Ein Penetrationstest kostet je nach Umfang und Tiefe meist zwischen 3.000 € und 25.000 €. Ein einfacher externer Test einer kleinen Webanwendung liegt bei etwa 3.000–8.000 €, umfangreiche Tests komplexer Infrastrukturen bei 15.000–50.000 €. Der Preis richtet sich vor allem nach Scope, Testtiefe (Black-, Grey- oder White-Box) und Anzahl der Zielsysteme.
Wovon hängen die Kosten eines Penetrationstests ab?
Die wichtigsten Kostentreiber sind der Scope (wie viele Systeme, Anwendungen oder IP-Bereiche), die Testtiefe (Black-Box ohne Vorwissen, Grey-Box mit Teilzugang, White-Box mit vollem Einblick), die eingesetzte Methodik (z. B. OWASP, PTES, OSSTMM), der Aufwand für das Reporting sowie ein optionaler Nachtest. Manuelle Tests durch erfahrene Tester kosten mehr als reine Tool-Scans – liefern aber echte Angriffswege statt reiner Listen.
Preisspannen nach Testart
Richtwerte für den deutschen Markt (extern): Webanwendung (klein bis mittel) 3.000–12.000 €, externe Infrastruktur/Perimeter 4.000–15.000 €, interne Infrastruktur/Netzwerk 6.000–25.000 €, Mobile App (iOS/Android) 5.000–15.000 €, API-Test 3.000–10.000 €, Social-Engineering-/Phishing-Kampagne 2.500–10.000 €. Umfangreiche Red-Team-Assessments beginnen bei etwa 25.000 € und reichen deutlich darüber hinaus.
Tagessatz und Projektdauer
Viele Anbieter kalkulieren über Tagessätze. Üblich sind in Deutschland 1.000–1.800 € pro Personentag für qualifizierte Pentester. Ein typischer Web-App-Test dauert 3–8 Tage, ein Infrastruktur-Test 5–15 Tage – jeweils zuzüglich Reporting. Aus Tagessatz mal Aufwand ergibt sich der Projektpreis; seriöse Anbieter nennen den Aufwand nach einem Scoping-Gespräch vorab.
Black-Box vs. White-Box: Einfluss auf den Preis
Black-Box (kein Vorwissen) simuliert einen externen Angreifer, braucht aber mehr Zeit für die Aufklärung und ist pro erkanntem Befund tendenziell teurer. White-Box (voller Zugang zu Quellcode, Konfiguration und Architektur) ist effizienter und deckt mehr ab – oft das bessere Preis-Leistungs-Verhältnis. Grey-Box (Teilzugang) ist der häufigste, praxisnahe Kompromiss.
Retest und Folgekosten
Nach Behebung der Befunde bestätigt ein Retest die Wirksamkeit der Maßnahmen. Manche Anbieter enthalten den Retest im Preis, andere berechnen 20–40 % des ursprünglichen Aufwands. Weitere Folgekosten sind die eigentliche Behebung der Schwachstellen sowie regelmäßige Wiederholungstests – mindestens jährlich oder nach größeren Änderungen.
Was ist ein fairer Preis?
Ein fairer Preis spiegelt manuellen Aufwand wider, nicht nur einen automatisierten Scan. Qualitätsmerkmale sind ein klar definierter Scope, erfahrene und zertifizierte Tester (z. B. OSCP), eine anerkannte Methodik, ein verständlicher Bericht mit Nachweis und Risikoeinstufung (CVSS), konkrete Empfehlungen sowie ein angebotener Retest. Sehr günstige Angebote sind häufig reine Scanner-Läufe ohne echten Erkenntnisgewinn.
Fazit
Die Kosten eines Penetrationstests hängen vor allem von Scope und Testtiefe ab. Realistische Budgets reichen von wenigen Tausend Euro für einen fokussierten Web-App-Test bis zu fünfstelligen Beträgen für umfassende Infrastruktur- oder Red-Team-Assessments. Entscheidend ist nicht der niedrigste Preis, sondern manuelle Tiefe und ein verwertbarer Bericht.
APASEC unterstützt Sie — praxisnah und auf Ihr Unternehmen zugeschnitten. Jetzt unverbindlich anfragen →
Häufige Fragen (FAQ)
Für eine kleine bis mittelgroße Webanwendung liegen die Kosten meist bei 3.000–12.000 €, abhängig von Funktionsumfang, Benutzerrollen und Testtiefe. Einfache fokussierte Tests können darunter liegen, komplexe Portale darüber.
Externe Infrastruktur-Tests kosten typischerweise 4.000–15.000 €, interne Netzwerk-Tests 6.000–25.000 € – abhängig von der Zahl der Systeme, Standorte und der geforderten Tiefe.
In Deutschland sind 1.000–1.800 € pro Personentag für qualifizierte Pentester üblich. Der Projektpreis ergibt sich aus Tagessatz mal geschätztem Aufwand plus Reporting.
Das ist anbieterabhängig. Manche Anbieter enthalten einen Retest zur Bestätigung der Behebung, andere berechnen dafür 20–40 % des ursprünglichen Aufwands. Klären Sie das vor der Beauftragung.
Mindestens einmal jährlich sowie nach wesentlichen Änderungen an Systemen oder Anwendungen. Regulatorik wie NIS2, ISO 27001 oder PCI DSS und ein erhöhtes Risikoprofil können häufigere Tests erfordern.
Nur bedingt. Sehr günstige Angebote sind häufig automatisierte Scans ohne manuelle Ausnutzung – sie liefern eine Schwachstellenliste, aber keine belastbaren Angriffswege. Für aussagekräftige Ergebnisse ist manueller Testaufwand entscheidend.