Pentest beauftragen KMU 2026: 8 Kriterien für die Anbieterwahl

Viele als „Penetrationstest“ verkaufte Angebote sind in Wahrheit ein automatisierter Schwachstellenscan mit generischem PDF am Ende, ohne einen einzigen manuellen Angriffsversuch. Wer das erst nach Vertragsunterschrift merkt, zahlt mehrere Tausend Euro für einen Report, der verkettete Angriffspfade oder fehlerhafte Berechtigungslogik schlicht nicht findet. Bei der nächsten NIS2-Prüfung steht das Unternehmen trotzdem ohne belastbaren Nachweis da. Wer einen Pentest beauftragen will, sollte KMU-Anbieter deshalb an acht klaren Kriterien messen, orientiert am Praxis-Leitfaden des BSI für IS-Penetrationstests. Cyber Shop verkauft selbst keine Pentests, schließt aber mit laufendem Vulnerability Management die Lücke zwischen zwei Testterminen.

Was kostet ein Pentest für ein KMU und worauf sollte man achten?

Ein Web-Application-Pentest für ein KMU kostet meist zwischen 4.000 und 10.000 Euro, ein vollständiger Infrastruktur-Test mit Social Engineering bis zu 40.000 Euro. Entscheidend ist weniger der Preis als der Scope: Achten Sie auf manuelle Testtiefe, zertifizierte Tester, eine klare Einstufung der Testaggressivität nach BSI-Kriterien und einen inkludierten Nachtest nach der Fehlerbehebung.

Ein günstiges Angebot ist nicht automatisch schlecht. Problematisch wird es erst, wenn der niedrige Preis daher kommt, dass ein Tool automatisch scannt und niemand die Ergebnisse von Hand nachprüft.

Zertifizierungen im Vergleich: OSCP, OSCE³, CREST und CHECK

Firmenlogos auf einer Website sagen wenig darüber aus, wer bei Ihnen konkret am Rechner sitzt. Fragen Sie deshalb gezielt nach den Zertifikaten der Personen, die den Auftrag tatsächlich durchführen, nicht nur nach der Firmenakkreditierung.

• OSCP (Offensive Security Certified Professional): praktische Einzelzertifizierung, gilt als Basisnachweis für manuelles Hacking-Know-how.
• OSCE³ (Offensive Security Certified Expert, dreifach): Nachfolge-Bündelung aus drei fortgeschrittenen Einzelprüfungen (Web-Exploits, Active-Directory-Angriffe, Exploit-Entwicklung). Das ursprüngliche OSCE wurde 2020 eingestellt.
• CREST: britisches Akkreditierungsschema auf Firmenebene, prüft Prozesse und Testerqualifikation gemeinsam.
• CHECK: staatlich anerkanntes Schema für Pentests an sicherheitskritischer Infrastruktur.

Keine dieser Zertifizierungen ersetzt eine Referenzprüfung. Bitten Sie um einen anonymisierten Beispielreport, bevor Sie unterschreiben.

BSI-Kriterien für Pentests: Aggressivität als wichtigste Stellschraube

Der BSI-Leitfaden klassifiziert Pentests über sechs Kriterien: Informationsbasis, Aggressivität, Umfang, Vorgehensweise, Technik und Ausgangspunkt. Ein seriöser Anbieter klärt diese Punkte vor Testbeginn schriftlich mit Ihnen. Für KMU ist die Aggressivität die praxisrelevanteste Stellschraube, weil sie direkt das Ausfallrisiko produktiver Systeme bestimmt.

Für die meisten KMU passt die Stufe abwägend. Die Stufe aggressiv lohnt sich erst, wenn bereits ein etabliertes Sicherheitsniveau getestet werden soll und ein Wartungsfenster fest eingeplant ist. Ein aggressiver Test auf einem Produktivsystem ohne abgestimmtes Zeitfenster kann zu Ausfällen führen, für die dann niemand vorbereitet ist.

Warum manuelle Testmethodik beim Pentest für KMU den Unterschied macht

Ein automatisierter Scan findet bekannte Schwachstellen anhand von Signaturen. Er erkennt aber keine Logikfehler wie eine Berechtigungsprüfung, die sich durch eine bestimmte Klickreihenfolge umgehen lässt, oder einen Angriffspfad, der drei kleinere Schwachstellen zu einem kritischen Zugriff verkettet. Das leistet nur ein Mensch mit strukturierter Methodik.

Ein typisches Beispiel aus der Praxis: Ein Scan meldet für eine Kundenportal-Anwendung lediglich eine veraltete TLS-Version als Fund. Ein manueller Tester probiert zusätzlich, ob sich über die Passwort-Reset-Funktion fremde Nutzerkonten übernehmen lassen, indem er die Reihenfolge der Formularfelder manipuliert. Solche Kombinationsangriffe stehen in keiner Signaturdatenbank, tauchen in echten Vorfällen aber regelmäßig auf.

Fragen Sie deshalb nach der verwendeten Methodik. Etablierte Standards sind der OWASP Testing Guide für Webanwendungen und PTES (Penetration Testing Execution Standard) für Infrastruktur-Tests. Ein Anbieter, der auf diese Frage nur mit „wir nutzen moderne Tools“ antwortet, verkauft wahrscheinlich einen Scan als Pentest.

Was gehört in einen aussagekräftigen Pentest-Report?

Ein Report, der nur eine automatisch generierte Liste von CVE-Nummern enthält, hilft der IT-Abteilung wenig. Verlangen Sie stattdessen mindestens diese fünf Bestandteile: eine Management-Zusammenfassung ohne Fachjargon für die Geschäftsführung, eine priorisierte Schwachstellenliste nach tatsächlichem Geschäftsrisiko statt nur nach CVSS-Score, nachvollziehbare Reproduktionsschritte für jeden bestätigten Fund, konkrete Empfehlungen zur Behebung statt allgemeiner Hinweise sowie eine Zusammenfassung der getesteten und explizit ausgeschlossenen Systeme.

Ein Anbieter, der auf Nachfrage keinen anonymisierten Beispielreport mit dieser Struktur zeigen kann, hat möglicherweise selbst noch keinen vollständigen Pentest geliefert.

Vulnerability Management als laufender Prozess statt Jahres-Snapshot

Ein einmal jährlicher Pentest zeigt den Sicherheitsstand an genau einem Stichtag. Zwischen zwei Tests entstehen neue Schwachstellen durch Updates, neue Software oder geänderte Konfigurationen unbemerkt weiter. Deshalb ergänzen viele KMU den jährlichen Pentest inzwischen um ein laufendes Vulnerability Management, das neue Schwachstellen automatisiert und kontinuierlich meldet.

Ein Beispiel dafür ist Sophos Managed Risk aus dem Sophos-Produktportfolio: Der Dienst kombiniert eine Integration des Schwachstellenscanners Tenable mit einer laufenden Überwachung der Angriffsfläche und kostet ab 73,52 Euro netto (Jahrespreis laut Sophos-DACH-Preisliste, Laufzeit im Konfigurator wählbar). Das ersetzt keinen manuellen Pentest, schließt aber die Lücke zwischen zwei Testterminen. Wer den gesamten Bereich als laufenden Service statt als Einzelprojekt einkaufen möchte, findet weitere Optionen im Bereich Managed Services.

Checkliste: 8 Fragen an jeden Pentest-Anbieter

1. Welche Zertifizierungen haben die konkret zugeteilten Tester, nicht nur die Firma als Ganzes?
2. Nach welcher Methodik wird getestet (OWASP, PTES, BSI-Kriterien)?
3. Wie hoch ist der Anteil manueller Arbeit am Gesamtaufwand?
4. Ist ein Nachtest nach der Fehlerbehebung bereits im Preis enthalten?
5. Kann ein anonymisierter Beispielreport vorab eingesehen werden?
6. Definiert der Anbieter den Scope gemeinsam mit Ihnen, oder verkauft er ihn pauschal?
7. Wo werden Testdaten und Ergebnisse gespeichert und wie lange?
8. Gibt es nachweisbare Erfahrung in Ihrer Branche oder mit vergleichbarer Infrastruktur?

Ein Anbieter, der auf zwei oder mehr dieser Fragen ausweichend antwortet, ist kein guter Kandidat für einen belastbaren Nachweis gegenüber Kunden, Versicherern oder Aufsichtsbehörden.

Häufige Fragen zum Pentest beauftragen als KMU

Wie oft sollte ein KMU einen Pentest durchführen lassen?

Als Grundtakt gilt einmal jährlich, zusätzlich nach jeder größeren Änderung an Infrastruktur oder Webanwendungen. Ein laufendes Vulnerability Management überbrückt die Zeit zwischen den Testterminen.

Ersetzt ein Pentest die Anforderungen einer Cyber-Versicherung?

Nein. Viele Versicherer verlangen einen Pentest als eine von mehreren Voraussetzungen, zusätzlich zu Themen wie Backup-Strategie, MFA und Patch-Management. Der Report dient als Nachweis, nicht als vollständiger Ersatz für den Fragebogen.

Was ist der Unterschied zwischen Pentest und Vulnerability Scan?

Ein Vulnerability Scan prüft automatisiert gegen bekannte Signaturen und liefert eine Liste möglicher Schwachstellen. Ein Pentest testet manuell, ob diese Schwachstellen tatsächlich ausnutzbar sind und wie weit ein Angreifer damit vordringen könnte.

Braucht ein kleines Unternehmen wirklich einen CREST-zertifizierten Anbieter?

Nicht zwingend. Entscheidender als eine Firmenakkreditierung sind die Einzelzertifizierungen der zugeteilten Tester, etwa OSCP. CREST hilft vor allem bei internationalen Ausschreibungen oder PCI-DSS-Anforderungen.

Erfüllt ein Pentest die NIS2-Nachweispflicht?

Ein dokumentierter Pentest ist ein starker Baustein für den Nachweis angemessener technischer Maßnahmen nach NIS2, ersetzt aber nicht die gesamte Risikoanalyse. Details zu den weiteren Pflichten finden sich in der NIS2-Checkliste für KMU.

Ein sauber gescopter Pentest ist kein Kostenpunkt zum Abhaken, sondern die Grundlage für jede weitere Sicherheitsentscheidung im Jahr danach. Wer unsicher ist, welche Aggressivitätsstufe und welcher Scope zum eigenen Unternehmen passen, klärt das am schnellsten im persönlichen Gespräch mit dem Produktberater oder direkt über den Kontakt.