Kostenleitfaden für Penetrationstests 2026: Firmenpreise & ROI-Analyse

Im Jahr 2026 stellt sich für CISOs, CTOs und Geschäftsleitungen nicht mehr die Frage, ob ein Penetrationstest sinnvoll ist, sondern welches Budget für einen Test mit echter Tiefe eingeplant werden sollte.

Die Kosten für Penetrationstests wirken im Vergleich zu den Kosten eines Sicherheitsvorfalls oft klein. Trotzdem kaufen viele Unternehmen am Bedarf vorbei, weil Scanner, Schwachstellenbewertungen und manuelle Tests am Markt noch immer unter derselben Überschrift verkauft werden.

Dieser Leitfaden zeigt, welche Preisbereiche 2026 üblich sind, welche Faktoren ein Angebot wirklich treiben und wie Sie zwei Anbieter sinnvoll vergleichen.

Marktpreise 2026: Womit Sie rechnen sollten

Preis und Aufwand hängen vor allem von Scope, Komplexität und Methodik ab.

1. Webanwendungs-Penetrationstests

Komplexitätsgrad	Beschreibung	Preisspanne (2026)
Einfache App	Broschüren-Website, Kontaktformulare, keine Logins.	4.000 $ - 8.000 $
Mittelgroßes SaaS	Mehrere Benutzerrollen, APIs, Zahlungslogik.	12.000 $ - 25.000 $
Unternehmensplattform	Komplexe Geschäftslogik, Microservices, viele Rollen.	35.000 $ - 80.000 $+

2. Netzwerk-Penetrationstests

• Externe Bewertung: Internet-exponierte Systeme wie Firewalls, VPNs und Webserver. Typischer Preis: 5.000 $ - 15.000 $
• Interne Bewertung: Simulation eines Angreifers, der bereits im Netzwerk ist. Typischer Preis: 10.000 $ - 50.000 $+

3. Red-Team-Operationen

Eine Red Team Übung testet Menschen, Prozesse und Technologie als Gesamtsystem.

• Typischer Preis: 50.000 $ - 200.000 $+
• Geeignet für: reifere Organisationen mit SOC, Erkennung und Incident Response.

Tagessätze nach Zertifizierung und Seniorität: Was ein Manntag kostet

Im deutschsprachigen Markt wird häufig nicht nur pauschal, sondern nach Manntagen kalkuliert. Die Day-Rate hängt dabei stärker von der nachweisbaren Praxis ab als vom Zertifikat selbst - trotzdem dienen Nachweise wie OSCP, OSEP, OSCE, CREST-Zertifizierungen oder BSI-ausgerichtete Qualifikationspfade als erste Größenschätzung. Alle folgenden Zahlen sind erfahrungsbasierte Schätzbänder, keine Festpreise:

Profil	Typische Nachweise	Schätzbereich pro Manntag
Junior-Pentester	Ausbildung, erste Prüfungen, begleitete Praxis	800 EUR - 1.100 EUR
Consultant	OSCP oder CREST CRT, mehrere Jahre Praxis	1.100 EUR - 1.600 EUR
Senior / Spezialist	OSEP, CREST OVT oder vergleichbare Tiefe	1.400 EUR - 1.900 EUR
Lead / Architekt	OSCE-Klasse, CREST CAT, BSI-ausgerichtete Einsätze	1.700 EUR - 2.400 EUR

Zwei Hinweise zur Einordnung: Anbieter, die nach dem BSI-Penetstest-Anforderungskatalog oder mit IT-Grundschutz-Methodik arbeiten, kalkulieren wegen der erweiterten Dokumentationspflichten oft mit höheren Effektivsätzen - ähnliches gilt für Tests, die im Revisions- oder Zertifizierungskontext verwertbar sein müssen. Und ein niedriger Tagessatz sagt nichts über die Endsumme aus: 12 Manntage à 1.100 EUR kosten mehr als ein sauber gescopetes 8-Tage-Projekt bei 1.600 EUR. Vergleichen Sie daher immer das Projektbudget, nicht die Rate. Die fachlichen Unterschiede zwischen den Qualifikationsstufen beschreibt unser Artikel zum Ethical Hacker im Vergleich zum Penetrationstester.

Zusatzkosten, die Angebote oft verschweigen

Die Endsumme eines Testprojekts besteht selten nur aus der Testphase selbst. Planen Sie die folgenden Positionen realistisch ein - die Spannen sind typische Marktbeobachtungen, keine garantierten Preise:

• Nachtest nach den Fixes: Üblich sind 15% bis 30% des ursprünglichen Umfangs, oft mit Mindestpauschale von rund 1.000 EUR bis 2.500 EUR. Wer den Retest vorab nicht beauftragt, zahlt ihn später notgedrungen ohne Verhandlungsspielraum.
• Tests im Audit-Kontext: Wer einen Pentest für ISO 27001 oder IT-Grundschutz als Nachweis archiviert, sollte einplanen, dass Zertifizierungs- oder Prüfstellen veraltete Befunde nachfordern. Ein aktualisierter Kurztest vor der Re-Zertifizierung kostet typischerweise 2.000 EUR bis 5.000 EUR.
• Anfahrt und Umweltbedingungen: Tests im internen Netzwerk erfordern häufig einen Vor-Ort-Einsatz oder eine Test-Appliance; je nach Anbieter kommen 10% bis 25% Aufschlag oder Fahrt- und Logistikkosten hinzu.
• Kurzfristigkeit: Termine mit wenig Vorlaufzeit oder enge Ausführungsfenster werden teils mit 10% bis 25% Expressaufschlag belegt.
• Interne Zeit: Für Zugänge, Eskalationsregeln und den Abschluss-Workshop sollten Sie 2 bis 5 interne Manntage einplanen - eine Position, die nicht auf der Rechnung erscheint, aber Ihr Budget belastet.
• Cyberversicherung: Viele Versicherer erwarten für Deckungszusagen oder die Prämieneinstufung einen dokumentierten Test der geschützten Systeme. Ein fehlender oder veralteter Testnachweis kann im Schadensfall die Regulierung unnötig verkomplizieren; archivieren Sie Berichte und Retest-Bestätigungen vollständig.

Der Compliance-Aufschlag: SOC 2, ISO 27001 und PCI

Für viele Kunden ist ein Penetrationstest Teil eines Audit- oder Versicherungsprozesses.

• SOC 2 Typ II: Prüfer erwarten nachvollziehbare Methodik und brauchbare Nachweise.
• ISO 27001: Der Test sollte erkennbar in ein Risikomanagement eingebettet sein.
• PCI-DSS: Je nach Scope sind spezielle Segmentierungs- und Kontrolltests nötig.

Ein oberflächlicher Test spart hier selten Geld. Häufig erzeugt er nur Rückfragen, Nachtests und Audit-Reibung.

Black Box, White Box und Gray Box: Welche Methode kostet warum?

Black Box

Der Tester startet ohne Vorwissen.

• Vorteil: hohe Realitätsnähe für externe Angreiferszenarien
• Nachteil: mehr Reconnaissance, dadurch mehr Aufwand

White Box

Der Tester erhält Dokumentation, Architektur und oft Quellcode.

• Vorteil: hohe technische Tiefe und effizientere Analyse
• Nachteil: weniger geeignet, wenn die reale Eindringbarkeit von außen im Vordergrund steht

Gray Box

Der Tester erhält Testzugänge und begrenzten Kontext.

Für viele B2B-Anwendungen ist das der beste Kompromiss zwischen Realismus, Tiefe und Kosten.

Welche Faktoren den Preis wirklich treiben

Zwei Angebote können nach außen gleich aussehen und in der Praxis völlig unterschiedliche Tiefe liefern. Der Preis wird meist von diesen Punkten beeinflusst:

• Anzahl der Anwendungen, APIs, Rollen und externen Angriffsflächen
• manueller Testanteil statt reinem Scanner-Einsatz
• Nachtest nach den Fixes
• enge Zeitfenster, Produktionsrestriktionen oder aufwendige Abstimmung mit internen Teams
• Anforderungen an Management-Summary, Audit-Tauglichkeit und technische Beweisführung

Ein günstigeres Angebot ist deshalb oft nicht "gleicher Test zum besseren Preis", sondern schlicht kleinerer Umfang oder weniger menschliche Analyse.

So vergleichen Sie zwei Angebote sinnvoll

Bevor Sie auf die Endsumme schauen, prüfen Sie die Methode.

Ein belastbares Angebot sollte klar nennen

1. Den Scope: Domains, IPs, Apps, APIs, Rollen und ausdrückliche Ausschlüsse.
2. Die Testtiefe: Werden nur bekannte Schwachstellen geprüft oder auch Logikfehler, Rechteeskalation und Missbrauchsszenarien?
3. Die Ergebnisform: Gibt es einen technischen Bericht, eine Management-Zusammenfassung und eine klare Priorisierung?
4. Die Kommunikation: Wie schnell wird bei kritischen Findings eskaliert, und gibt es einen Abschluss-Workshop?

Wenn ein Anbieter praktisch nur einen Scan und ein generisches PDF verkauft, sprechen wir meist nicht über einen vollwertigen Penetrationstest.

Scope richtig dimensionieren: Von Apps und IP-Bereichen zu Manntagen

Der häufigste Scope-Fehler ist nicht mangelnder Ehrgeiz, sondern fehlende Inventur. Bevor Sie Preise vergleichen, listen Sie Anwendungen, APIs, externe IP-Bereiche, Cloud-Mandanten und Drittanbieter-Integrationen auf - erst dann lässt sich der Aufwand fair schätzen. Faustwerte aus der Praxis bei Gray-Box-Anbindung (Schätzbänder, keine Normen):

• eine Webanwendung mit 1 bis 3 Rollen und bis etwa 50 Endpunkten: rund 5 bis 8 Manntage
• eine komplexe Plattform mit Zahlungslogik und vielen Integrationen: 10 bis 20 Manntage
• externe Infrastruktur pro 25 bis 50 IP-Adressen: 2 bis 4 Manntage
• internes Netzwerk mit Active Directory und etwa 100 bis 250 Endgeräten: 10 bis 20 Manntage
• Social-Engineering- oder Phishing-Simulation mit Auswertung: 2 bis 5 Manntage
• vollständiger Red-Team-Einsatz einschließlich Reconnaissance: 15 bis 40 Manntage

Daraus folgt eine einfache Kontrollrechnung: Summe der Manntage mal Tagessatz, plus eine Reserve von 15% bis 25% für Retest und Koordination. Liegt ein Angebot deutlich unter dieser Kontrollrechnung, ist fast immer der Scope kleiner, als Sie denken - oder der manuelle Anteil. Prüfen Sie deshalb beide Punkte bereits im Vergleichsgespräch anhand des oben dargestellten Kriterienkatalogs.

Fragen, die Sie vor der Beauftragung stellen sollten

• Wie viele Manntage manueller Testzeit sind im Preis enthalten?
• Gibt es nach den Fixes einen Retest?
• Wurde der Bericht bereits in SOC 2-, ISO 27001- oder PCI-Kontexten akzeptiert?
• Wie gehen Sie mit sensiblen Zugangsdaten und Beweisen um?
• Wie unterscheiden Sie Ihren Test konkret von einer Schwachstellenbewertung?

Pentest oder Bug Bounty: Welche Kostenlogik passt zu Ihnen?

Beide Modelle kaufen Schwachstellenerkenntnis, aber mit völlig unterschiedlicher Kostenstruktur:

• Pentest: feste, planbare Kosten, definierter Scope, verwertbare Audit-Nachweise. Ideal für Compliance, Versicherungsunterlagen und Release-Meilensteine - unabhängig vom Ergebnis fällt derselbe Betrag an.
• Bug Bounty: variable Auszahlung je gefundener Schwachstelle, grob einige hundert bis mehrere tausend Dollar nach Schweregrad, plus Plattform- und Triage-Gebühren. Die Jahreskosten sind nicht vorhersagbar, und ohne ausreichende Sichtbarkeit in der Forschergemeinschaft kann das Programm stillstehen.

In der Praxis ergänzen sich beide Ansätze: Ein jährlicher Pentest schafft die Basis und den Audit-Nachweis, ein anschließendes Bug-Bounty-Programm fängt kontinuierliche Regressionen ab. Wie Programme konkret aufgesetzt werden, behandeln wir in Bug-Bounty-Programmen 2025. Wichtig für den Vergleich: Ein Bug Bounty ersetzt keinen Prüfnachweis für Zertifizierungsstellen oder Versicherungen - dafür verlangen diese konventionelle, methodisch dokumentierte Tests.

Bewertung des ROI: Der Business Case

Wenn Sie dieses Budget intern vertreten, müssen Sie es gegen den Preis der Untätigkeit stellen.

Einfache ROI-Formel: (Erwarteter jährlicher Verlust ohne Kontrolle) - (Erwarteter jährlicher Verlust mit Kontrolle) - (Kosten der Kontrolle) = ROI

Praktisch gedacht:

• durchschnittliche Schäden durch größere Sicherheitsvorfälle gehen schnell in den Millionenbereich
• ein seriöser Pentest liegt oft im Bereich von 20.000 $
• schon ein verhinderter Ausfalltag oder ein sauberer Audit-Durchlauf kann den Test wirtschaftlich rechtfertigen

Gerade bei wachstumsstarken SaaS-Teams lohnt sich außerdem der Blick auf Folgekosten: spätere Retests, Projektverzögerungen, zusätzliche Audit-Schleifen und interne Engineering-Zeit. Diese versteckten Kosten machen ein scheinbar billiges Angebot oft unattraktiv.

Budgetierungsfehler und ein Rechenbeispiel für den Mittelstand

Die häufigsten Budgetierungsfehler lassen sich kurz benennen: den Scope vom Budget statt vom Bedarf her festlegen, den Retest ausklammern, interne Folgekosten ignorieren, jährlich denselben Test wiederholen, obwohl sich die Anwendungen zwischenzeitlich stark verändert haben, und ein Bug Bounty als vermeintlich günstigeren Ersatz für einen dokumentierten Pentest behandeln. Wer diese Punkte ausschaltet, erwirbt mit demselben Budget deutlich mehr belastbare Sicherheit.

Rechenbeispiel: Ein Mittelständler mit 50 Mitarbeitern

Angenommen ein Fertigungs- oder Handelsbetrieb mit rund 50 Beschäftigten: ein B2B-Kundenportal, ein Onlineshop, etwa 25 externe IP-Adressen, eine Microsoft-365-Cloud und ein klassisches Active-Directory-Netz. Eine sinnvolle erste Testrunde könnte in diesen Schätzbändern liegen:

Position	Schätzbereich
Externe Infrastruktur (ca. 25 IPs, VPN, Mailsysteme)	4.000 EUR - 7.000 EUR
B2B-Portal / Web-Shop, Gray Box, 2 Rollen	7.000 EUR - 11.000 EUR
Cloud-Konfigurationsprüfung (M365 / Azure)	3.000 EUR - 5.000 EUR
Retest nach den Fixes	1.500 EUR - 3.000 EUR
Summe erstes Jahr	rund 15.500 EUR - 26.000 EUR

Das interne Active-Directory-Netz lässt sich in einem zweiten Jahr für geschätzte 8.000 EUR bis 14.000 EUR prüfen und anschließend im zweijährlichen Rhythmus auffrischen. Zur Einordnung des Risikos: Ein einzelner unplanmäßiger Ausfalltag, Nacharbeit an kompromittierbaren Systemen und die Klärungsprozesse mit Kunden und Versicherer übersteigen bei dieser Betriebsgröße erfahrungsgemäß das gesamte Jahresbudget - ohne Berücksichtigung möglicher Vertragsstrafen oder Reputationsschäden. Diese Betrachtung ist bewusst als Größenordnungs-Schätzung formuliert, nicht als kalkulierte Schadenserwartung; die tatsächlichen Werte hängen stark von Branche, Datenbestand und Vertragslage ab.

Rote Fahnen: "Pentests" für 500 $

Sehr billige Angebote sind meist keine echten Penetrationstests, sondern automatisierte Schwachstellenbewertungen mit neuem Etikett.

Typische Probleme:

• keine Prüfung von Geschäftslogik
• viele False Positives
• kaum Unterstützung bei Priorisierung und Remediation
• wenig Aussagekraft gegen einen echten menschlichen Angreifer

Fazit: Budgetieren Sie für Wirkung, nicht für eine Checkbox

Cyber-Resilienz ist 2026 ein Wettbewerbsvorteil. Wer Kundendaten schützt, schützt nicht nur IT-Systeme, sondern auch Umsatz, Vertrauen und Audit-Fähigkeit.

Häufige Fragen

Reicht ein Pentest pro Jahr?

Für viele Teams nicht. Wenn Ihre Anwendung regelmäßig neue Features, Rollen oder Integrationen bekommt, sollte der jährliche Test durch gezielte Prüfungen nach großen Releases ergänzt werden.

Wann ist ein Red Team sinnvoller als ein klassischer Pentest?

Wenn Sie nicht nur Schwachstellen finden, sondern auch Erkennung, Eskalation und Reaktion der Organisation testen wollen. Ein Red Team lohnt sich besonders in reiferen Umgebungen mit vorhandenem SOC oder Incident-Response-Prozess.

Warum ist das billigste Angebot oft das teuerste?

Weil oberflächliche Ergebnisse zu schlechter Priorisierung, schwachen Fixes und Audit-Reibung führen. Dann zahlen Sie später noch einmal.

Verwandte Ressourcen: Deutschsprachiger Blog und Kontakt.

Weiterführende Artikel

• SOC 2 vs. ISO 27001: Der ultimative Compliance-Showdown für Startups (2026)
• Zertifizierter Ethical Hacker vs. Penetrationstester: Was brauchen Sie?
• Ethischen Hacker engagieren vs. Automatisierte Scanner: Was Sie brauchen (2026)