Warum Penetrationstests für KMU kein Luxus sind – und was sie wirklich kosten
Die Bedrohungslage für den deutschen Mittelstand verschärft sich: Ransomware, Supply-Chain-Angriffe und gezielte Exploits auf Webapplikationen treffen zunehmend auch Unternehmen mit 50 bis 500 Mitarbeitern. Gleichzeitig verunsichern stark schwankende Angebote die Entscheider: Für einen Penetration Test im Mittelstand reichen die Kostenschätzungen von 3.000 € bis über 25.000 €. Dieser Leitfaden schafft Transparenz – entlang der Methodik des BSI Praxis-Leitfadens für IS-Penetrationstests und mit konkreten Preisfaktoren für Kosten Penetrationstest KMU.
Der BSI-Leitfaden definiert fünf Phasen: Vorbereitung (Scoping & Rules of Engagement), Informationsbeschaffung, Analyse & Ausnutzung, Reporting mit Risikomatrix sowie Remediation und Nachtest. Genau diese Struktur erklärt, warum seriöse Angebote nicht über den Preis pro „Scan“ vergleichbar sind, sondern über Testtiefe, Manntage und Qualifikation der Tester.
Automatisierter Scan vs. manuelles Ethical Hacking – der entscheidende Kostenhebel
Ein automatisierter Schwachstellenscan (z. B. mit OpenVAS oder Nessus) ist ein wichtiger Baustein der Hygiene, ersetzt aber keinen Penetrationstest. Er findet bekannte Muster, erkennt jedoch keine logischen Fehler, verkettete Angriffe oder Business-Logic-Schwachstellen. Manuelles ethisches Hacking durch zertifizierte Tester (OSCP, CEH) deckt genau diese Lücken auf – und das schlägt sich im Preis nieder.
Die Testarten unterscheiden sich im Aufwand:
- Black Box: Tester erhält keine Vorkenntnisse – höchster Aufwand, realistische Angreiferperspektive.
- Grey Box: Teilinformationen (z. B. Test-Accounts) – effizienter, oft der wirtschaftlich beste Kompromiss für KMU.
- White Box: Vollständige Dokumentation und Code-Zugriff – tiefste Analyse, besonders relevant für Webapplikationen und Cloud-Konfigurationen.
Für die meisten mittelständischen Unternehmen ist ein Grey-Box-Ansatz mit klar definiertem Scope der wirtschaftlich sinnvollste Einstieg.
Preisrahmen 2025: Tagessätze und typische Projektkosten
Zertifizierte Penetrationstester in Deutschland kosten typischerweise 1.400 € bis 2.200 € pro Tag – abhängig von Zertifizierung, Erfahrung und Spezialisierung (z. B. Active Directory, Cloud, OT). Daraus ergeben sich für KMU folgende realistische Projektrahmen:
- Webapplikation (einzelne Anwendung, Grey Box): 3.000 € – 6.000 € (ca. 2–4 Manntage inkl. Reporting).
- Infrastruktur-Penetrationstest KMU (externes Netz, bis ~250 IPs): 5.000 € – 10.000 € (ca. 4–7 Manntage).
- Active-Directory- / Cloud-Audit (Entra ID, AWS, Azure): 8.000 € – 15.000 €, bei komplexen Hybrid-Umgebungen bis 25.000 €.
- Nachtest (Remediation-Verifikation): 1.000 € – 2.500 €, abhängig von der Anzahl behobener Findings.
Wichtig: Diese Rahmen sind Marktrichtwerte. Der tatsächliche Preis hängt vom Scope, der Anzahl der Testobjekte, der Komplexität der Authentifizierung und dem Reporting-Tiefgang ab.
BSI-Methodik als Qualitäts- und Kostenanker
Der BSI Penetrationstest nach Praxis-Leitfaden liefert einen belastbaren Qualitätsmaßstab. Achten Sie im Angebot darauf, dass alle fünf Phasen abgedeckt sind – insbesondere Scoping & Rules of Engagement (schützt vor rechtlichen Risiken und Ausfallzeiten) sowie ein Reporting mit Risikomatrix (CVSS plus Geschäftskontext). Ein Angebot ohne dokumentiertes Scoping ist kein Schnäppchen, sondern ein Haftungsrisiko.
Ein Penetrationstest ist keine Einmal-Ausgabe, sondern ein Investment in Nachweisbarkeit – gegenüber Kunden, Versicherern und Aufsichtsbehörden (NIS2, DSGVO Art. 32).
Für Unternehmen, die KI-Agenten oder automatisierte Prozesse einführen, kommt ein weiterer Prüfpunkt hinzu: Die Angriffsfläche verschiebt sich in APIs und Agenten-Orchestrierung. Wer hier früh testet, spart später teure Nachbesserungen. Details zu sicheren Agenten-Architekturen finden Sie unter KI-Agenten-Lösungen.
So bleiben die Kosten wirtschaftlich: 5 Praxisempfehlungen
- Scope schärfen: Testen Sie zuerst die geschäftskritischen Systeme (Kundendaten, ERP, Web-Shop) statt der gesamten Infrastruktur.
- Grey Box statt Black Box als Einstieg – bei gleichem Budget mehr Tiefe.
- Retainer-Modell: Rahmenvertrag mit 2–3 Tests pro Jahr senkt Tagessätze um 10–20 %.
- Remediation vorab planen: Budget für Behebung und Nachtest von Anfang an einplanen (ca. 20–30 % des Testbudgets).
- Readiness vorab prüfen: Ein KI-Readiness- & Compliance-Check zeigt, ob Ihre Governance für einen Test reif ist.
Fazit: Transparenz statt Bauchladen
Ein Penetration Test im Mittelstand ist für 3.000 € bis 25.000 € zu haben – der Unterschied liegt in Testtiefe, Methodik und Qualifikation. Wer nach BSI-Methodik scoped, Grey-Box-Tests priorisiert und Remediation einplant, erhält belastbare Ergebnisse statt teurer Scheinsicherheit. Eine unabhängige KI-Potenzialanalyse kann helfen, die kritischen Angriffsflächen zu priorisieren, bevor Budget fließt.
Teil 2 dieser Serie widmet sich der Auswahl des richtigen Dienstleisters, rechtlichen Fallstricken (DSGVO, Auftragsverarbeitung) und der Frage, wie Sie Testergebnisse in Ihre NIS2-Compliance überführen. Für ein individuelles Scoping-Gespräch steht Ihnen unser Team unter Kontakt zur Verfügung – oder informieren Sie sich direkt über unsere VAPT- & Penetration-Testing-Leistungen.