Physische Penetrationstests sind noch schwächer standardisiert als Cyber-Pentests. Dieser Guide zeigt, woran ihr einen seriösen Anbieter erkennt – von der Multi-Vektor-Pflicht über die Rechtslage nach § 123 StGB bis zur Preisorientierung.
Ihr sucht einen Auswahlguide für klassisches Cyber-Pentesting? Zum allgemeinen Pentest-Anbieter-Guide →
Ein seriöser physischer Pentest testet mehrere Eingänge und Techniken über einen Zeitraum – nicht nur einen einzigen Versuch. Bevor ihr überhaupt ein Angebot einholt, müsst ihr zwei Weichen stellen: Pentest (verdeckt) oder Audit (offen), und welches Objective getestet wird – Datenzugriff oder Warenschutz. Ohne schriftliches Autorisierungsdokument mit 24/7-Notfallkontakt sollte kein Test stattfinden.
Diese zwei Entscheidungen bestimmen Scope, Preis und die passende Anbieterauswahl – und sollten feststehen, bevor ihr überhaupt anfragt.
Verdeckt, realistische Angreifer-Simulation. Ziel: unentdeckt eindringen. Teurer, aber aussagekräftiger für die tatsächliche Alltagssicherheit.
Offen, vollständige Schwachstellen-Dokumentation ohne Tarnung. Günstiger, geringeres Risiko, aber weniger realistisch.
Serverraum, CEO-Büro, Konferenzraum zum Verwanzen, ein eingeloggter Arbeitsplatzrechner.
Juwelier, Spedition, Lager, Einzelhandelsfläche.
Sechs Phasen, in denen die Recon regelmäßig mehr Zeit beansprucht als der eigentliche Testversuch.
Ziele, No-Go-Zonen, erlaubte Techniken, Testzeiten, destructive vs. non-destructive, Autorisierung, Notfallkontakte.
OSINT plus Onsite-Surveillance über mehrere Tage: Grundrisse, Schichtpläne, Zugangssysteme, Kamerapositionen, Traffic-Patterns.
Equipment, Ausweise und Szenarien für die geplanten Testversuche werden vorbereitet.
Verschiedene Eingänge, verschiedene Techniken, ein Spektrum von covert bis overt – nicht ein einzelner Versuch.
Zugriff auf das definierte Objective, Foothold im internen Netz, ggf. Covert-Device-Placement.
Jeder Versuch wird dokumentiert – auch gescheiterte –, mit Fotos, Videos und Zeitstempeln.
Zusammengefasst aus OSSTMM, PTES, ISACA und der Praxis physischer Red-Team-Anbieter.
Red Teaming bedeutet per Definition, mehrere Angriffsvektoren gleichzeitig zu nutzen. So prüft ihr das: Fragt, wie viele unterschiedliche Eingänge und Techniken getestet werden und ob auch fehlgeschlagene Versuche dokumentiert werden. Ein Anbieter, der nur einen Versuch beschreibt, verkauft Break-in-Theater statt eines belastbaren Assessments.
PTES fordert Onsite-Recon über mehrere Tage, um Muster zu erkennen. So prüft ihr das: Fragt, wie viele Tage Onsite-Recon geplant sind und welches Recon-Deliverable geliefert wird – Fotos, Schichtpläne, Zugangsmuster.
Ein schriftliches Autorisierungsdokument, unterschrieben von vertretungsberechtigter Person, mit 24/7-Notfallkontakt und Eskalationsprozess ist zwingend – nicht optional. So prüft ihr das: Verlangt das Dokument vor Testbeginn und prüft, ob eine 24/7-Kontaktkette existiert.
Der Anbieter muss beide Formate kennen und im Angebot begründen, welches zu eurem Bedarf passt. So prüft ihr das: Fragt explizit, ob verdeckt oder offen getestet wird und warum.
Ohne definiertes Ziel lässt sich ein Testerfolg nicht bewerten. So prüft ihr das: Klärt vorab, was das Objective ist – Serverraum, CEO-Büro, Konferenzraum, Warenlager.
Bei destructive Testing (z. B. Aufbrechen von Schlössern) reicht eine klassische Cyber-Haftpflicht nicht aus. So prüft ihr das: Fragt nach einer gesonderten Sachschadenversicherung, wenn destructive Techniken vereinbart sind.
Getestete Mitarbeitende sollen lernen, nicht bloßgestellt werden. So prüft ihr das: Fragt, wie das Debriefing mit betroffenen Mitarbeitenden abläuft und ob Einzelne namentlich im Bericht auftauchen.
Aufnahmen von Mitarbeitenden sind personenbezogene Daten. So prüft ihr das: Fragt nach Datenminimierung, sicherer Speicherung und Löschung nach Übergabe des Berichts.
Bei gezieltem Testen von Mitarbeiterverhalten kann § 87 Abs. 1 Nr. 6 BetrVG greifen. So prüft ihr das: Klärt vorab mit eurem Betriebsrat, ob eine Verschwiegenheitsregelung für die Testlaufzeit nötig ist.
Cyber-Pentest-Erfahrung sagt wenig über physische Fähigkeiten aus. So prüft ihr das: Verlangt Referenzen speziell für physische Assessments, nicht nur für Netzwerk- oder Web-Pentests.
Jeder Testversuch gehört dokumentiert, nicht nur der erfolgreiche. So prüft ihr das: Verlangt Fotos, Videos und Zeitstempel zu jedem Versuch sowie priorisierte Handlungsempfehlungen.
Der Bereich ist deutlich schwächer zertifiziert-standardisiert als Cyber-Pentesting. Praktischer Track Record bei diesen vier Trainings- und Community-Anbietern zählt mehr als ein formales Management-Zertifikat.
Praxis-Community
Auszug, nicht abschließend – weitere Anbieter mit vergleichbaren Konzepten existieren. Diese vier haben sich in der Community am stärksten etabliert.
Das erste hands-on Social-Engineering-Framework der Branche. PASE ist ein mehrtägiger Praxiskurs mit Übungen und Hausaufgaben, inklusive kostenlosem Zugang zur CESE-Prüfung (Certified Ethical Social Engineer) – kein Multiple-Choice-Test.
Gilt in der Community als Platin-Standard für praxisnahe Red-Team- und Physical-Security-Ausbildung – breiter aufgestellt als reine Lockpicking-Kurse.
Fünftägiges Präsenztraining zu Alarmumgehung, Badge-Cloning, Zutrittskontrollsystemen, Lockpicking und Key Impressioning – geleitet von aktiven Praktikern.
Praxiskurse europäischer Red-Team-Operator zu Schloss-/Tür-/Fenster-Bypass, PACS-/Badge-Systemen und OSINT-gestütztem Pretexting.
Anerkannte Management- bzw. Assessment-Zertifikate mit mehrjähriger Erfahrungsvoraussetzung – belegen eher Sicherheitsmanagement-Kompetenz als aktuelle Feld-Skills.
Relevant, wenn Bugging bzw. das Sweepen von Konferenzräumen Teil des Angebots ist. Keine einheitliche Zertifizierung, überwiegend private Trainingsanbieter.
Hinweis: Cyber-Zertifikate wie OSCP sagen wenig über physische Kernkompetenz aus – nur relevant, wenn physischer Zugang gezielt in einen Netzwerk-Foothold übergeht.
Keines dieser Signale ist für sich allein ein K.-o.-Kriterium – in Kombination lohnt sich aber genaues Nachfragen.
Ein-Versuch-Engagement ohne mehrere Vektoren – „wir sind einmal reingekommen, fertig“ ist das häufigste Zeichen für Unseriosität.
Fehlende oder oberflächliche Recon-Phase – kein Onsite-Surveillance, kein Recon-Deliverable.
Keine Trennung zwischen Pentest und Audit im Angebot – der Anbieter kann nicht erklären, ob verdeckt oder offen getestet wird.
Kein schriftliches Autorisierungsdokument und keine 24/7-Notfallkontaktkette – juristisch und operativ inakzeptabel.
Unklare Regelung von destructive vs. non-destructive Testing.
Fehlende Objective-Definition vor Testbeginn.
Unprofessioneller, bloßstellender Umgang mit getestetem Personal – kein strukturiertes Debriefing.
Verkauf von reinem „Break-in-Theater“ statt eines belastbaren, wiederholbaren Assessments.
Auffällig niedriger Preis – oft nur ein Testtag, ein Versuch, kein belastbarer Report.
Orientierungswerte aus allgemeinen Pentest- und Social-Engineering-Kostenübersichten – kein DACH-Anbieter veröffentlicht separate Fixpreise nur für physische Pentests.
Internationale Zahlen sind US-Marktpreise (Schellman) und nur als grobe Orientierung zu verstehen. Manche DACH-Quellen sind Anbieter-Eigenpublikationen – als Orientierung, nicht als verbindliches Angebot zu lesen.
Physische Pentests berühren geltendes Strafrecht, Datenschutz und Mitbestimmung – diese fünf Punkte sind keine Kür.
Das unbefugte Eindringen in Geschäftsräume ist strafbar. Die vorherige Zustimmung des Hausrechtsinhabers schließt den Tatbestand bereits aus – juristisch ein tatbestandsausschließendes Einverständnis, keine nachträgliche Rechtfertigung.
Die Zustimmung muss von einer vertretungsberechtigten Person stammen (Geschäftsführung, Prokura, bevollmächtigte IT-Leitung) und darf sich nur auf Bereiche in der Hoheit des Auftraggebers erstrecken – kritisch bei angemieteten Gebäuden oder Co-Tenant-Situationen.
Das sogenannte „Permission to Attack“- bzw. „Get Out of Jail Free“-Dokument enthält Scope, Autorisierungsnachweis und eine 24/7-Notfallkontaktkette zur Deeskalation gegenüber Werkschutz oder Polizei.
Aufnahmen von Mitarbeitenden sind personenbezogene Daten (regelmäßig Art. 6 Abs. 1 lit. f DSGVO bzw. § 26 BDSG) – mit Datenminimierung, sicherer Speicherung und Löschung nach Berichtsübergabe.
Bei Tests, die gezielt technische Überwachung von Mitarbeiterverhalten einschließen, kann § 87 Abs. 1 Nr. 6 BetrVG greifen. Reine Social-Engineering-Tests berühren meist nicht die Mitbestimmung nach § 87 Abs. 1 Nr. 1 – eine Verschwiegenheitsregelung mit dem Betriebsrat ist trotzdem empfehlenswert.
Diese Angaben sind allgemeine Orientierung, keine Rechtsberatung. Prüft § 123 StGB, DSGVO/§ 26 BDSG und BetrVG-Fragen im Einzelfall anwaltlich.
Die Recon-Phase macht regelmäßig den größeren Aufwand aus. PTES empfiehlt mindestens 2–3 Tage Onsite-Beobachtung, um verlässliche Muster zu erkennen – Zugangszeiten, Schichtwechsel, Kamerapositionen.
Die meisten seriösen Anbieter arbeiten non-destructive: Keine Schlösser werden beschädigt, keine Türen aufgebrochen – alles bleibt reversibel. Destructive Testing muss gesondert im Scope geregelt und über eine Sachschadenversicherung abgesichert sein.
Genau dafür existiert das schriftliche Autorisierungsdokument mit 24/7-Notfallkontakt. Ein bekannter Fall (Coalfire, Iowa 2019) zeigt aber: Selbst mit einem solchen Dokument kam es zu Festnahmen – klare Eskalationsketten und ein erreichbarer Ansprechpartner sind entscheidend.
Physische Sicherheit ist deutlich schwächer standardisiert zertifiziert als Cyber-Pentesting. ASIS CPP/PSP sind die stärksten Nachweise für physische Security-Kompetenz, sagen aber wenig über Social-Engineering-Fähigkeiten aus. Verlasst euch stärker auf demonstrierten Track Record und Referenzen als auf ein einzelnes Zertifikat.
Bei reinen Social-Engineering-Tests ist die Mitbestimmungslage umstritten, aber tendenziell nicht einschlägig. Sobald technische Einrichtungen das Verhalten von Mitarbeitenden auswerten könnten (z. B. ob jemand einen USB-Stick einsteckt), kann § 87 Abs. 1 Nr. 6 BetrVG greifen. Eine frühzeitige Abstimmung ist in jedem Fall ratsam.
Für reine ISO-27001-Nachweisführung nach Annex A.7 genügt meist ein overtes Audit – günstiger und mit vollständigerer Dokumentation. Geht es um realistische Angreifer-Resilienz, ist ein covertes Multi-Vektor-Engagement angemessener.
Wenn ihr Objective und Format schon grob im Kopf habt oder erst noch Fragen zur Auswahl klären wollt – sprecht uns unverbindlich an.
Unverbindliches Gespräch buchenZusammengestellt aus öffentlich zugänglichen Fachquellen und Frameworks. Wo möglich, verlinken wir auf Primärquellen statt auf Wettbewerber-Blogs.