Pentesting ist ein unregulierter Markt – theoretisch darf sich jeder „Pentester“ nennen. Dieser Guide fasst zusammen, worauf seriöse Fachquellen (BSI, OWASP, CREST) und die Branche selbst bei der Anbieterwahl achten – mit Quellen, ohne Anbieter-Ranking.
Ein seriöser Pentest ist überwiegend manuelle Arbeit zertifizierter Tester (OSCP gilt als De-facto-Standard), folgt einer anerkannten Methodik (OWASP, PTES, BSI), enthält einen Retest und einen verständlichen Bericht mit Reproduktionsschritten – nicht nur eine CVSS-Liste. Automatisierte Scans, die als „Pentest“ verkauft werden, ungewöhnlich niedrige Festpreise ohne Scoping-Gespräch und fehlende Zertifikate sind die häufigsten Warnsignale.
Zusammengefasst aus BSI-Studie, OWASP, CREST-Standard und den Auswahlkriterien seriöser Fachanbieter im DACH-Raum und international.
Ein echter Pentest ist überwiegend manuelle Arbeit – automatisiertes Scanning ist nur der Ausgangspunkt. Business-Logic-Fehler, verkettete Angriffspfade und Zugriffskontroll-Lücken findet nur ein Mensch. So prüft ihr das: Fragt nach dem Anteil manuell vs. automatisiert, nach konkreten Business-Logic-Beispielen aus früheren Tests und verlangt einen redigierten Sample-Report mit echten Proof-of-Concepts statt reiner CVSS-Listen.
Da „Pentester“ kein geschützter Begriff ist, sind praktische Zertifikate (OSCP, OSEP, OSWE, CRTO, CRTP) das wichtigste Screening-Kriterium – nicht Zertifikate der Firma, sondern der Personen, die euren Test tatsächlich durchführen. So prüft ihr das: Lasst euch die Zertifikate der konkret zugeteilten Tester nennen und verlangt Nachweise (z. B. über Credly).
Seriöse Anbieter orientieren sich an dokumentierten Standards wie der BSI-Studie 'Durchführungskonzept für Penetrationstests', OWASP WSTG, PTES oder NIST SP 800-115. Wird nur eine Tool-Liste (Burp, Nmap, Metasploit) als 'Methodik' präsentiert, ist das kein Verfahren, sondern Marketing. So prüft ihr das: Fragt im Angebot explizit nach dem zugrunde liegenden Framework.
Weitere Kriterien im Detail
Ihr bezahlt für die Analyse, nicht für den Automatisierungs-Output. Ein guter Bericht enthält eine Management-Summary, technische Findings mit Reproduktionsschritten und Screenshots, eine Risikobewertung sowie priorisierte Handlungsempfehlungen – getrennt nach Zielgruppe (Geschäftsführung vs. IT). So prüft ihr das: Verlangt vor Vertragsschluss einen anonymisierten Beispielbericht.
Ein Pentest ohne Nachtest ist eine Diagnose ohne Kontrolltermin – ob eine gefundene Lücke wirklich geschlossen wurde, bleibt sonst unbelegt. So prüft ihr das: Klärt vorab, ob der Retest im Preis enthalten ist oder separat berechnet wird (am Markt üblich: 20–30 % des Projektvolumens als Zusatzkosten, wenn nicht inkludiert).
Testobjekte, Ausschlüsse, Testzeiten und Eskalationswege müssen vor Testbeginn schriftlich fixiert sein – ohne dokumentierte Autorisierung („Permission to Attack“) bewegt sich ein Test rechtlich auf dünnem Eis. So prüft ihr das: Ein seriöser Anbieter besteht auf einem Scoping-Gespräch. Kein Scoping-Call vor dem Angebot ist ein Warnsignal.
Nachweisbare Security-Research, Veröffentlichungen oder Referenzkunden aus vergleichbarer Größe/Branche zeigen echte Reputation in der Fachcommunity. So prüft ihr das: Fragt gezielt nach Case Studies oder veröffentlichten Advisories – und danach, ob eine Referenz aus eurer Branche existiert.
Intrusive Tests können unbeabsichtigt Produktivsysteme beeinträchtigen – eine Berufshaftpflicht mit expliziter Pentest-Klausel deckt dieses Risiko ab. Am Markt gilt eine Mindestdeckung von rund 5 Mio. € als üblich. So prüft ihr das: Versicherungsnachweis mit Klausel für offensive Security-Tätigkeiten anfordern.
Wer testet tatsächlich – Festangestellte oder anonyme Subunternehmer? Für DSGVO, NIS2 und DORA ist relevant, wo Daten gespeichert und verarbeitet werden. So prüft ihr das: Fragt nach Anstellungsverhältnis der Tester, möglichen Subunternehmern und dem Ort der Datenspeicherung (idealerweise EU).
Ein Anbieter, der gleichzeitig Sicherheitsprodukte verkauft, hat einen strukturellen Interessenkonflikt bei der Bewertung eurer Risiken. So prüft ihr das: Fragt, ob der Anbieter Hard- oder Software vertreibt, die er im Rahmen des Tests „empfehlen“ könnte.
Web/API, Active Directory, Cloud, Mobile oder OT/ICS erfordern unterschiedliche Kompetenzen – ein Generalist ist selten in allen Bereichen gleich stark. So prüft ihr das: Lasst euch Erfahrung mit eurem konkreten Tech-Stack und eurer Branche belegen.
Je nach Branche verlangen NIS2, DORA/TLPT, KRITIS (§8a BSIG), TISAX oder ISO 27001 spezifische Nachweise – nicht jeder Anbieter ist für jeden regulatorischen Kontext geeignet. So prüft ihr das: Prüft, ob der Anbieter Erfahrung mit eurem konkreten Regelwerk hat, ggf. BSI-gelistet oder CREST-akkreditiert ist.
Ein seriöses Angebot ist ein verbindlicher Festpreis nach Scoping-Gespräch – mit nachvollziehbarer Aufschlüsselung nach Testtagen. Preise pro IP-Adresse oder pro Scan-Ergebnis deuten meist auf automatisierte Scanner-Abrechnung hin. So prüft ihr das: Verlangt eine transparente Aufschlüsselung statt einer Pauschalsumme.
Eine grobe Einordnung nach Praxisanspruch – nicht vollständig, aber ein guter erster Filter, wenn euch ein Anbieter Zertifikate nennt.
Belegen Grundlagenwissen, teils mit hohem Multiple-Choice-Anteil (CEH). Für sich allein kein starker Nachweis praktischer Kompromittierungs-Fähigkeit.
OSCP gilt als De-facto-Branchenstandard – eine 24-Stunden-Praxisprüfung mit anschließendem Report. CRTO/CRTP sind die gängigen Einstiege ins Red Teaming. Wird häufigst in Stellenanzeigen für Pentester verlangt.
Fortgeschrittene Spezialisierungen (Advanced Evasion, Web-Whitebox, Exploit-Entwicklung) mit mehrtägigen Praxisprüfungen. CREST-Zertifizierungen sind zusätzlich an eine ISO-27001/9001-Unternehmensakkreditierung gekoppelt.
Hinweis: CISSP wird in der Fachwelt häufig als wenig aussagekräftig für praktisches Pentesting eingestuft – es ist ein Management-Zertifikat ohne verpflichtenden Hands-on-Nachweis.
Keines dieser Signale ist für sich allein ein K.-o.-Kriterium – in Kombination lohnt sich aber genaues Nachfragen.
Physische Penetrationstests sind noch schwächer standardisiert als Cyber-Pentesting – eigene Kriterien, eigene Zertifizierungslandschaft, eigene Rechtslage.
Zum Auswahlguide für physische Pentests →Orientierungswerte aus mehreren Marktquellen (siehe Quellenverzeichnis) – die tatsächlichen Kosten hängen stark von Scope und Testtiefe ab. Angebote deutlich unterhalb dieser Spannen sind ein Grund für genaueres Nachfragen (siehe Red Flags).
Quellen u. a.: Marktbefragungen und Anbieterangaben, siehe Quellenverzeichnis. Kein Ersatz für ein individuelles Angebot nach Scoping-Gespräch.
Je nach Branche und Größe kann eine bestimmte Zertifizierung oder Erfahrung des Anbieters Pflicht statt Kür sein:
NIS2 verpflichtet betroffene Unternehmen zu regelmäßigen Sicherheitsüberprüfungen. DORA/TLPT verlangt bei regulierten Finanzunternehmen zugelassene, erfahrene Red-Team-Anbieter für bedrohungsbasierte Penetrationstests. KRITIS-Betreiber (§8a BSIG) benötigen Nachweise gegenüber dem BSI. TISAX ist in der Automobilbranche für Zulieferer relevant. ISO 27001 (Control A.8.8) verlangt regelmäßiges technisches Schwachstellenmanagement, wozu Pentests zählen können.
OSCP gilt in der Branche als De-facto-Standard und wird am häufigsten in Stellenanzeigen für Pentester verlangt, weil es eine 24-Stunden-Praxisprüfung mit echtem System-Kompromittierungsnachweis ist – kein Multiple-Choice-Test. Es ist aber nicht das einzig relevante Zertifikat: Für Red Teaming sind CRTO/CRTP gängiger, für Web-Anwendungen OSWE. Entscheidend ist weniger ein einzelnes Zertifikat als die Frage, ob die konkret zugeteilten Tester überhaupt praxisnahe Zertifizierungen vorweisen können.
Ein Pentest zeigt Schwachstellen zu einem Zeitpunkt – ob eure Behebungsmaßnahmen tatsächlich wirken, zeigt erst ein Nachtest. Ob der Retest inkludiert ist, ist Verhandlungssache; wichtig ist, dass ihr es vorher klärt, statt es nachträglich als Zusatzkosten überrascht zu bekommen. Marktüblich sind, falls separat berechnet, etwa 20–30 % des ursprünglichen Projektvolumens.
Ein Vulnerability Scan ist ein automatisiertes Tool, das bekannte Schwachstellen anhand von Signaturen erkennt – schnell, aber oberflächlich. Ein Pentest kombiniert das mit manueller Analyse: Tester verketten mehrere kleinere Schwachstellen zu echten Angriffspfaden und prüfen Geschäftslogik, die kein Scanner versteht. Wird ein reiner Scan als 'Pentest' verkauft, fehlt in der Regel genau dieser manuelle Teil – erkennbar oft daran, dass der Bericht nur CVSS-Werte ohne Proof-of-Concept enthält.
Weil Umfang, Testtiefe und Rahmenbedingungen den Aufwand direkt bestimmen – ein seriöses Festpreisangebot ohne dieses Gespräch ist entweder eine grobe Schätzung oder deckt in Wirklichkeit nur einen automatisierten Scan ab. Das Scoping-Gespräch ist außerdem der Moment, in dem Rules of Engagement und Ausschlüsse geklärt werden, bevor überhaupt getestet wird.
Nicht zwangsläufig, aber ein Preis deutlich unterhalb der marktüblichen Spannen (siehe Preisrahmen oben) ist ein Signal, genauer nachzufragen: Wie hoch ist der manuelle Anteil, welche Zertifizierungen haben die Testenden, ist ein Retest enthalten? Ungewöhnlich niedrige Preise entstehen häufig durch starke Automatisierung oder wenig erfahrene Tester statt durch echte Effizienzvorteile.
Rechtlich meist nicht zwingend, aber praktisch relevant für DSGVO, NIS2 und DORA: Wo werden Testdaten und Findings gespeichert und verarbeitet, und wer genau führt den Test durch – Festangestellte oder anonyme Subunternehmer in Drittländern? Für regulierte Branchen (KRITIS, Finanzsektor) ist ein transparenter, EU-basierter Anbieter meist die unkompliziertere Wahl.
Wenn ihr diese Kriterien mit einem konkreten Angebot abgleichen wollt – auch unserem eigenen – sprecht uns gerne an. Unverbindlich und ohne Verkaufsdruck.
Unverbindliches Gespräch buchenDieser Guide wurde aus öffentlich zugänglichen Fachquellen zusammengestellt. Wo möglich, verlinken wir auf Primärquellen statt auf Wettbewerber-Blogs.