Angriffsfläche prüfen. Aufwand klar kalkulieren.
Was kostet ein Penetrationstest? Der Preis ergibt sich aus dem Aufwand für Prüfobjekt, Testtiefe, Vorgehensweise, Bericht und Retest. Der Rechner legt diese Größen offen und verbindet Personentage mit unserem Tagessatz von 1.000 € bis 1.400 € netto. Der verbindliche Festpreis entsteht nach dem Scoping-Gespräch, das Angebot folgt innerhalb von 24 Stunden an Werktagen.
- Tagessatz der Nica Systems GmbH: 1.000 € bis 1.400 € netto je Personentag
- Externer Perimeter: 3 bis 6 Personentage, 3.000 € bis 8.400 € netto
- Web-Anwendung mit mehreren Rollen und API: 6 bis 12 Personentage, 6.000 € bis 16.800 € netto
- Internes Netz bis 50 Hosts: 5 bis 9 Personentage, 5.000 € bis 12.600 € netto
- Active Directory: 5 bis 10 Personentage, 5.000 € bis 14.000 € netto
- Preisbestimmend sind Prüfobjekt, Testtiefe, Vorgehensweise, Kritikalität und Retest
- Die Leistung im Detail: Penetration Testing
- Anbieterauswahl: Penetrationstest-Anbieter in Deutschland
Preise je Prüfobjekt, Stand September 2026
Aufwand je Prüfobjekt in Personentagen, multipliziert mit dem Tagessatz der Nica Systems GmbH von 1.000 € bis 1.400 € netto. Verbindlich wird der Festpreis nach dem Scoping.
| Prüfobjekt | Personentage | Preisrahmen netto | Was geprüft wird |
|---|---|---|---|
| Web-Anwendung, klein | 3–5 | 3.000 € – 7.000 € | Bis rund 10 Seiten, eine Benutzerrolle, keine eigene API |
| Web-Anwendung, mittelgroß | 6–12 | 6.000 € – 16.800 € | Mehrere Benutzerrollen, Rechtetrennung, angebundene API |
| Web-Anwendung, komplex | 12–25 | 12.000 € – 35.000 € | Single-Page-Application, viele Schnittstellen, Zahlungs- oder Vertragslogik |
| API oder Schnittstelle | 3–8 | 3.000 € – 11.200 € | REST oder GraphQL, Authentifizierung, Rechtetrennung, Geschäftslogik |
| Mobile App | 5–10 | 5.000 € – 14.000 € | iOS oder Android, inklusive Backend-Kommunikation und lokaler Datenhaltung |
| Externer Perimeter | 3–6 | 3.000 € – 8.400 € | Von außen erreichbare Systeme und Dienste, DMZ, Fernzugänge |
| Internes Netz, bis 50 Hosts | 5–9 | 5.000 € – 12.600 € | Segmentierung, Dienste, Rechteausweitung im internen Netz |
| Internes Netz, bis 200 Hosts | 8–16 | 8.000 € – 22.400 € | Mehrere Segmente oder Standorte, entsprechend größere Angriffsfläche |
| Active Directory | 5–10 | 5.000 € – 14.000 € | Der Weg vom normalen Benutzerkonto zum Domänen-Administrator |
| Microsoft 365 und Entra ID | 4–8 | 4.000 € – 11.200 € | Konfiguration, Conditional Access, Rechteausweitung, Gastzugänge |
| Cloud-Umgebung | 5–12 | 5.000 € – 16.800 € | Azure oder AWS: Identitäten und Rollen, Netzarchitektur, Speicher, Protokollierung |
| Produktions- und OT-Netz | 8–18 | 8.000 € – 25.200 € | Passive Aufnahme im laufenden Betrieb, aktive Prüfung nur nach Freigabe |
| Social Engineering | 3–7 | 3.000 € – 9.800 € | Phishing-Kampagne, Vorwandanrufe, auf Wunsch Zutrittsversuch |
| Red-Team-Assessment | 20–50 | 20.000 € – 70.000 € | Zielgerichtete Angriffssimulation über alle Wege hinweg, über Wochen angelegt |
- Penetrationstest in Düsseldorf und im Rheinland
- Anbieter auswählen: Kriterien und Bewertungsmatrix
- Vier Prüfungen im Jahr statt einer: Managed Pentest
Was den Preis bestimmt
Prüfobjekt
Eine Web-Anwendung mit einer Rolle ist in Tagen geprüft, ein internes Netz mit mehreren Standorten nicht. Der Umfang ist der größte Hebel.
Testtiefe
Ein Scan mit Sichtprüfung findet Bekanntes. Logikfehler, Rechteumgehungen und verkettete Angriffe findet nur ein Mensch mit Zeit.
Vorgehensweise
Black Box kostet Aufklärungszeit, White Box vergrößert die Prüffläche. Grey Box liegt dazwischen und ist meist die wirtschaftlichste Wahl.
Kritikalität
Systeme, deren Ausfall oder Kompromittierung existenzbedrohend wäre, rechtfertigen mehr Prüfzeit als ein internes Werkzeug.
Retest
Ohne Nachprüfung bleibt offen, ob die Lücke wirklich geschlossen ist. Als Nachweis gegenüber Auditoren und Kunden ist sie meist unverzichtbar.
Ein Preisrahmen wird mit einem klaren Scope belastbar
Prüfobjekt und Angriffsfläche
Rollen, Schnittstellen, Geschäftslogik, Standorte und kritische Systeme bestimmen die notwendige Prüftiefe.
Testtiefe und Ausgangswissen
Black-, Grey- und White-Box-Tests beantworten unterschiedliche Fragen und benötigen unterschiedlich viel Zeit für Erkundung und Tiefenprüfung.
Bericht und Retest
Reproduzierbare Befunde, Risikoeinordnung und die Nachprüfung behobener Angriffspfade gehören zum belastbaren Ergebnis.
Testtiefe
Scan-gestützt
Automatisierte Prüfung mit manueller Verifikation der Funde. Findet Bekanntes, keine Logikfehler.
Manuell
Der Regelfall: manuelle Prüfung entlang OWASP und BSI-Leitfaden, Scanner nur unterstützend.
Vertieft
Zusätzliche Zeit für Geschäftslogik, Verkettung von Schwachstellen und Umgehung von Schutzmaßnahmen.
Vorgehensweisen
Black Box
Ohne Vorwissen. Realitätsnah, kostet aber Zeit für Aufklärung, die nicht in die Prüfung fließt.
Grey Box
Mit Testzugängen und Grundinformationen. Bestes Verhältnis aus Erkenntnistiefe und Aufwand.
White Box
Mit vollem Einblick in Konfiguration und Architektur. Höchste Abdeckung, entsprechend mehr Prüffläche.
Häufige Fragen
Was kostet ein Penetrationstest?
Der Preis ergibt sich aus dem Aufwand in Personentagen, multipliziert mit dem Tagessatz – bei der Nica Systems GmbH 1.000 € bis 1.400 € netto. Ein einzelnes, klar abgegrenztes Prüfobjekt liegt bei drei bis sechs Personentagen, eine gewachsene Umgebung mit mehreren Standorten beim Drei- bis Vierfachen. Eine seriöse Endsumme nennt niemand ohne Scoping: Zwei Web-Anwendungen gleicher Größe können sich im Aufwand um den Faktor drei unterscheiden.
Was kostet ein Penetrationstest für ein mittelständisches Unternehmen?
Die Spanne ist weit, weil der Aufwand weit auseinandergeht. Ein externer Perimetertest ist in drei bis sechs Personentagen geprüft, ein internes Netz mit mehreren Standorten braucht das Drei- bis Vierfache. Bei unserem Tagessatz von 1.000 € bis 1.400 € netto ergibt das für typische Mittelstandsprojekte einen Rahmen von etwa 3.000 € bis 25.000 €. Nach dem Scoping erhalten Sie daraus einen Festpreis – keine Abrechnung nach Aufwand.
Was kostet ein Penetrationstest in Düsseldorf?
Derselbe Tagessatz wie bundesweit – der Standort des Auftraggebers verändert den Preis nicht. Was ihn verändert, ist die Anreise: Für Prüfungen vor Ort im Rheinland entfallen Reisekosten und Übernachtungen, die bei weiter entfernten Projekten hinzukommen. Unser Sitz ist Düsseldorf-Reisholz; ein Termin vor Ort ist in der Regel ohne Zusatzaufwand möglich.
Was kostet ein umfassender Penetrationstest bei einem spezialisierten Dienstleister?
„Umfassend“ heißt in der Praxis: externer Perimeter, internes Netz, Active Directory und die zentralen Web-Anwendungen in einem Durchgang. Dafür summieren sich die Einzelaufwände der Prüfobjekte; bei mittelständischen Umgebungen landet das erfahrungsgemäß zwischen 15 und 25 Personentagen, also etwa 15.000 € bis 35.000 € netto. Wer das jährlich braucht, fährt mit einem rotierenden Quartalszyklus meist günstiger und lückenloser als mit einem großen Test.
Warum nennen Sie eine Spanne statt einer Zahl?
Weil eine Endsumme ohne Kenntnis des Prüfobjekts geraten wäre. Zwei Web-Anwendungen mit derselben Seitenzahl können sich im Aufwand um den Faktor drei unterscheiden – je nachdem, wie viele Rollen es gibt, ob eine API dranhängt und wie viel Geschäftslogik geprüft werden muss. Offen liegt deshalb beides: unser Tagessatz und der Aufwand je Prüfobjekt. Multipliziert ergibt das den Rahmen; das Scoping macht daraus eine Zahl.
Was ist ein Personentag?
Ein Arbeitstag eines Testers am Prüfobjekt, einschließlich Auswertung und Dokumentation. Der Aufwand für Angebot, Scoping-Gespräch und Abschlussbesprechung ist darin nicht enthalten – den berechnen wir nicht.
Ist der Retest im Preis enthalten?
Nachprüfung der behobenen Befunde mit dokumentiertem Beleg – der eigentliche Nachweis für ISO 27001, NIS2 und Auftraggeber. Wir kalkulieren ihn standardmäßig mit rund 15 Prozent zusätzlichem Aufwand ein, weil ein Bericht ohne Nachprüfung als Nachweis wenig wert ist. Wer ihn nicht braucht, nimmt ihn heraus.
Was unterscheidet einen Penetrationstest von einem Schwachstellenscan?
Der Scan sucht automatisiert nach bekannten Schwachstellen und liefert eine Liste. Der Penetrationstest prüft, ob sie sich tatsächlich ausnutzen lassen, verkettet Funde und findet dabei Fehler in der Geschäftslogik, die kein Werkzeug erkennt. Der Preisunterschied ist genau dieser Unterschied: Ein Scan ist Rechenzeit, ein Test ist Arbeitszeit.
Gibt es Fördermittel für einen Penetrationstest?
Je nach Bundesland und Vorhaben gibt es Digitalisierungs- und Sicherheitsförderungen, teils als Zuschuss, teils als zinsvergünstigter Kredit. Ob und in welcher Höhe Ihr Vorhaben förderfähig ist, hängt von Unternehmensgröße, Standort und Programm ab – wir sagen Ihnen im Erstgespräch, was in Ihrem Fall in Betracht kommt.
Wie schnell bekomme ich ein Angebot?
Nach dem Scoping-Gespräch erhalten Sie das Angebot innerhalb von 24 Stunden an Werktagen – mit klar abgegrenztem Prüfumfang, Zeitfenster und Festpreis.
Kontakt
Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr
Quellen und weiterführende Informationen
- BSI: Durchführungskonzept für Penetrationstests (Studie)
- OWASP Top 10 – die häufigsten Web-Schwachstellen
- FIRST: Common Vulnerability Scoring System (CVSS)
Primärquellen zum Nachlesen. Für die Inhalte externer Seiten ist der jeweilige Anbieter verantwortlich.
Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH
Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.