Was kostet ein Penetrationstest?

Was kostet ein Penetrationstest?

Wie viel darf, wie viel muss Sicherheit kosten? Diese Frage stellen sich Unternehmen nicht nur wenn es um Hard- und Software geht, sondern auch bei den Budgets für IT-Sicherheitstrainings. Die große Bandbreite der Kosten für Penetrationstest verunsichert viele Entscheider.

Zusammenfassung (TL; DR):

• Penetrationstests kosten typischerweise zwischen 10.000 und 30.000 US-Dollar pro Engagement. Die Gesamtspannweite kann von 5.000 bis über 100.000 US-Dollar betragen, basierend auf Daten für 2026.
• Die Hauptkostentreiber sind der Umfang, die Komplexität, die Tiefe des Tests, die Erfahrung der Tester. aber auch Compliance-Anforderungen sowie der enthaltene Leistungsumfang bei Berichterstattung und Nachprüfungen fließen mit ein.

Penetrationstests kosten aktuell zwischen 5.000 und über 100.000 US-Dollar, wobei die meisten Unternehmen zwischen 10.000 und 30.000 US-Dollar pro Engagement investieren. Der Durchschnitt über alle Testarten liegt bei rund 18.300 US-Dollar. Die genannten Zahlen basieren auf unabhängigen Preisrichtwerten für den US-Markt 2026. Die bekannten Big-4-Unternehmen (Deloitte, PwC, EY, KPMG) berechnen typischerweise das Zwei- bis Dreifache im Vergleich zu Boutique- und Mid-Tier-Anbietern. PTaaS (Penetration Test as a Service) trägt zwar einen höheren Listenpreis, deckt dafür aber Retests, kontinuierliche Validierung und einen deutlich größeren Teil der Angriffsfläche ab. Pro Test rechnet sich das Modell oft zugunsten der Käufer.

Umfang, Komplexität, Testtiefe, Erfahrung der Tester, Compliance-Anforderungen und der tatsächliche Leistungsumfang eines Angebots beeinflussen den Preis erheblich. Wer diese Stellschrauben kennt, verhandelt präzisere Angebote und vermeidet böse Überraschungen bei der Abrechnung. KI-gestützte PTaaS-Modelle verändern zunehmend die Kosten-Nutzen-Rechnung. Sie ermöglichen kontinuierliche Validierung über eine breitere Angriffsfläche zu einem planbaren Jahrespreis, statt einzelne Engagements separat abzurechnen.

Was treibt die Kosten eines Penetrationstests?

Sechs Faktoren bestimmen den Preis maßgeblich:

• Erstens der Umfang, denn die Anzahl der Anwendungen, IP-Adressen, APIs und Cloud-Konten im Test wirkt sich direkt aus. Eine einzelne Webanwendung mit klar definierten Endpunkten kostet deutlich weniger als eine Multi-App-Umgebung über mehrere Cloud-Anbieter und Drittintegrationen hinweg. Eine eng gefasste Scope-Definition führt zu präziseren Angeboten und weniger Überraschungen bei der Abrechnung.
• Zweitens unterscheidet die Komplexität eine einfache Marketing-Website für Pen-Test-Tools von einer Multi-Tenant-SaaS-Plattform mit SSO, Zahlungsabwicklung und zahlreichen API-Integrationen. Komplexe Umgebungen erfordern mehr Zeit für das Mapping der Angriffsfläche, das Verketten von Findings und die Validierung von Exploits. Diese Zeit schlägt sich direkt im Preis nieder.
• Drittens prägen Testtiefe und Methode die Kosten ebenfalls. Black-Box-Engagements, bei denen der Tester keine Vorabinformationen über die Umgebung erhält, dauern typischerweise länger. Sie kosten mehr als White-Box-Tests mit vollständiger Dokumentation und Zugriff von Beginn an. Gray-Box-Tests, der gängigste kommerzielle Ansatz, liegen preislich dazwischen. Manuelles Testing durch erfahrene Researcher kostet pro Tag mehr als automatisiertes Scannen, liefert aber weniger Fehlalarme und verlässlichere Ergebnisse.
• Viertens spielt die Erfahrung der Tester eine größere Rolle als viele erwarten. Ein OSCP-zertifizierter Researcher bei einer Spezialfirma verlangt einen anderen Tagessatz als ein Junior-Analyst bei einem großen Beratungsunternehmen. Big-4-Firmen schlagen durch Overhead, Markenaufschlag und zusätzliche Prozessebenen das Zwei- bis Dreifache dessen auf, was eine vergleichbare Mid-Tier-Spezialfirma berechnet. Der Preis sagt also nicht zwangsläufig etwas darüber aus, wer den Test tatsächlich durchführt.
• Fünftens erhöhen Compliance-Anforderungen die Kosten vor allem durch den Dokumentationsaufwand. PCI DSS, SOC 2, HIPAA und FedRAMP verlangen jeweils spezifische Nachweise, und Firmen mit Erfahrung berechnen den Reporting-Aufwand entsprechend. Tests für rein interne Zwecke ohne Compliance-Deliverables fallen günstiger aus, da die Berichtsebene einfacher bleibt.
• Sechstens spielen Reporting und Retesting eine Rolle. Manche Engagements enthalten Management-Summary, technischen Bericht, Remediation-Walkthrough und einen kostenlosen Retest, andere berechnen jedes Element separat. Der tatsächliche Leistungsumfang eines Angebots verdient daher genaue Prüfung vor Vertragsabschluss – ein 10.000-Dollar-Engagement mit 3.000 Dollar pro Retest kann das Budget bei phasenweiser Behebung erheblich sprengen.

Preismodelle im Überblick

• Beim Fixed-Scope-Modell, dem gängigsten am Markt, definiert der Anbieter das Engagement, kalkuliert eine Pauschale und liefert einen Bericht. Dieses Modell eignet sich für einmalige Assessments mit bekannter Umgebung, birgt aber das Risiko von Scope Creep, da alles außerhalb der vereinbarten Grenzen einen Change Order auslöst.
• Per-Asset-Preise berechnen Kosten pro IP-Adresse, Anwendung oder Endpunkt statt eines Gesamtprojektpreises – geeignet für Unternehmen mit definiertem, erfasstem Inventar, die den Testumfang flexibel skalieren möchten.
• Stunden- oder Tagessätze eignen sich für eng begrenzte Scopes, punktuelle Assessments oder Beratungsleistungen. Spezialisierte Researcher berechnen zwischen 150 und 400 US-Dollar pro Stunde, Tagessätze erfahrener Tester bei Boutique-Firmen liegen zwischen 1.200 und 3.000 US-Dollar. Bei schlecht definiertem Scope können die Kosten hier schnell aus dem Ruder laufen.
• Credit-basierte Modelle ermöglichen den Vorabkauf von Credits, die flexibel über mehrere Tests im Jahresverlauf eingesetzt werden. Dies ist praktisch für Teams mit mehreren Engagements und einer zentralen Budgetlinie. Da Credits meist verfallen, empfiehlt sich vorab ein klarer Testplan.
• PTaaS-Abonnements decken kontinuierliches Testing über ein Jahr inklusive Retests zu einer wiederkehrenden Pauschale ab. Das Modell entstand für Unternehmen, deren Angriffsfläche sich schneller verändert, als ein jährlicher Stichtagstest abbilden kann. Der Jahrespreis liegt zwar über dem eines Einzelengagements, doch Kosten pro Finding und pro verifizierter Schwachstelle sinken durch die kontinuierliche Abdeckung und inkludierte Retests deutlich.

Kosten nach Testart eines Penetrationstest

• Web-Application-Tests prüfen Authentifizierung, Session-Management, Injection-Schwachstellen, Zugriffskontrollen und Business-Logic-Fehler. Eine einfache, statische Seite ohne Nutzerkonten liegt bei rund 5.000 Dollar, eine komplexe Multi-Tenant-SaaS-Plattform mit zahlreichen API-Integrationen kann 30.000 Dollar oder mehr kosten.
• External-Network-Tests untersuchen internetseitige Infrastruktur wie Firewalls, Load Balancer, VPN-Endpunkte und exponierte Dienste. Die Kosten skalieren primär mit der Anzahl der IP-Adressen: unter 20 IPs etwa 4.000 bis 6.000 Dollar, bei 100 IPs mit komplexen Firewall-Regeln bis zu 10.000 bis 12.000 Dollar.
• Internal-Network-Tests simulieren das Vorgehen eines Angreifers innerhalb des Perimeters – laterale Bewegung, Privilege Escalation, Active-Directory-Angriffe und Credential Harvesting. Sie dauern in der Regel länger als externe Tests und kosten häufig zwischen 5.000 und 35.000 Dollar, abhängig von Umgebungsgröße und Testtiefe.
• API-Tests fokussieren sich auf Authentifizierung, Autorisierung, Rate Limiting, Input-Validierung und Business-Logic über einzelne Endpunkte. Der Kostentreiber ist die Anzahl der Endpunkte sowie die Komplexität der Auth-Flows – eine kleine API mit 15 Endpunkten und einfacher Token-Authentifizierung kostet deutlich weniger als eine Plattform mit über 200 Endpunkten und OAuth-Flows.
• Mobile-Application-Tests werden pro App und Plattform berechnet. Eine reine iOS-App mit begrenztem Funktionsumfang kostet 7.000 bis 12.000 Dollar, ein vollständiger iOS-plus-Android-Test einer funktionsreichen Consumer-App mit Zahlungsfunktion kann 35.000 Dollar erreichen, da jede Plattform eigene Testumgebungen erfordert.
• Cloud-Tests sind mit der Verbreitung von Multi-Cloud-Architekturen in Umfang und Kosten gewachsen. Eine Single-Cloud-Umgebung mit definiertem Leistungsumfang liegt bei etwa 10.000 bis 20.000 Dollar, Multi-Cloud-Engagements über IAM, Storage-Zugriffskontrollen, Serverless-Funktionen und Inter-Service-Berechtigungen bei zwei bis drei Anbietern nähern sich 50.000 Dollar.
• Red-Team- und Adversary-Simulation-Engagements bilden die teuerste Kategorie mit deutlichem Abstand. Diese zielorientierten, mehrwöchigen Übungen simulieren einen realen Bedrohungsakteur mit konkretem Ziel. Dastreiben etwa der Exfiltration von Daten. Umfang, Dauer, Erfahrung und Planungsaufwand die meisten Engagements auf 30.000 bis über 150.000 Dollar. Enterprise- und Behördenkunden setzen diese Tests für Board-Level-Assurance ein, nicht für Compliance-Checklisten.
• Social-Engineering-Tests kombinieren Phishing, Vishing und physisches Pretexting und kosten je nach Anzahl der Ziele, Kampagnen und Berichtsanforderungen zwischen 3.000 und 12.000 Dollar. Das ist häufig als Ergänzung größerer Network- oder Red-Team-Engagements gedacht statt als eigenständiges Angebot.

Kosten nach Unternehmensgröße

• Startups und größere Unternehmen kalkulieren für ihr erstes formelles Engagement, meist Web-App plus API-Test, mit 15.000 bis 35.000 Dollar für einen gut abgegrenzten Gray-Box-Test mit nutzbarem Compliance-Bericht. Boutique-Spezialfirmen bieten hier oft das beste Preis-Leistungs-Verhältnis. Sie stehen mit erfahrenen Researchern ohne den Overhead großer Beratungen zur Verfügung.
• KMU mit stabiler Umgebung und fokussierter Angriffsfläche zahlen für einen kombinierten Web- und Network-Test typischerweise 10.000 bis 25.000 Dollar. Scope-Disziplin zählt hier am meisten: Eine klar definierte Umgebung ohne nachträgliche Scope-Erweiterung maximiert den Budgetwert.
• Mittelständische Unternehmen mit mehreren Anwendungen, größerem Netzwerk-Footprint und Compliance-Anforderungen über mehrere Frameworks sollten 10.000 bis 50.000 Dollar einplanen. Das ist abhängig vom Testmix. Web-App, Network und API auf Gray-Box-Tiefe mit vollständigem Reporting liegen bei dieser Größenordnung meist zwischen 25.000 und 40.000 Dollar.
• Enterprise-Kunden mit Multi-Asset-Umgebungen, komplexer Cloud-Infrastruktur und Red-Team-Übungen sollten 30.000 bis über 150.000 Dollar pro Jahr für das gesamte Testprogramm einplanen. Bei dieser Größenordnung zeigt das Einzelengagement-Modell seine Grenzen. Kontinuierliche Abdeckung inklusive Retests und planbare Jahrespreise machen PTaaS zunehmend attraktiver als das Aneinanderreihen mehrerer Einzeltests.

Über alle vier Größenklassen hinweg gilt: Ein eng gefasster Scope, klare Anforderungen und ein zur eigenen Größenordnung passender Anbieter liefern besseren Wert als der niedrigste Angebotspreis.

Fazit Penetrationstest

Die entscheidendere Frage lautet meist nicht „Welcher Test ist am günstigsten?“, sondern „Was deckt dieser Test tatsächlich ab?“ Ein Billigengagement, das den Großteil der Angriffsfläche verfehlt, kostet langfristig mehr als ein gut geplantes Programm, das die relevanten Schwachstellen findet. Genau hier verändert kontinuierliches KI-gestütztes Pentesting in Kombination mit menschlicher Validierung die Rechnung: breitere Abdeckung inklusive Retests zu einem planbaren Jahrespreis, der die Unsicherheit aneinandergereihter Einzelengagements ersetzt.