Pentest-Anbieter auswählen: Worauf KMU achten müssen (2026)

Sie wissen, dass Sie einen Penetrationstest brauchen - aber wie wählen Sie den richtigen Anbieter? Wie definieren Sie den Scope? Was kostet ein guter Test wirklich? Dieser Guide beantwortet die wichtigsten Fragen für KMU, die erstmals oder nach längerer Pause einen Pentest beauftragen.

Warum Penetrationstests notwendig sind

Schwachstellenscanner finden bekannte CVEs. Penetrationstests finden reale Angriffspfade - und der Unterschied ist gravierend.

Ein Scanner meldet zum Beispiel: CVSS 5.3 (Medium) - fehlende HTTP-Header. Ein Penetrationstest würde in derselben Umgebung möglicherweise finden: eine IDOR-Schwachstelle in der API, über die Daten anderer Nutzer lesbar sind; eine Admin-Funktion, die per Brute Force erreichbar ist; und eine Server-Side Template Injection im Kontaktformular. In Kombination führen diese drei Befunde zu einer vollständigen Serverübernahme.

Anlass für einen Penetrationstest:

• Regelmäßig, mindestens jährlich - Pflicht für ISO 27001 und NIS2
• Vor dem Launch neuer Anwendungen
• Nach größeren Codeänderungen
• Nach Sicherheitsvorfällen (Post-Breach Assessment)
• Für Compliance-Anforderungen: PCI-DSS, BSI IT-Grundschutz, KRITIS

Schritt 1: Scope definieren

Der Scope ist die wichtigste Entscheidung vor dem Pentest. Zu breit bedeutet teuer und ungenau. Zu eng bedeutet, dass Sicherheitslücken übersehen werden.

Was kann in den Scope?

Webapplikationen: Das Produktionssystem bietet den höchsten Realitätsbezug, birgt aber das Risiko von Datenbeschädigung und Ausfällen. Für einen ersten Test empfiehlt sich ein Staging-System - vorausgesetzt, es ist wirklich produktionsgleich in Konfiguration und Code.

Netzwerk / Infrastruktur: Interne Netzwerke (erfordert VPN-Zugang), die DMZ mit öffentlich erreichbaren Servern, WLAN-Sicherheitstests und VoIP.

APIs: REST-APIs, GraphQL, SOAP sowie Mobile App Backends.

Cloud: AWS-, Azure- und GCP-Konfigurationen (kein Infrastruktur-Test des Cloud-Anbieters selbst) sowie Container-Umgebungen wie Kubernetes.

Das Scope-Dokument muss folgendes enthalten: alle IP-Bereiche und Domains in Scope, explizit ausgeschlossene Bereiche (z.B. Produktionsdatenbank), den Testzeitraum mit Datum und Uhrzeit sowie Kontaktpersonen für Notfälle.

Test-Typen verstehen

Black Box: Der Tester hat keinerlei Informationen und simuliert damit einen externen Angreifer. Das ist realistisch, aber ineffizient - viel Zeit fließt in Reconnaissance. Für einen ersten Test wird Black Box nicht empfohlen: teuer bei geringer Tiefe.

Gray Box (empfohlen): Der Tester erhält Basisinformationen wie API-Dokumentation und einen Benutzeraccount. Diese Balance aus Realismus und Effizienz führt in kürzerer Zeit zu mehr Findings.

White Box: Der Tester erhält vollständige Informationen inklusive Source Code und Architektur. Die günstigste Option mit der größten Tiefe. Sie findet Schwachstellen, die Black-Box-Tests übersehen, und eignet sich besonders für Code Reviews und die Integration in einen sicheren SDLC.

Authenticated vs. Unauthenticated: Ein unauthentizierter Test zeigt, was ein externer Angreifer ohne Login sieht. Ein authentizierter Test mit einem Benutzeraccount deckt Post-Login-Schwachstellen auf. Ein privilegierter Test mit Admin-Account zeigt, was ein Insider anrichten kann.

Schritt 2: Qualifikationen prüfen

Zertifizierungen als Gütezeichen

Nicht alle Pentest-Zertifizierungen sind gleichwertig:

OSCP (OffSec Certified Professional): Eine 24-Stunden-Prüfung ohne Multiple Choice. Jeder OSCP hat aktiv Systeme gehackt - diese Zertifizierung ist die anerkannte Grundqualifikation.

OSCE3 (OffSec Experienced Penetration Tester): Ein fortgeschrittenes Bundle aus OSEP, OSED und OSWE. Sehr selten, sehr hohes Niveau.

CREST (Council of Registered Ethical Security Testers): UK-zentriert, bei KRITIS-Kunden empfohlen und BSI-Anforderung für KRITIS-Pentests.

CEH (Certified Ethical Hacker): Multiple-Choice-basiert, weniger angesehen. Kein Nachweis praktischer Fähigkeiten.

GPEN (GIAC Penetration Tester): Multiple Choice mit praktischer Prüfung, anerkannt besonders in den USA.

Stellen Sie Ihrem potenziellen Anbieter folgende Fragen:

• "Welche Zertifizierungen haben Ihre Tester?"
• "Wer führt den Test durch - nicht wer ihn verkauft?"
• "Wie viele Pentests hat dieser Tester in den letzten 12 Monaten gemacht?"
• "Haben Sie Erfahrung mit unserer spezifischen Technologie (Java/Rails/Azure)?"

Referenzen und Beispielberichte

Vor der Beauftragung sollten Sie unbedingt einen anonymisierten Beispielbericht anfordern - er zeigt die Qualität und Tiefe der Dokumentation. Fragen Sie nach Referenzkunden aus Ihrer Branche, prüfen Sie LinkedIn-Profile der Tester auf Bug Bounty Writeups und CVEs, und schauen Sie ob der Anbieter echte Schwachstellen veröffentlicht hat.

Warnsignale, die Sie skeptisch machen sollten:

• "Wir nutzen nur automatische Tools" - kein manueller Test
• Keine Beispielberichte verfügbar
• Tester haben keine nachweisbaren Zertifizierungen
• Preis unter 3.000 € für einen Web-App-Pentest
• Kein NDA und keine Vertraulichkeitsvereinbarung
• Ergebnisse innerhalb von 24 Stunden - zu schnell für Qualitätsarbeit

Schritt 3: Kosten verstehen

Was den Preis bestimmt: Scope (Größe und Komplexität), Testtiefe (automatisch vs. vollständig manuell), Qualifikation der Tester, ob ein Retest inklusive ist und der Zeitrahmen (Expresslieferung kostet mehr). Die vollständigen Preisspannen nach Testart - von der kleinen Web-App bis zum Red Team Assessment - finden Sie in der Übersicht Penetrationstest Kosten, inklusive Konfigurator für ein Festpreisangebot.

Versteckte Kosten vermeiden: Klären Sie vorab ob ein Retest zur Verifizierung behobener Findings enthalten ist, was bei mehr Findings als erwartet passiert und ob Korrekturen am Bericht inklusive sind.

Schritt 4: Rechtliche Absicherung

Pentesting-Vereinbarung

Ein Pentest-Vertrag muss folgende Punkte schriftlich regeln:

1. Scope-Definition mit allen IP-Ranges und Domains
2. Testzeitraum mit genauem Datum und Uhrzeit - keine Überraschungen
3. Emergency-Stop-Verfahren - wie wird der Test im Notfall gestoppt?
4. Haftungsausschluss - was passiert bei Systemausfällen?
5. Vertraulichkeit / NDA - Befunde sind hochsensible Informationen
6. Datenverarbeitung - verarbeitet der Dienstleister personenbezogene Daten (DSGVO)?
7. Bericht-Eigentumsrechte - gehört der Bericht Ihnen?
8. Aufbewahrungspflichten für den Dienstleister

Rechtlicher Hinweis zu §§ 303a-b StGB: Unbefugtes Eindringen in Computersysteme ist in Deutschland strafbar - auch für Pentester. Die Lösung ist eine schriftliche Genehmigung für alle betroffenen Systeme. Bei Cloud-Systemen müssen außerdem die Pentest-Richtlinien des jeweiligen Cloud-Anbieters beachtet werden.

AWS erlaubt Tests auf EC2, RDS, Aurora, API Gateway, CloudFront und anderen Diensten, verbietet aber DNS-Zone Walking, DoS-Tests und Port-Flooding. Eine Vorab-Meldung ist seit 2019 nicht mehr erforderlich. Azure verlangt die Akzeptanz der Microsoft Rules of Engagement und ein Penetration Testing Notification Form für kritische Infrastruktur.

Schritt 5: Den Test optimal vorbereiten

Vor dem Test: Backups aller Systeme erstellen, das IT-Team informieren (das ist kein Phishing-Simulationstest - überraschte Admins blockieren sonst den Test), Testaccounts pro Rolle und Berechtigung vorbereiten, bei Gray/White Box die API-Dokumentation bereitstellen und die Frage Staging vs. Produktion klären.

Während des Tests: Einen Ansprechpartner rund um die Uhr erreichbar halten - bei einem kritischen Fund ist sofortiges Handeln gefragt. Das Monitoring nicht pausieren, damit der Tester sieht, was erkannt wird. Das IT-Team darf den Tester arbeiten lassen ohne echte Security Response auszulösen.

Eskalation bei kritischen Findings: Ein guter Pentest-Anbieter informiert sofort bei Produktionsdaten-Zugriff, vollständiger Systemübernahme oder der Möglichkeit zur Kundendaten-Exfiltration.

Nach dem Test: Mindestens eine Stunde für die Bericht-Durchsprache einplanen - was bedeuten die Findings konkret? Einen Maßnahmenplan erstellen mit klaren Verantwortlichkeiten und Fristen. Den Retest terminieren um die Behebungen verifizieren zu lassen. Den Bericht sicher archivieren - er enthält hochsensible Informationen.

Pentest-Anbieter Checkliste

• Tester haben nachweisbare Zertifizierungen (OSCP als Minimum)
• Anonymisierter Beispielbericht auf Anfrage verfügbar
• Klare Scope-Definition vor Angebotserstellung
• Schriftliche Beauftragung mit Haftungsausschluss
• NDA und Vertraulichkeitsvereinbarung vorhanden
• Retest bei kritischen und hohen Befunden inklusive oder Preis bekannt
• Dedizierter Ansprechpartner während des Tests - kein Callcenter
• Erfahrung mit Ihrer Technologie (Java, PHP, Azure, etc.)
• Bericht auf Deutsch lieferbar falls nötig
• CVSS-Bewertung aller Befunde im Bericht
• Priorisierter Maßnahmenplan im Bericht enthalten
• Anbieter macht keine Versprechen wie "100% sicher nach Test"
• Statische, RIPE-registrierte IP-Adressen statt anonymer Cloud-VMs - per RIPE-Datenbank verifizierbar

Häufige Fehler

Fehler 1: Pentest nur für Compliance (Checkbox). Findings werden nicht ernst genommen oder nicht behoben - beim nächsten Test tauchen dieselben Schwachstellen wieder auf.

Fehler 2: Scope zu klein aus Kostengründen. Nur das Frontend wird getestet, nicht die API. Angreifer nutzen genau die nicht getestete API.

Fehler 3: Den billigsten Anbieter wählen. Das Ergebnis ist oft ein automatischer Scanner-Output mit Logo - kein echter Pentest.

Fehler 4: Kein Retest. "Wir haben es behoben" - aber wurde es verifiziert? Häufig ist der Fix falsch implementiert.

Fehler 5: Das IT-Team nicht informiert. Das IDS oder die Firewall sperrt die IP des Testers. Das Unternehmen hält sich für sicher, weil "kein Angriff" erkannt wurde - das Ergebnis ist nicht repräsentativ.

Fehler 6: Zu selten testen. Ein jährlicher Pentest ist gut. Ein Major Release ohne Test ist riskant. Das Ideal ist kontinuierliches Pentesting über Bug Bounty oder regelmäßige Testzyklen.

tags:

• penetrationstest
• compliance
• risikomanagement

---

Einen Überblick über den deutschen Markt mit Auswahlkriterien und Anbieter-Typen (spezialisierte Boutique, großes IT-Haus, Managed Security Provider) finden Sie auf der Wissensseite Penetrationstest-Anbieter in Deutschland.

Sie planen Ihren ersten Penetrationstest? In einem kostenlosen Erstgespräch klären wir Ihren idealen Scope, erklären die Testmethodik und erstellen ein transparentes Angebot - ohne versteckte Kosten.

Kostenloses Erstgespräch vereinbaren | Penetrationstest beauftragen - Festpreis-Angebot in 24h