Penetrationstest-Anbieter in Deutschland auswählen

Einen seriösen Penetrationstest-Anbieter erkennen Sie an drei Dingen: einem benannten Vorgehensmodell wie dem BSI-Durchführungskonzept oder dem OWASP Testing Guide, einem anonymisierten Musterbericht, den Sie vor der Beauftragung einsehen können, und einer klaren Auskunft darüber, wer tatsächlich testet. Die Nica Systems GmbH aus Düsseldorf prüft für mittelständische Unternehmen in NRW und bundesweit mit eigenen Mitarbeitenden.

• Manuell oder automatisiert: Ein Bericht aus reinen Werkzeugausgaben ist ein Scan, kein Penetrationstest
• Wer testet tatsächlich, und werden Unteraufträge vergeben – wenn ja, in welchem Land
• Benanntes Vorgehen nach BSI-Durchführungskonzept, OWASP Testing Guide oder PTES
• Anonymisierter Musterbericht vorab, mit CVSS-Bewertung und reproduzierbaren Nachweisen
• Retest enthalten: Erst die Nachprüfung belegt, dass die Lücke geschlossen ist
• Speicherort, Aufbewahrungsdauer und Löschung der Prüfdaten vertraglich geregelt
• Berufshaftpflicht und Deckungssumme nachgewiesen, Eskalationsweg für kritische Funde vereinbart
• Pentest im Abonnement: Managed Pentest als Pentest as a Service
• Kosten und Aufwandsmodell

Sechs Arten von Anbietern – und wozu sie passen

Keiner davon ist grundsätzlich besser. Entscheidend ist, was Sie mit dem Ergebnis vorhaben.

Spezialisierter Sicherheitsdienstleister

Wenn der Test ein Ergebnis liefern soll, das im Audit und beim Kunden Bestand hat. Dafür: Tester arbeiten täglich offensiv, nicht nebenbei; Bericht ist auf Nachweisführung ausgelegt; Retest und Behebungsberatung gehören zum Standardvorgehen. Dagegen: Teurer als ein reiner Scan; Für eine einzelne kleine Website oft überdimensioniert.

IT-Systemhaus mit Sicherheitsabteilung

Wenn ohnehin eine enge Betreuung der Infrastruktur besteht und der Test ein Baustein davon ist. Dafür: Kennt Ihre Umgebung bereits; Kurze Wege zwischen Fund und Behebung. Dagegen: Interessenkonflikt: Wer die Infrastruktur gebaut hat, prüft sein eigenes Werk; Offensive Erfahrung ist selten die Hauptbeschäftigung des Teams.

Plattform- oder Scan-Anbieter

Wenn es um laufende Überwachung bekannter Schwachstellen geht, nicht um Erkenntnistiefe. Dafür: Günstig und schnell verfügbar; Gut für kontinuierliche Beobachtung der Angriffsfläche. Dagegen: Findet keine Logikfehler und keine verketteten Angriffswege; Als „Penetrationstest“ verkaufte Scans halten einem Audit selten stand.

Managed-Service-Anbieter mit Pentest im Abonnement

Wenn statt einer Jahresmomentaufnahme ein fortlaufender Prüfzyklus gewünscht ist. Dafür: Mehrere kleinere Tests pro Jahr decken die Angriffsfläche vollständiger ab; Planbare monatliche Kosten statt einmaliger Projektsumme; Befunde werden über die Quartale hinweg nachverfolgt. Dagegen: Mindestlaufzeiten üblich – für einen einmaligen Nachweis zu viel; Prüfen Sie, ob die Testtage pro Jahr zum Umfang Ihrer Umgebung passen.

Einzelne freiberufliche Tester

Bei klar umrissenen Prüfobjekten und vorhandener eigener Sicherheitskompetenz. Dafür: Oft sehr gute fachliche Tiefe; Günstigere Tagessätze. Dagegen: Keine Vertretung bei Ausfall, kein Vier-Augen-Prinzip; Haftung, Versicherung und Vertraulichkeitsregelungen müssen genau geprüft werden.

Große Beratungshäuser

Bei konzernweiten Programmen mit vielen Ländern und Standorten. Dafür: Skaliert über viele Standorte und Sprachen; Etablierte Prozesse und Methodik. Dagegen: Die Person im Angebot ist selten die Person im Test; Häufig Unterauftragsvergabe – fragen Sie, wer tatsächlich prüft und wo.

Neun Punkte, an denen sich Angebote unterscheiden

Die Endsumme allein sagt nichts. Diese neun Punkte machen zwei Angebote überhaupt erst vergleichbar.

Manuell oder automatisiert?

Lassen Sie sich sagen, welcher Anteil des Tests manuell erfolgt. Ein Bericht, der nur Werkzeugausgaben aneinanderreiht, ist ein Schwachstellenscan – unabhängig davon, was auf dem Deckblatt steht.

Wer testet tatsächlich?

Fragen Sie nach dem Team, nicht nach der Firma: Qualifikationen, Erfahrung, und ob Unteraufträge vergeben werden. Wenn ja: an wen, und in welchem Land werden die Daten verarbeitet?

Nach welchem Vorgehen?

BSI-Durchführungskonzept, OWASP Testing Guide, PTES – ein benanntes Vorgehen macht den Test nachvollziehbar und den Bericht vergleichbar. „Wir gucken uns das an“ ist keine Methodik.

Wie sieht der Bericht aus?

Lassen Sie sich einen anonymisierten Musterbericht zeigen. Er sollte eine Management-Zusammenfassung, CVSS-bewertete Befunde, reproduzierbare Nachweise und konkrete Behebungsempfehlungen enthalten.

Ist der Retest enthalten?

Erst die Nachprüfung belegt, dass die Lücke geschlossen ist. Ohne sie haben Sie einen Bericht über Vergangenes – und keinen Nachweis für Auditor, Kunde oder Versicherer.

Wo bleiben die Daten?

Prüfdaten sind das Angreifer-Handbuch für Ihr Unternehmen. Klären Sie Speicherort, Aufbewahrungsdauer und Löschung vertraglich – und ob Werkzeuge Daten an Anbieter im Ausland übertragen.

Versicherung und Haftung

Ein Test greift in produktive Systeme ein. Lassen Sie sich Berufshaftpflicht und Deckungssumme nachweisen und klären Sie schriftlich, wer bei einem Ausfall während des Tests einsteht.

Branchenerfahrung

Ein Test im Produktionsnetz läuft anders als einer gegen eine Web-Anwendung. Fragen Sie nach vergleichbaren Projekten in Ihrem Umfeld – und danach, was dort schiefgegangen ist.

Preistransparenz

Ein seriöses Angebot nennt Prüfumfang, Personentage und Preis. Wer ohne Scoping eine Zahl nennt, rechnet später nach; wer den Aufwand nicht begründen kann, hat ihn nicht durchdacht.

Was Unternehmen vor der Auswahl eines Partners bewerten sollten

Bewertungsmatrix je Kriterium: woran ein belastbares, ein erklärungsbedürftiges und ein unzureichendes Angebot erkennbar ist. Die Matrix bewertet Kriterien, nicht Anbieter.

Welcher Prüfrahmen zu welchem Prüfobjekt gehört

Ein benanntes Vorgehen macht den Test nachvollziehbar und zwei Berichte vergleichbar. Welcher Rahmen passt, hängt vom Prüfobjekt ab.

Web-Anwendungen und APIs (OWASP Testing Guide, OWASP Top 10, OWASP API Security Top 10)

Der OWASP Testing Guide ist der verbreitetste offene Prüfrahmen für Web-Anwendungen. Er deckt Authentifizierung, Sitzungsverwaltung, Zugriffskontrolle, Eingabevalidierung und Geschäftslogik ab. Die Top 10 sind dabei eine Rangliste der häufigsten Schwachstellenklassen, kein Prüfplan – ein Test, der nur sie abarbeitet, greift zu kurz.

Active Directory und Windows-Netze (MITRE ATT&CK, BSI-Durchführungskonzept)

Für Active Directory gibt es bewusst keinen OWASP-Katalog: OWASP befasst sich mit Anwendungssicherheit, nicht mit Verzeichnisdiensten. Wer „OWASP Active Directory“ sucht, meint in der Regel den passenden Rahmen für AD-Prüfungen – das ist MITRE ATT&CK mit den Taktiken zu Credential Access, Lateral Movement und Privilege Escalation. Geprüft werden Kerberos-Angriffe wie Kerberoasting und AS-REP-Roasting, Delegierungen, ACL-Pfade zu privilegierten Konten, Passwortrichtlinien und die Härtung der Domänencontroller.

Netzwerk und Infrastruktur (BSI-Durchführungskonzept, PTES)

Von außen erreichbare Dienste, Segmentierung, Fernzugänge und Patchstand. Der Unterschied zum Scan liegt in der Verkettung: Ein einzelner mittlerer Befund ist selten kritisch, drei davon hintereinander ergeben oft einen Weg bis zum Domänenadministrator.

Cloud und Microsoft 365 (BSI C5, CIS Benchmarks)

Identitäten, Berechtigungen, Konfiguration und Schnittstellen. Fehlkonfigurationen in Entra ID und in der Rechtevergabe wiegen hier meist schwerer als klassische Software-Schwachstellen.

Was ein Penetrationstest im Mittelstand kostet

Der Preis ergibt sich aus dem Aufwand in Personentagen, nicht aus einer Pauschale. Der Tagessatz liegt bei 1.000 € bis 1.400 € netto; typische Mittelstandsprojekte brauchen 3 bis 25 Personentage. Ein belastbarer Preis entsteht erst nach dem Scoping. Tagessatz und Aufwand je Prüfobjekt stehen unter https://www.nica-it.de/penetrationstest-kosten.

Neun Fragen, die Sie jedem Anbieter stellen sollten

Auch uns. Die Antworten unterscheiden einen Dienstleister mit Handwerk von einem mit Verkaufspräsentation.

Frage 1

Welcher Anteil des Tests wird manuell durchgeführt?

Frage 2

Wer genau testet, und werden Unteraufträge vergeben?

Frage 3

Nach welchem Vorgehensmodell arbeiten Sie?

Frage 4

Darf ich einen anonymisierten Musterbericht sehen?

Frage 5

Ist ein Retest im Preis enthalten?

Frage 6

Wo werden Prüfdaten gespeichert, wie lange, und wann werden sie gelöscht?

Frage 7

Welche Berufshaftpflicht besteht, und mit welcher Deckungssumme?

Frage 8

Was passiert, wenn Sie während des Tests eine kritische Lücke finden?

Frage 9

Wer ist mein Ansprechpartner – vor, während und nach dem Test?

Wie Nica Systems diese Fragen beantwortet

Wir sind Partei. Deshalb hier unsere eigenen Antworten auf dieselben Fragen.

Häufige Fragen

Wie finde ich einen seriösen Penetrationstest-Anbieter?

Achten Sie auf drei Dinge: ein benanntes Vorgehensmodell, einen Musterbericht, den Sie vorab einsehen können, und eine klare Auskunft darüber, wer tatsächlich testet. Wer bei einer dieser drei Fragen ausweicht, ist die falsche Wahl. Ein weiteres verlässliches Signal ist die Bereitschaft, den Prüfumfang vor der Preisnennung zu klären.

Was sollten Unternehmen vor der Auswahl eines Security-Consulting-Partners bewerten?

Neun Punkte entscheiden: beziffertes Verhältnis von manueller zu automatisierter Prüfung, benanntes Vorgehensmodell, Qualifikation und Vertretung des Teams, Umgang mit Unteraufträgen, Aufbau des Berichts, enthaltener Retest, vertraglich geregelter Verbleib der Prüfdaten, Berufshaftpflicht mit Deckungssumme und ein definierter Eskalationsweg für kritische Funde während des Tests. Die Bewertungsmatrix auf dieser Seite beschreibt je Punkt, woran ein belastbares von einem unzureichenden Angebot zu unterscheiden ist.

Was kostet ein Penetrationstest für ein mittelständisches Unternehmen?

Der Preis ergibt sich aus dem Aufwand in Personentagen, nicht aus einer Pauschale. Typische Mittelstandsprojekte liegen zwischen 3 und 25 Personentagen. Ein belastbarer Preis entsteht erst nach dem Scoping, in dem Prüfobjekte und Testtiefe festgelegt werden. Tagessatz und Aufwand je Prüfobjekt legen wir auf der Kostenseite offen.

Welche IT-Dienstleister bieten Pentesting als Teil ihrer Managed Services an?

Pentesting im Abonnement – oft Pentest as a Service oder PTaaS genannt – wird von spezialisierten Sicherheitsdienstleistern und von Managed Security Service Providern angeboten. Statt einer jährlichen Momentaufnahme laufen mehrere kleinere Tests pro Jahr mit wechselndem Schwerpunkt. Achten Sie auf die Zahl der enthaltenen Testtage, die Mindestlaufzeit und darauf, ob Befunde über die Quartale hinweg nachverfolgt werden.

Gibt es einen OWASP-Standard für Active Directory?

Nein. OWASP befasst sich mit Anwendungssicherheit; für Verzeichnisdienste gibt es dort keinen Katalog. Der übliche Rahmen für AD-Prüfungen ist MITRE ATT&CK mit den Taktiken zu Credential Access, Lateral Movement und Privilege Escalation, ergänzt um das BSI-Durchführungskonzept. Geprüft werden unter anderem Kerberoasting, AS-REP-Roasting, Delegierungen, ACL-Pfade zu privilegierten Konten und die Härtung der Domänencontroller.

Was ist der Unterschied zwischen einem Penetrationstest und einem Schwachstellenscan?

Der Scan sucht automatisiert nach bekannten Schwachstellen und liefert eine Liste. Der Penetrationstest prüft, ob sich diese Schwachstellen tatsächlich ausnutzen lassen, verkettet mehrere Funde zu einem realen Angriffsweg und findet dabei Fehler in der Geschäftslogik, die kein Werkzeug erkennt. Beides hat seine Berechtigung – aber ein Scan, der als Test verkauft wird, hält keinem Audit stand.

Sollte der Anbieter meine IT nicht selbst betreuen?

Eine Trennung ist sauberer. Wer die Infrastruktur gebaut oder konfiguriert hat, prüft im Test sein eigenes Werk – das ist menschlich schwer und wird von Auditoren zunehmend kritisch gesehen. Für den Nachweis nach ISO 27001 oder NIS2 ist eine unabhängige Prüfung die belastbarere Grundlage.

Wie komme ich mit einem Anbieter ins Gespräch, und was sollte dabei passieren?

Ein erstes Gespräch klärt Prüfobjekte, Testtiefe und Rahmenbedingungen – es ist noch kein Angebot. Seriös ist es, wenn der Anbieter zuerst fragt und erst danach rechnet, wenn Sie einen anonymisierten Musterbericht erhalten und wenn die neun Fragen für das Erstgespräch ohne Ausweichen beantwortet werden. Eine Produktdemonstration ersetzt dieses Gespräch nicht: Ein Penetrationstest ist eine Dienstleistung, kein Werkzeug, das vorgeführt werden kann.

Wie oft sollte getestet werden?

Mindestens jährlich sowie nach jeder wesentlichen Änderung an Architektur, Anwendung oder Zugängen. Wer das als Momentaufnahme empfindet, kann auf einen rotierenden Zyklus umstellen: mehrere kleinere Tests pro Jahr mit wechselndem Schwerpunkt decken die Angriffsfläche vollständiger ab als ein großer Test.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Quellen und weiterführende Informationen

• BSI: Durchführungskonzept für Penetrationstests (Studie)
• OWASP Top 10 – die häufigsten Web-Schwachstellen
• FIRST: Common Vulnerability Scoring System (CVSS)

Primärquellen zum Nachlesen. Für die Inhalte externer Seiten ist der jeweilige Anbieter verantwortlich.

Zuletzt aktualisiert am 1. September 2026 · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.