Pentest-Kosten: Die ehrliche Antwort ohne Festpreistabelle

Was kostet ein Pentest? Warum diese Frage keine Pauschalantwort hat

Wer „was kostet ein Pentest“ in eine Suchmaschine eingibt, sucht eine einzelne Zahl. Die gibt es hier absichtlich nicht. Ein Pentest ist kein Produkt von der Stange, das sich vorab bepreisen lässt wie eine Website mit festem Seitenumfang. Bevor der erste Test läuft, muss klar sein, welche Systeme überhaupt geprüft werden, wie viele Endpunkte im Scope liegen und wie tief getestet werden soll. Diese drei Angaben kennt vor dem Scoping-Gespräch niemand, auch wir nicht.

Deshalb wäre jede pauschale Preistabelle für einen Pentest entweder erfunden oder unvollständig. Belastbare Zahlen zu Pentest-Honoraren anderer Anbieter liegen uns nicht vor und wären hier nur geraten, deshalb nennen wir sie nicht. Was wir stattdessen liefern: eine ehrliche Erklärung der Faktoren, die den Preis tatsächlich bestimmen, und einen transparenten Ablauf bis zum Angebot.

Die Faktoren, die den Preis eines Pentests bestimmen

Fünf Faktoren bestimmen, wie aufwendig und damit wie teuer ein Pentest wird. Sie wirken nicht isoliert, sondern addieren sich zu Ihrem individuellen Preis, den wir erst nach dem Scoping-Gespräch nennen können.

• Scope

  Wie viele Domains, Subdomains, Applikationen und Schnittstellen im Test enthalten sind, bestimmt den Aufwand direkter als jeder andere Faktor. Ein einzelner Login-Bereich ist etwas anderes als eine komplette Infrastruktur.

  Einfluss: Hoch

• Systemanzahl

  Jedes zusätzliche System bedeutet eigene Tests, eigene Konfigurationsprüfung und eigene Findings. Zehn Systeme lassen sich nicht im selben Aufwand prüfen wie eines.

  Einfluss: Hoch

• Testtiefe und Tierstufe

  Reconnaissance, Vulnerability Assessment oder Full Pentest: jede Tierstufe braucht unterschiedlich viel Zeit und unterschiedliches Werkzeug. Tiefere Stufen bauen auf den vorherigen auf.

  Einfluss: Hoch

• Rules of Engagement

  Enge Zeitfenster, viele Abstimmungsrunden oder strenge Freigabeprozesse erhöhen den Koordinationsaufwand, unabhängig vom eigentlichen Testumfang.

  Einfluss: Mittel

• Reporting-Tiefe

  Ein knapper Befund ist schneller geschrieben als ein Findings-Report mit CVSS-Bewertung je Schwachstelle, Management Summary und optionalem Re-Test.

  Einfluss: Mittel

Warum seriöse Pentests kein Festpreis-Produkt von der Stange sind

Ein Anbieter, der ohne Scoping-Gespräch einen Festpreis nennt, kennt entweder Ihre Systeme schon oder rät. Rechtlich ist ein Zugriffstest ohne schriftliche Freigabe der geprüften Systeme nicht zulässig, technisch lässt sich der Aufwand ohne bekannten Scope nicht seriös kalkulieren. Genau deshalb gibt es auch bei JERVIS AEGIS keinen Sofort-Checkout: Scope, Zeitfenster, erlaubte Methoden und Ansprechpartner müssen vor dem ersten Test schriftlich fixiert sein, sonst ist kein Test durchführbar.

Wer allgemeine Hintergründe zu Schwachstellen in Webanwendungen sucht, findet Einordnung in unserem Web-Security-Guide. Wer wissen will, welche Systeme aus datenschutzrechtlicher Sicht überhaupt geprüft werden dürfen, findet Antworten im DSGVO-Check-Guide.

JERVIS AEGIS: Scoping-Gespräch statt Blackbox

Bei JERVIS AEGIS beginnt jeder Pentest mit demselben ersten Schritt: einem kostenlosen Scoping-Gespräch. Darin legen wir gemeinsam fest, welche Systeme geprüft werden, in welchem Zeitfenster getestet wird und welche Methoden erlaubt sind. Diese Rules of Engagement werden schriftlich fixiert, bevor überhaupt ein Test beginnt. Während des Tests wird ausschließlich auf den freigegebenen Systemen gearbeitet, kein Test verlässt den vereinbarten Scope.

Am Ende steht ein priorisierter Findings-Report mit Risikobewertung je Schwachstelle. Der Preis für AEGIS steht deshalb bewusst nicht auf dieser Seite: er wird nach dem Scoping-Gespräch festgelegt und richtet sich nach Scope, Systemanzahl und Tierstufe, zzgl. MwSt. Die Frage „was kostet ein Pentest“ beantwortet sich bei AEGIS also im Gespräch, nicht in einer Preisliste. Details zum Ablauf und den drei Tierstufen finden Sie auf der Produktseite JERVIS AEGIS.

Was im Findings-Report konkret steht

Der Findings-Report ist das zentrale Ergebnis jedes AEGIS-Pentests. Jede gefundene Schwachstelle wird nach CVSS bewertet, von kritisch bis niedrig, mit einem konkreten Reproduktionsschritt und einer Einschätzung der Auswirkung. Dazu kommt eine Management Summary ohne Fachsprache, verständlich für Geschäftsführung, nicht nur für die IT-Abteilung. Auf Wunsch folgt nach der Behebung ein Re-Test, der prüft, ob die gemeldeten Schwachstellen tatsächlich geschlossen wurden.

Wichtig für die Einordnung: AEGIS garantiert nicht, dass Ihre Systeme danach sicher sind. Ein Pentest ist eine Momentaufnahme des vereinbarten Scopes zum Testzeitpunkt, kein Zertifikat für dauerhafte Sicherheit. Was innerhalb des Scopes gefunden wurde, steht klar im Report. Was außerhalb des Scopes liegt, bleibt unbekannt.

Häufige Fragen zu Pentest-Kosten