Physische Penetrationstests sind noch schwächer standardisiert als Cyber-Pentests. Dieser Guide zeigt, woran ihr einen seriösen Anbieter erkennt – von der Multi-Vektor-Pflicht über die Rechtslage nach § 123 StGB bis zur Preisorientierung.
Ihr sucht einen Auswahlguide für klassisches Cyber-Pentesting? Zum allgemeinen Pentest-Anbieter-Guide →
Ein seriöser physischer Pentest testet mehrere Eingänge und Techniken über einen Zeitraum – nicht nur einen einzigen Versuch. Bevor ihr überhaupt ein Angebot einholt, müsst ihr zwei Weichen stellen: Pentest (verdeckt) oder Audit (offen), und welches Objective getestet wird – Datenzugriff oder Warenschutz. Ohne schriftliches Autorisierungsdokument mit 24/7-Notfallkontakt sollte kein Test stattfinden.
Diese zwei Entscheidungen bestimmen Scope, Preis und die passende Anbieterauswahl – und sollten feststehen, bevor ihr überhaupt anfragt.
Verdeckt, realistische Angreifer-Simulation. Ziel: unentdeckt eindringen. Teurer, aber aussagekräftiger für die tatsächliche Alltagssicherheit.
Offen, vollständige Schwachstellen-Dokumentation ohne Tarnung. Günstiger, geringeres Risiko, aber weniger realistisch.
Serverraum, CEO-Büro, Konferenzraum zum Verwanzen, ein eingeloggter Arbeitsplatzrechner.
Juwelier, Spedition, Lager, Einzelhandelsfläche.
Sechs Phasen, in denen die Recon regelmäßig mehr Zeit beansprucht als der eigentliche Testversuch.
Ziele, No-Go-Zonen, erlaubte Techniken, Testzeiten, destructive vs. non-destructive, Autorisierung, Notfallkontakte.
OSINT plus Onsite-Surveillance über mehrere Tage: Grundrisse, Schichtpläne, Zugangssysteme, Kamerapositionen, Traffic-Patterns.
Equipment, Ausweise und Szenarien für die geplanten Testversuche werden vorbereitet.
Verschiedene Eingänge, verschiedene Techniken, ein Spektrum von covert bis overt – nicht ein einzelner Versuch.
Zugriff auf das definierte Objective, Foothold im internen Netz, ggf. Covert-Device-Placement.
Jeder Versuch wird dokumentiert – auch gescheiterte –, mit Fotos, Videos und Zeitstempeln.
Zusammengefasst aus OSSTMM, PTES, ISACA und der Praxis physischer Red-Team-Anbieter.
Red Teaming bedeutet per Definition, mehrere Angriffsvektoren gleichzeitig zu nutzen. So prüft ihr das: Fragt, wie viele unterschiedliche Eingänge und Techniken getestet werden und ob auch fehlgeschlagene Versuche dokumentiert werden. Ein Anbieter, der nur einen Versuch beschreibt, verkauft Break-in-Theater statt eines belastbaren Assessments.
PTES fordert Onsite-Recon über mehrere Tage, um Muster zu erkennen. So prüft ihr das: Fragt, wie viele Tage Onsite-Recon geplant sind und welches Recon-Deliverable geliefert wird – Fotos, Schichtpläne, Zugangsmuster.
Ein schriftliches Autorisierungsdokument, unterschrieben von vertretungsberechtigter Person, mit 24/7-Notfallkontakt und Eskalationsprozess ist zwingend – nicht optional. So prüft ihr das: Verlangt das Dokument vor Testbeginn und prüft, ob eine 24/7-Kontaktkette existiert.
Der Anbieter muss beide Formate kennen und im Angebot begründen, welches zu eurem Bedarf passt. So prüft ihr das: Fragt explizit, ob verdeckt oder offen getestet wird und warum.
Ohne definiertes Ziel lässt sich ein Testerfolg nicht bewerten. So prüft ihr das: Klärt vorab, was das Objective ist – Serverraum, CEO-Büro, Konferenzraum, Warenlager.
Bei destructive Testing (z. B. Aufbrechen von Schlössern) reicht eine klassische Cyber-Haftpflicht nicht aus. So prüft ihr das: Fragt nach einer gesonderten Sachschadenversicherung, wenn destructive Techniken vereinbart sind.
Getestete Mitarbeitende sollen lernen, nicht bloßgestellt werden. So prüft ihr das: Fragt, wie das Debriefing mit betroffenen Mitarbeitenden abläuft und ob Einzelne namentlich im Bericht auftauchen.
Aufnahmen von Mitarbeitenden sind personenbezogene Daten. So prüft ihr das: Fragt nach Datenminimierung, sicherer Speicherung und Löschung nach Übergabe des Berichts.
Bei gezieltem Testen von Mitarbeiterverhalten kann § 87 Abs. 1 Nr. 6 BetrVG greifen. So prüft ihr das: Klärt vorab mit eurem Betriebsrat, ob eine Verschwiegenheitsregelung für die Testlaufzeit nötig ist.
Cyber-Pentest-Erfahrung sagt wenig über physische Fähigkeiten aus. So prüft ihr das: Verlangt Referenzen speziell für physische Assessments, nicht nur für Netzwerk- oder Web-Pentests.
Jeder Testversuch gehört dokumentiert, nicht nur der erfolgreiche. So prüft ihr das: Verlangt Fotos, Videos und Zeitstempel zu jedem Versuch sowie priorisierte Handlungsempfehlungen.
Der Bereich ist deutlich schwächer zertifiziert-standardisiert als Cyber-Pentesting. Praktischer Track Record bei diesen vier Trainings- und Community-Anbietern zählt mehr als ein formales Management-Zertifikat.
Praxis-Community
Auszug, nicht abschließend – weitere Anbieter mit vergleichbaren Konzepten existieren. Diese vier haben sich in der Community am stärksten etabliert.
Das erste hands-on Social-Engineering-Framework der Branche. PASE ist ein mehrtägiger Praxiskurs mit Übungen und Hausaufgaben, inklusive kostenlosem Zugang zur CESE-Prüfung (Certified Ethical Social Engineer) – kein Multiple-Choice-Test.
Gilt in der Community als Platin-Standard für praxisnahe Red-Team- und Physical-Security-Ausbildung – breiter aufgestellt als reine Lockpicking-Kurse.
CAT: fünftägiges Präsenztraining zu Alarmumgehung, Badge-Cloning, Zutrittskontrollsystemen, Lockpicking und Key Impressioning, mit einem realen Einsatz am letzten Tag. PACT: zweitägiges Online-Training zur physischen Sicherheitsprüfung.
Praxiskurse europäischer Red-Team-Operator zu Schloss-/Tür-/Fenster-Bypass, PACS-/Badge-Systemen und OSINT-gestütztem Pretexting.
Anerkannte Management- bzw. Assessment-Zertifikate mit mehrjähriger Erfahrungsvoraussetzung – belegen eher Sicherheitsmanagement-Kompetenz als aktuelle Feld-Skills.
Relevant, wenn Bugging bzw. das Sweepen von Konferenzräumen Teil des Angebots ist. Keine einheitliche Zertifizierung, überwiegend private Trainingsanbieter.
Hinweis: Cyber-Zertifikate wie OSCP sagen wenig über physische Kernkompetenz aus – nur relevant, wenn physischer Zugang gezielt in einen Netzwerk-Foothold übergeht.
Keines dieser Signale ist für sich allein ein K.-o.-Kriterium – in Kombination lohnt sich aber genaues Nachfragen.
Ein-Versuch-Engagement ohne mehrere Vektoren – „wir sind einmal reingekommen, fertig“ ist das häufigste Zeichen für Unseriosität.
Fehlende oder oberflächliche Recon-Phase – kein Onsite-Surveillance, kein Recon-Deliverable.
Keine Trennung zwischen Pentest und Audit im Angebot – der Anbieter kann nicht erklären, ob verdeckt oder offen getestet wird.
Kein schriftliches Autorisierungsdokument und keine 24/7-Notfallkontaktkette – juristisch und operativ inakzeptabel.
Unklare Regelung von destructive vs. non-destructive Testing.
Fehlende Objective-Definition vor Testbeginn.
Unprofessioneller, bloßstellender Umgang mit getestetem Personal – kein strukturiertes Debriefing.
Verkauf von reinem „Break-in-Theater“ statt eines belastbaren, wiederholbaren Assessments.
Auffällig niedriger Preis – oft nur ein Testtag, ein Versuch, kein belastbarer Report.
Orientierungswerte aus allgemeinen Pentest- und Social-Engineering-Kostenübersichten – kein DACH-Anbieter veröffentlicht separate Fixpreise nur für physische Pentests.
Internationale Zahlen sind US-Marktpreise (Schellman) und nur als grobe Orientierung zu verstehen. Manche DACH-Quellen sind Anbieter-Eigenpublikationen – als Orientierung, nicht als verbindliches Angebot zu lesen.
Physische Pentests berühren geltendes Strafrecht, Datenschutz und Mitbestimmung – diese sechs Punkte sind keine Kür.
Das unbefugte Eindringen in Geschäftsräume ist strafbar. Die vorherige Zustimmung des Hausrechtsinhabers schließt den Tatbestand bereits aus – juristisch ein tatbestandsausschließendes Einverständnis, keine nachträgliche Rechtfertigung.
Die Zustimmung muss von einer vertretungsberechtigten Person stammen (Geschäftsführung, Prokura, bevollmächtigte IT-Leitung) und darf sich nur auf Bereiche in der Hoheit des Auftraggebers erstrecken – kritisch bei angemieteten Gebäuden oder Co-Tenant-Situationen.
Das sogenannte „Permission to Attack“- bzw. „Get Out of Jail Free“-Dokument enthält Scope, Autorisierungsnachweis und eine 24/7-Notfallkontaktkette zur Deeskalation gegenüber Werkschutz oder Polizei.
Aufnahmen von Mitarbeitenden sind personenbezogene Daten (Rechtsgrundlage in der Regel Art. 6 Abs. 1 lit. f DSGVO) – mit Datenminimierung, sicherer Speicherung und Löschung nach Berichtsübergabe.
Bei Tests, die gezielt technische Überwachung von Mitarbeiterverhalten einschließen, kann § 87 Abs. 1 Nr. 6 BetrVG greifen. Reine Social-Engineering-Tests berühren meist nicht die Mitbestimmung nach § 87 Abs. 1 Nr. 1 – eine Verschwiegenheitsregelung mit dem Betriebsrat ist trotzdem empfehlenswert.
Die Zustimmung des Auftraggebers wirkt nur für das, worüber er selbst verfügen darf. Normen, die Dritte oder die Allgemeinheit schützen, deckt sie nicht. Strafbar bleibt deshalb auch im Auftrag, Uniformen, Amtsabzeichen, Amtsbezeichnungen oder geschützte Berufsbezeichnungen wie Arzt zu tragen bzw. zu führen, auch zum Verwechseln ähnliche (§ 132a StGB), als angeblicher Amtsträger aufzutreten und zu handeln (§ 132 StGB), gefälschte Ausweise oder Auftragsschreiben echter Drittfirmen vorzuzeigen (§ 267 StGB), Personen in Umkleiden, Toiletten oder anderen gegen Einblick geschützten Räumen zu fotografieren oder zu filmen (§ 201a StGB) und nichtöffentliche Gespräche ohne Einwilligung der Beteiligten mitzuschneiden (§ 201 StGB).
Diese Angaben sind allgemeine Orientierung, keine Rechtsberatung. Prüft strafrechtliche Fragen (§§ 123, 132, 132a, 201, 201a, 267 StGB), DSGVO und BetrVG im Einzelfall anwaltlich.
Die Recon-Phase macht regelmäßig den größeren Aufwand aus. PTES empfiehlt mindestens 2–3 Tage Onsite-Beobachtung, um verlässliche Muster zu erkennen – Zugangszeiten, Schichtwechsel, Kamerapositionen.
Die meisten seriösen Anbieter arbeiten non-destructive: Keine Schlösser werden beschädigt, keine Türen aufgebrochen – alles bleibt reversibel. Destructive Testing muss gesondert im Scope geregelt und über eine Sachschadenversicherung abgesichert sein.
Genau dafür existiert das schriftliche Autorisierungsdokument mit 24/7-Notfallkontakt. Ein bekannter Fall (Coalfire, Iowa 2019) zeigt aber: Selbst mit einem solchen Dokument kam es zu Festnahmen – klare Eskalationsketten und ein erreichbarer Ansprechpartner sind entscheidend.
Physische Sicherheit ist deutlich schwächer standardisiert zertifiziert als Cyber-Pentesting. ASIS CPP/PSP sind die stärksten Nachweise für physische Security-Kompetenz, sagen aber wenig über Social-Engineering-Fähigkeiten aus. Verlasst euch stärker auf demonstrierten Track Record und Referenzen als auf ein einzelnes Zertifikat.
Bei reinen Social-Engineering-Tests ist die Mitbestimmungslage umstritten, aber tendenziell nicht einschlägig. Sobald technische Einrichtungen das Verhalten von Mitarbeitenden auswerten könnten (z. B. ob jemand einen USB-Stick einsteckt), kann § 87 Abs. 1 Nr. 6 BetrVG greifen. Eine frühzeitige Abstimmung ist in jedem Fall ratsam.
Für reine ISO-27001-Nachweisführung nach Annex A.7 genügt meist ein overtes Audit – günstiger und mit vollständigerer Dokumentation. Geht es um realistische Angreifer-Resilienz, ist ein covertes Multi-Vektor-Engagement angemessener.
Wenn ihr Objective und Format schon grob im Kopf habt oder erst noch Fragen zur Auswahl klären wollt – sprecht uns unverbindlich an.
Unverbindliches Gespräch buchenZusammengestellt aus öffentlich zugänglichen Fachquellen und Frameworks. Wo möglich, verlinken wir auf Primärquellen statt auf Wettbewerber-Blogs.
