Pentesting ist ein unregulierter Markt – theoretisch darf sich jeder „Pentester“ nennen. Dieser Guide fasst zusammen, worauf seriöse Fachquellen (BSI, OWASP, CREST) und die Branche selbst bei der Anbieterwahl achten – mit Quellen, ohne Anbieter-Ranking.
Bevor ihr Angebote einholt, stellt ihr drei Weichen selbst: Testtiefe (Scan, Pentest oder Red Team), Informationsstand (Black, Grey oder White Box) und Ziel (Nachweis oder Risikobild). Ein seriöser Pentest ist überwiegend manuelle Arbeit zertifizierter Tester, folgt einer benannten Methodik, enthält einen Retest und einen Bericht mit Reproduktionsschritten. Ohne schriftliche Autorisierung des Systemeigentümers und Rules of Engagement darf kein Test starten.
Diese Entscheidungen bestimmen Aufwand, Preis und den passenden Anbietertyp. Wer sie dem Anbieter überlässt, bekommt das, was der Anbieter am liebsten verkauft.
Automatisiert und signaturbasiert. Findet bekannte Lücken in bekannten Produkten, aber keine Logikfehler und keine verketteten Angriffe. Sinnvoll als Dauerbetrieb, kein Ersatz für einen Test.
Manuelle Prüfung eines festgelegten Scopes in einem festen Zeitfenster. Tester verketten Schwachstellen zu Angriffspfaden und belegen jeden Fund mit einem Proof-of-Concept.
Zielorientiert statt scope-orientiert: ein simulierter Angreifer arbeitet über Wochen gegen Erkennung und Reaktion eurer Verteidigung. Teurer, und nur sinnvoll, wenn Monitoring und Incident Response bereits stehen.
Der Tester weiß nur, was ein Außenstehender weiß. Realistisch, aber ein großer Teil der Testtage geht in die Aufklärung statt in die Tiefe.
Testzugang und Grundinformationen, etwa ein Nutzerkonto und ein Netzplan. Bestes Verhältnis von Tiefe zu Kosten, deshalb bei den meisten Projekten der Standard.
Quellcode, Architektur, Admin-Zugang. Findet pro Testtag am meisten, sagt aber wenig darüber aus, wie weit ein echter Angreifer käme.
Ihr braucht ein Dokument für ISO 27001, TISAX, NIS2 oder eine Kundenanforderung. Scope eng, Bericht formal, oft mit Termindruck. Der Anbieter muss das Zielformat kennen und sollte schon Berichte für genau diesen Zweck geliefert haben.
Ihr wollt wissen, wie weit ein Angreifer bei euch käme. Scope realistisch, mit Eskalation zwischen Systemen, mehr Testtage. Braucht einen Anbieter, der Verkettung tatsächlich durchführt und nicht nach dem ersten Fund pro System aufhört.
Angelehnt an das Fünf-Phasen-Modell des BSI-Durchführungskonzepts, ergänzt um den Retest. Wer eine dieser Phasen im Angebot nicht beschreiben kann, hat sie meist nicht eingeplant.
Testobjekte, Ausschlüsse, Testzeiten, Notfallkontakte und die schriftliche Freigabe des Systemeigentümers. Ohne Scoping-Gespräch gibt es kein belastbares Angebot.
OSINT, Portscans, Erkennung eingesetzter Technologien, Dokumentation der Angriffsfläche. Hier darf und soll automatisiert werden.
Scanner-Ergebnisse werden manuell verifiziert und bewertet. Hier trennt sich der Pentest vom Scan: Fehlalarme fliegen raus, Geschäftslogik kommt dazu.
Funde werden ausgenutzt und bis zum vereinbarten Ziel verkettet: Datenzugriff, Rechteausweitung, Bewegung zwischen Systemen. Kritische Funde meldet der Anbieter sofort, nicht erst im Bericht.
Management-Summary, technische Findings mit Reproduktionsschritten, Risikobewertung und priorisierte Maßnahmen. Idealerweise zwei Termine: einer für die IT, einer für die Geschäftsführung.
Nach der Behebung prüft der Anbieter die gemeldeten Lücken erneut und bestätigt den Stand schriftlich. Erst damit ist das Projekt abgeschlossen.
Zusammengefasst aus BSI-Studie, OWASP, CREST-Standard und den Auswahlkriterien seriöser Fachanbieter im DACH-Raum und international.
Ein echter Pentest ist überwiegend manuelle Arbeit – automatisiertes Scanning ist nur der Ausgangspunkt. Business-Logic-Fehler, verkettete Angriffspfade und Zugriffskontroll-Lücken findet nur ein Mensch. So prüft ihr das: Fragt nach dem Anteil manuell vs. automatisiert, nach konkreten Business-Logic-Beispielen aus früheren Tests und verlangt einen redigierten Sample-Report mit echten Proof-of-Concepts statt reiner CVSS-Listen.
Da „Pentester“ kein geschützter Begriff ist, sind praktische Zertifikate (OSCP, OSEP, OSWE, CRTO, CRTP) das wichtigste Screening-Kriterium – nicht Zertifikate der Firma, sondern der Personen, die euren Test tatsächlich durchführen. So prüft ihr das: Lasst euch die Zertifikate der konkret zugeteilten Tester nennen und verlangt Nachweise (z. B. über Credly).
Seriöse Anbieter orientieren sich an dokumentierten Standards wie der BSI-Studie „Durchführungskonzept für Penetrationstests“, OWASP WSTG, PTES oder NIST SP 800-115. Wird nur eine Tool-Liste (Burp, Nmap, Metasploit) als „Methodik“ präsentiert, ist das kein Verfahren, sondern Marketing. So prüft ihr das: Fragt im Angebot explizit nach dem zugrunde liegenden Framework.
Weitere Kriterien im Detail
Ihr bezahlt für die Analyse, nicht für den Automatisierungs-Output. Ein guter Bericht enthält eine Management-Summary, technische Findings mit Reproduktionsschritten und Screenshots, eine Risikobewertung sowie priorisierte Handlungsempfehlungen – getrennt nach Zielgruppe (Geschäftsführung vs. IT). So prüft ihr das: Verlangt vor Vertragsschluss einen anonymisierten Beispielbericht.
Ein Pentest ohne Nachtest ist eine Diagnose ohne Kontrolltermin – ob eine gefundene Lücke wirklich geschlossen wurde, bleibt sonst unbelegt. So prüft ihr das: Klärt vorab, ob der Retest im Preis enthalten ist oder separat berechnet wird (nach unserer Erfahrung kostet ein nicht inkludierter Retest meist 20–30 % des Projektvolumens zusätzlich).
Testobjekte, Ausschlüsse, Testzeiten und Eskalationswege müssen vor Testbeginn schriftlich fixiert sein – ohne dokumentierte Autorisierung („Permission to Attack“) bewegt sich ein Test rechtlich auf dünnem Eis. So prüft ihr das: Ein seriöser Anbieter besteht auf einem Scoping-Gespräch. Kein Scoping-Call vor dem Angebot ist ein Warnsignal.
Nachweisbare Security-Research, Veröffentlichungen oder Referenzkunden aus vergleichbarer Größe/Branche zeigen echte Reputation in der Fachcommunity. So prüft ihr das: Fragt gezielt nach Case Studies oder veröffentlichten Advisories – und danach, ob eine Referenz aus eurer Branche existiert.
Intrusive Tests können unbeabsichtigt Produktivsysteme beeinträchtigen – eine Berufshaftpflicht mit expliziter Pentest-Klausel deckt dieses Risiko ab. Nach unserer Erfahrung ist eine Deckungssumme von rund 5 Mio. € verbreitet. So prüft ihr das: Versicherungsnachweis mit Klausel für offensive Security-Tätigkeiten anfordern.
Wer testet tatsächlich – Festangestellte oder anonyme Subunternehmer? Für DSGVO, NIS2 und DORA ist relevant, wo Daten gespeichert und verarbeitet werden. So prüft ihr das: Fragt nach Anstellungsverhältnis der Tester, möglichen Subunternehmern und dem Ort der Datenspeicherung (idealerweise EU).
Ein Anbieter, der gleichzeitig Sicherheitsprodukte verkauft, hat einen strukturellen Interessenkonflikt bei der Bewertung eurer Risiken. So prüft ihr das: Fragt, ob der Anbieter Hard- oder Software vertreibt, die er im Rahmen des Tests „empfehlen“ könnte.
Web/API, Active Directory, Cloud, Mobile oder OT/ICS erfordern unterschiedliche Kompetenzen – ein Generalist ist selten in allen Bereichen gleich stark. So prüft ihr das: Lasst euch Erfahrung mit eurem konkreten Tech-Stack und eurer Branche belegen.
Je nach Branche verlangen NIS2, DORA/TLPT, KRITIS (§§ 30, 31 BSIG), TISAX oder ISO 27001 spezifische Nachweise – nicht jeder Anbieter ist für jeden regulatorischen Kontext geeignet. So prüft ihr das: Prüft, ob der Anbieter Erfahrung mit eurem konkreten Regelwerk hat, ggf. BSI-gelistet oder CREST-akkreditiert ist.
Ein seriöses Angebot ist ein verbindlicher Festpreis nach Scoping-Gespräch – mit nachvollziehbarer Aufschlüsselung nach Testtagen. Preise pro IP-Adresse oder pro Scan-Ergebnis deuten meist auf automatisierte Scanner-Abrechnung hin. So prüft ihr das: Verlangt eine transparente Aufschlüsselung statt einer Pauschalsumme.
Vergebt pro Kriterium 0, 1 oder 2 Punkte und rechnet zusammen. Die Matrix ersetzt kein Gespräch, macht aber sichtbar, wo ein Angebot schweigt.
| Kriterium | 0 Punkte | 1 Punkt | 2 Punkte |
|---|---|---|---|
| 01Manueller Anteil | Nicht beziffert oder ausweichend | Beziffert, ohne Beispiele | Beziffert, mit Business-Logic-Beispielen und Beispielbericht |
| 02Tester-Zertifikate | Nur Firmenzertifikate genannt | Zertifikate genannt, Tester nicht | Zertifikate der zugeteilten Tester, mit Nachweis |
| 03Methodik | Tool-Liste | Framework genannt | Framework mit Version, auf euren Scope angepasst |
| 04Bericht | Kein Beispiel verfügbar | Beispiel ohne Reproduktionsschritte | Anonymisierter Bericht mit Proof-of-Concept, Summary und Maßnahmen |
| 05Retest | Nicht erwähnt | Gegen Aufpreis | Im Preis enthalten, mit Frist und Umfang |
| 06Scoping und Rules of Engagement | Festpreis ohne Gespräch | Gespräch, aber nichts Schriftliches | Scoping-Gespräch und schriftliche Rules of Engagement |
| 07Referenzen | Keine | Allgemeine Referenzen | Referenz aus eurer Branche oder veröffentlichte Research |
| 08Versicherung | Kein Nachweis | Haftpflicht ohne Pentest-Klausel | Nachweis mit Klausel für offensive Tests |
| 09Datenstandort und Tester | Unklar oder Subunternehmer in Drittländern | EU, Anstellung unklar | Speicherung in der EU, festangestellte und benannte Tester |
| 10Unabhängigkeit | Verkauft Produkte, die er im Bericht empfiehlt | Vertreibt Produkte, legt das offen | Kein Produktvertrieb |
| 11Spezialisierung | Kein Bezug zu eurem Stack | Allgemeine Erfahrung | Belegte Erfahrung mit eurem Stack |
| 12Regulatorischer Fit | Kennt euer Regelwerk nicht | Kennt es | Hat Nachweise dafür schon geliefert |
| 13Preistransparenz | Pauschale oder Preis pro IP | Festpreis ohne Aufschlüsselung | Festpreis mit Personentagen je Phase |
Lesart: 22 bis 26 Punkte sind ein belastbares Angebot. 15 bis 21 heißt nachfragen, das ist meist klärbar. Unter 15 Punkte oder eine Null bei einem der ersten drei Kriterien: weitersuchen.
Eine grobe Einordnung nach Praxisanspruch – nicht vollständig, aber ein guter erster Filter, wenn euch ein Anbieter Zertifikate nennt.
Belegen Grundlagenwissen, teils mit hohem Multiple-Choice-Anteil (CEH). Für sich allein kein starker Nachweis praktischer Kompromittierungs-Fähigkeit.
OSCP gilt als De-facto-Branchenstandard – eine Praxisprüfung von 23 Stunden 45 Minuten, danach bleiben 24 Stunden für den Bericht. Wer seit November 2024 besteht, erhält zusätzlich das OSCP+, das nach drei Jahren erneuert werden muss. CRTO/CRTP sind die gängigen Einstiege ins Red Teaming. Wird am häufigsten in Stellenanzeigen für Pentester verlangt.
Fortgeschrittene Spezialisierungen (Advanced Evasion, Web-Whitebox, Exploit-Entwicklung) mit mehrtägigen Praxisprüfungen. CREST vergibt daneben eine eigene Akkreditierung für Unternehmen – unabhängig von den Personenzertifikaten –, bei der Prozesse, Qualitätssicherung und Informationssicherheit des Anbieters geprüft werden.
Hinweis: CISSP wird in der Fachwelt häufig als wenig aussagekräftig für praktisches Pentesting eingestuft – es ist ein Management-Zertifikat ohne verpflichtenden Hands-on-Nachweis.
Unternehmensebene
Personenzertifikate beantworten die Frage, ob der Tester bei euch etwas kann. Unternehmenszertifikate beantworten, ob der Anbieter organisatorisch sauber arbeitet. Ihr braucht beides, das erste ist wichtiger.
Das BSI zertifiziert Unternehmen für den Geltungsbereich IS-Penetrationstests; geprüft werden Vorgehen, Qualitätssicherung und die Kompetenz der beschäftigten Tester. Die Liste ist öffentlich und vor allem für Behörden und KRITIS-Betreiber ein belastbarer Anker. Sie ist aber kein Vollständigkeitsmaßstab: Viele spezialisierte Anbieter haben die Zertifizierung nie beantragt, und ein Listeneintrag sagt nichts über die Tester, die euer Projekt tatsächlich bekommen.
Zur BSI-Liste ↗Britisch geprägtes Akkreditierungssystem, das Unternehmensprozesse, Haftpflicht und Personenzertifikate koppelt. International verbreitet, in Deutschland eher bei größeren oder international tätigen Anbietern anzutreffen.
Belegt, dass der Anbieter seine eigene Informationssicherheit steuert, also etwa eure Testdaten und Berichte geordnet behandelt. Über die Qualität der Tests sagt es nichts.
Keines dieser Signale ist für sich allein ein K.-o.-Kriterium – in Kombination lohnt sich aber genaues Nachfragen.
Physische Penetrationstests sind noch schwächer standardisiert als Cyber-Pentesting – eigene Kriterien, eigene Zertifizierungslandschaft, eigene Rechtslage.
Zum Auswahlguide für physische Pentests →Orientierungswerte aus mehreren Marktquellen (siehe Quellenverzeichnis) – die tatsächlichen Kosten hängen stark von Scope und Testtiefe ab. Angebote deutlich unterhalb dieser Spannen sind ein Grund für genaueres Nachfragen (siehe Red Flags).
Quellen u. a.: Marktbefragungen und Anbieterangaben, siehe Quellenverzeichnis. Die TLPT-Spanne ist eine Marktschätzung, keine Angabe der Aufsicht. Kein Ersatz für ein individuelles Angebot nach Scoping-Gespräch.
Rechenbeispiel mit drei fiktiven Angeboten für denselben Scope. Vergleichbar ist nur, wer Personentage je Phase und Inklusivleistungen offenlegt.
| Angebot | Tagessatz | Personentage | davon manuelle Analyse und Angriffe | Retest | Gesamt |
|---|---|---|---|---|---|
| A | 1.100 € | 10 | 5 | inklusive | 11.000 € |
| B | 1.500 € | 6 | 5 | inklusive | 9.000 € |
| C | Pauschale | nicht angegeben | nicht angegeben | auf Anfrage | 4.900 € |
A und B liefern dieselben fünf Tage manuelle Arbeit. A verbringt fünf weitere Tage mit Aufklärung und Scans, die B automatisiert, ist also teurer und nicht besser. C lässt sich gar nicht einordnen, und genau das ist der Befund: Ohne Aufschlüsselung vergleicht ihr Preise, keine Leistungen.
Ein Pentest ist rechtlich ein Angriff mit Erlaubnis. Diese fünf Punkte gehören in jeden Vertrag, unabhängig von der Größe des Projekts.
Ausspähen und Abfangen von Daten sind strafbar (§§ 202a, 202b StGB). Ein beauftragter Pentest fällt nicht darunter, weil der Tester mit Zustimmung des Berechtigten nicht „unbefugt“ handelt. Auch § 202c StGB greift nicht: Programme, die sich für Angriffe lediglich eignen (Dual-Use-Tools), erfasst die Norm gar nicht, und wer Werkzeuge für einen beauftragten Test beschafft, verfolgt einen legalen Zweck (BVerfG, 2 BvR 2233/07). Die Zustimmung muss von einer vertretungsberechtigten Person kommen und den Scope genau benennen: Systeme, IP-Bereiche, Zeitfenster.
Ihr könnt nur freigeben, was euch gehört. Für Anwendungen bei einem Hoster oder in einer Cloud gelten dessen Regeln für Sicherheitstests; die großen Cloud-Anbieter erlauben Tests eigener Ressourcen, nicht der Plattform. Shared Hosting und SaaS-Produkte Dritter brauchen deren ausdrückliche Zustimmung.
Tester sehen fast immer personenbezogene Daten. Deshalb gehören AV-Vertrag, Datenstandort in der EU, Liste der Subunternehmer, ein Löschkonzept für Testdaten, Screenshots und Bericht sowie eine Vertraulichkeitsvereinbarung in den Vertrag.
Testzeiten, ausgeschlossene Systeme, erlaubte Techniken (Denial of Service in der Regel nicht), Umgang mit Zufallsfunden auf fremden Systemen, Abbruchkriterien, Notfallkontakt auf beiden Seiten und die Sofortmeldung kritischer Funde. Ein Dokument, von beiden Seiten unterschrieben.
Intrusive Tests können Produktivsysteme stören. Strafrechtlich deckt die Freigabe nur, was sie erlaubt: Wer darüber hinaus Daten löscht oder verändert oder eine Datenverarbeitung von wesentlicher Bedeutung erheblich stört, riskiert eine Strafbarkeit wegen Datenveränderung oder Computersabotage (§§ 303a, 303b StGB). Klärt Haftungsgrenzen im Vertrag und lasst euch den Versicherungsnachweis mit Klausel für offensive Tätigkeiten zeigen. Für Verstöße gegen die Rules of Engagement haftet der Anbieter voll, für Schäden innerhalb des vereinbarten Scopes meist begrenzt.
Diese Angaben sind allgemeine Orientierung, keine Rechtsberatung. Vertragsklauseln, §§ 202a ff. und 303a f. StGB sowie Datenschutzfragen im Einzelfall anwaltlich prüfen lassen.
Je nach Branche und Größe kann eine bestimmte Zertifizierung oder Erfahrung des Anbieters Pflicht statt Kür sein:
NIS2 verpflichtet betroffene Unternehmen zu regelmäßigen Sicherheitsüberprüfungen. DORA/TLPT stellt bei den Finanzunternehmen, die die Aufsicht für einen bedrohungsbasierten Penetrationstest bestimmt, konkrete Anforderungen an die Tester (Art. 27 DORA): nachgewiesene Erfahrung in Threat Intelligence und Red Teaming, Zertifizierung oder Verhaltenskodex, Berufshaftpflicht. KRITIS-Betreiber (§§ 30, 31 BSIG) benötigen Nachweise gegenüber dem BSI. TISAX ist in der Automobilbranche für Zulieferer relevant. ISO 27001 verlangt technisches Schwachstellenmanagement (Control A.8.8) und Sicherheitstests in Entwicklung und Abnahme (A.8.29), wozu Pentests zählen können.
OSCP gilt in der Branche als De-facto-Standard und wird am häufigsten in Stellenanzeigen für Pentester verlangt, weil es eine Praxisprüfung von knapp 24 Stunden mit echtem System-Kompromittierungsnachweis und anschließendem Bericht ist – kein Multiple-Choice-Test. Seit November 2024 kommt dazu das OSCP+ mit drei Jahren Gültigkeit. Es ist aber nicht das einzig relevante Zertifikat: Für Red Teaming sind CRTO/CRTP gängiger, für Web-Anwendungen OSWE. Entscheidend ist weniger ein einzelnes Zertifikat als die Frage, ob die konkret zugeteilten Tester überhaupt praxisnahe Zertifizierungen vorweisen können.
Ein Pentest zeigt Schwachstellen zu einem Zeitpunkt – ob eure Behebungsmaßnahmen tatsächlich wirken, zeigt erst ein Nachtest. Ob der Retest inkludiert ist, ist Verhandlungssache; wichtig ist, dass ihr es vorher klärt, statt es nachträglich als Zusatzkosten überrascht zu bekommen. Marktüblich sind, falls separat berechnet, etwa 20–30 % des ursprünglichen Projektvolumens.
Ein Vulnerability Scan ist ein automatisiertes Tool, das bekannte Schwachstellen anhand von Signaturen erkennt – schnell, aber oberflächlich. Ein Pentest kombiniert das mit manueller Analyse: Tester verketten mehrere kleinere Schwachstellen zu echten Angriffspfaden und prüfen Geschäftslogik, die kein Scanner versteht. Wird ein reiner Scan als „Pentest“ verkauft, fehlt in der Regel genau dieser manuelle Teil – erkennbar oft daran, dass der Bericht nur CVSS-Werte ohne Proof-of-Concept enthält.
Weil Umfang, Testtiefe und Rahmenbedingungen den Aufwand direkt bestimmen – ein seriöses Festpreisangebot ohne dieses Gespräch ist entweder eine grobe Schätzung oder deckt in Wirklichkeit nur einen automatisierten Scan ab. Das Scoping-Gespräch ist außerdem der Moment, in dem Rules of Engagement und Ausschlüsse geklärt werden, bevor überhaupt getestet wird.
Nicht zwangsläufig, aber ein Preis deutlich unterhalb der marktüblichen Spannen (siehe Preisrahmen oben) ist ein Signal, genauer nachzufragen: Wie hoch ist der manuelle Anteil, welche Zertifizierungen haben die Testenden, ist ein Retest enthalten? Ungewöhnlich niedrige Preise entstehen häufig durch starke Automatisierung oder wenig erfahrene Tester statt durch echte Effizienzvorteile.
Rechtlich meist nicht zwingend, aber praktisch relevant für DSGVO, NIS2 und DORA: Wo werden Testdaten und Findings gespeichert und verarbeitet, und wer genau führt den Test durch – Festangestellte oder anonyme Subunternehmer in Drittländern? Für regulierte Branchen (KRITIS, Finanzsektor) ist ein transparenter, EU-basierter Anbieter meist die unkompliziertere Wahl.
Wenn ihr diese Kriterien mit einem konkreten Angebot abgleichen wollt – auch unserem eigenen – sprecht uns gerne an. Unverbindlich und ohne Verkaufsdruck.
Unverbindliches Gespräch buchenDieser Guide wurde aus öffentlich zugänglichen Fachquellen zusammengestellt. Wo möglich, verlinken wir auf Primärquellen statt auf Wettbewerber-Blogs.
