefert unser IT-Sicherheits-Check. Mehr zum Ablauf finden Sie auf der Seite Pentesting.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Steuer-, Rechts- oder individuelle Fachberatung. Stand: Oktober 2026. Maßgeblich sind die jeweils geltenden gesetzlichen Regelungen.