Wie viel kostet ein Penetrationstest?
Die kurze Antwort lautet „es hängt vom Scope ab“, aber das allein hilft wenig. Deshalb erklären wir hier, was den Preis eines Projekts tatsächlich bestimmt, was ein echtes Angebot umfasst und wie Sie eine genaue Zahl für Ihre Situation bekommen.
Warum es keinen einzelnen Preis gibt
Ein einziger Festpreis für „einen Penetrationstest“ kann nicht abbilden, was getestet wird. Eine Webanwendung mit drei Seiten und eine Marketing-Website sind nicht dieselbe Aufgabe wie eine mandantenfähige Plattform mit Hunderten von API-Endpunkten. Die Preisbildung ist aufwandsbasiert: Sie richtet sich danach, wie viel qualifizierte Testerzeit die Arbeit wirklich braucht. Drei Dinge bestimmen diesen Aufwand am stärksten.
Wie viel zu testen ist: Anzahl der Anwendungen, API-Endpunkte, Hosts, Benutzerrollen und Umgebungen innerhalb der vereinbarten Grenzen.
Das nötige Assurance-Niveau (eine fokussierte Prüfung oder eine tiefe White-Box-Verifizierung gegen einen Standard) und der Box-Typ (Black, Grey oder White).
Wie komplex das Ziel ist. Aufwendige Geschäftslogik, eigene Authentifizierung, viele Integrationen und maßgeschneiderte Technik kosten zusätzliche Testerzeit.
Was den Preis bestimmt
Dies sind die Hebel, die ein Angebot nach oben oder unten bewegen. Wer sie kennt, kann sinnvoll abgrenzen und erkennt, wenn eine Zahl zu niedrig für einen echten manuellen Test ist.
Art und Anzahl der Ziele
Eine einzelne Webanwendung kostet weniger als eine Webanwendung plus ihre API, mobile Clients und das externe Netzwerk. Jedes Ziel ist ein eigenständiges Projekt mit eigener Methode (Web, API, Mobile, Netzwerk, Cloud).
Größe der Angriffsfläche
Mehr Seiten, mehr API-Endpunkte, mehr Hosts und mehr Benutzerrollen bedeuten mehr zu testen. Besonders bei APIs bestimmen die Anzahl der Routen und die Zahl der Rollen/Mandanten, über die getestet werden muss, die Zeit.
Tiefe und Box-Typ
Black-Box-Discovery frisst Zeit; Grey-Box (Anmeldedaten plus eine Spezifikation) ist die effiziente Norm; White-Box ermöglicht die tiefste Abdeckung für hohe Assurance oder Standards-Verifizierung. Tiefere Assurance bedeutet mehr Stunden.
Komplexität der Anwendung
Verwinkelte Geschäftslogik, individuelle Authentifizierung und Autorisierung, Drittanbieter-Integrationen und maßgeschneiderte Technologie brauchen alle länger für gründliche Tests als eine standardisierte App von der Stange.
Compliance- und Berichtsanforderungen
An einen Standard gebundene Tests (zum Beispiel PCI-DSS-Segmentierungstests) bringen eigene Anforderungen und Berichtsformate mit. Ein compliance-tauglicher Bericht mit Nachweispaket macht mehr Arbeit als eine interne Zusammenfassung.
Re-Test und Retainer
Auch die Prüfung, ob Korrekturen die Probleme tatsächlich geschlossen haben, kostet Zeit. Bei Vexaro ist ein Re-Test behobener Befunde ohne Mehrkosten enthalten; das Zeitfenster dafür legt das Statement of Work fest. Laufende Vereinbarungen oder Retainer werden anders bepreist als ein einmaliges Projekt.
Was ein echtes Angebot umfasst
Ein glaubwürdiger Penetrationstest ist weit mehr als ein Scanner-Lauf. Achten Sie beim Vergleich von Angeboten darauf, dass der Preis echte manuelle Tests und einen Bericht abdeckt, auf den Sie Entscheidungen stützen können, und nicht nur automatisierte Ausgaben. Unser Angebot umfasst alles Folgende.
- Scoping und Rules of Engagement, mit einem NDA vor jedem Zugang
- Überwiegend manuelle Tests durch menschliche Tester, nicht nur ein Scanner-Lauf
- Ein priorisierter Bericht: jeder Befund mit Auswirkung, Nachweis, Reproduktion und Behebung
- Schweregrad mit CVSS 3.1 bewertet und in Geschäftsrisiko übersetzt
- Eine Executive Summary für Entscheidungsträger plus technische Details für Ingenieure
- Ein kostenloser Re-Test behobener Befunde innerhalb des im SoW festgelegten Zeitfensters, um zu bestätigen, dass die Risiken geschlossen sind
Richtwerte für Zeitrahmen
Die Kosten richten sich grob nach der Dauer und die Dauer nach dem Scope. Als grober Anhaltspunkt aus unseren Projektformaten: Ein Penetrationstest (Web, Mobile, API oder externer Perimeter) dauert typischerweise 1-3 Wochen, ein Sicherheits- und Dokumentationsaudit 2-4 Wochen und ein Red-Team-Projekt 3-6 Wochen. Compliance-Vorbereitung dauert länger, zum Beispiel die ISO-27001-Vorbereitung 6-9 Monate und SOC 2 Type II einen Umsetzungszeitraum plus ein Beobachtungsfenster von 3-12 Monaten.
Dies sind Richtwerte für die Dauer, keine Preise. Der endgültige Scope und Aufwand hängen vom vereinbarten Bedrohungsmodell und den Zielen ab. Sobald der Scope klar ist, erhalten Sie von uns ein Festangebot.
Häufige Fragen zu den Kosten
Weil ein genauer Preis einen Scope braucht. Derselbe „Web-App-Pentest“ kann je nach Größe, Rollen und Komplexität ein paar Tage oder mehrere Wochen dauern. Wir grenzen schnell ab, oft schon nach einem kurzen Gespräch, und geben Ihnen dann ein Festangebot statt einer Zahl, die später Überraschungen bringt.
Meist die Tiefe. Hinter einem sehr niedrigen Angebot steckt oft ein automatisierter Scan mit einem kurzen manuellen Durchgang, kein echter, überwiegend manueller Test. Vergleichen Sie, was tatsächlich getan wird (manuelle Tests, Abdeckung von Geschäftslogik und Autorisierung, ein echter Bericht und ein Re-Test), und nicht nur die Zahl unter dem Strich.
Wir beginnen mit einer kurzen, kostenlosen Beratung, um die Ziele, Rollen, Umgebungen und Ihr Anliegen zu verstehen. Daraus vereinbaren wir eine Grenze und schlagen einen Scope vor, dann geben wir ein Festangebot und einen Zeitrahmen. Ein NDA wird vor jedem Zugang unterzeichnet.
Ja. Nachdem Sie die Befunde behoben haben, testen wir sie ohne Mehrkosten erneut, um zu bestätigen, dass die Risiken geschlossen sind. Das Statement of Work hält fest, welche Befunde erneut getestet werden und in welchem Zeitfenster. So ist es vorab vereinbart und kommt nicht nachträglich hinzu.
Das kann sein. An einen Standard gebundene Tests (wie PCI-DSS-Segmentierungstests nach Requirement 11.4) haben spezifische Anforderungen und Berichtsformate, und ein compliance-taugliches Nachweispaket ist mehr Arbeit als eine interne Zusammenfassung. Wir grenzen das ausdrücklich ab, damit es keine Überraschungen gibt.