Pentest-Kosten 2026: Was ein Penetrationstest kostet und wie Sie Managed Security getrennt budgetieren

Ein manueller Penetrationstest kostet für ein kleines oder mittleres Unternehmen am Markt meist 3.000 bis 12.000 € netto, abgerechnet nach Personentagen von rund 900 bis 1.800 €. bios-tec nennt den Preis nach einem kurzen Vorgespräch als individuelles Angebot nach Scoping; ein Listenpreis für den Test existiert nicht. Der laufende Schutz ist davon getrennt zu budgetieren: Zusätzlicher Endpunktschutz liegt als Erfahrungswert bios-tec bei rund 5 bis 35 € je Arbeitsplatz und Monat, vom klassischen Virenschutz bis zu Managed EDR; für 50 Arbeitsplätze sind das rund 250 bis 1.750 € im Monat.

Dieser Beitrag trennt die beiden Posten sauber. Der Penetrationstest ist eine einmalige Prüfung mit Scope, Testtagen und Retest. Managed Security ist ein Betrieb mit Monatspauschale je Gerät. Wer beides in einer Zahl zusammenwirft, vergleicht Angebote falsch.

Alle bios-tec-Angaben in diesem Beitrag sind gerundete Erfahrungswerte aus Kundenprojekten, Stand Oktober 2026, kein Angebot; sie gelten netto zuzüglich 19 % Umsatzsteuer. Marktzahlen sind als marktübliche Spannen gekennzeichnet.

Was kostet ein Penetrationstest für ein KMU?

Penetrationstest: Ein kontrollierter Angriff auf die eigene IT durch beauftragte Sicherheitsfachleute, die wie echte Angreifer vorgehen, um ausnutzbare Schwachstellen zu finden, bevor Kriminelle sie nutzen. Personentag: Die übliche Abrechnungseinheit; der Preis eines Tests ergibt sich aus der Zahl der kalkulierten Testtage multipliziert mit dem Tagessatz.

Der Markt arbeitet fast durchgängig mit Personentagen. Marktüblich sind Tagessätze von rund 900 bis 1.800 € und eine Testdauer von zwei bis zehn Tagen, was rund 2.000 bis 18.000 € ergibt. Für KMU-Projekte liegen die meisten Tests zwischen 3.000 und 12.000 € netto; ein Projekt mit Haupttest, Social Engineering und Retest erreicht als Erfahrungswert schnell rund 14.000 €.

Die folgende Tabelle ordnet marktübliche Spannen nach Testart. Es sind marktübliche Erfahrungswerte, keine bios-tec-Preise.

bios-tec geht einen anderen Weg als die reinen Testlabore. Der Preis hängt vom Umfang ab und wird nach einem kurzen Vorgespräch als individuelles Angebot nach Scoping genannt; Bericht und Nachtest sind darin beschrieben. Für die Budgetplanung heißt das: Marktspanne als Orientierung nehmen, Scope schriftlich festlegen, individuelles Angebot einholen.

Der Grund für die Investition ist belegt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zählt im Lagebericht 2025 nach Erkenntnissen des BKA 950 angezeigte Ransomware-Angriffe, 80 % davon gegen kleine und mittlere Unternehmen; die Ausnutzung von Schwachstellen über die Web-Angriffsfläche nahm um 38 % zu. Ein Test für einen vier- bis fünfstelligen Betrag prüft genau die Einfallstore, die diese Statistik füllen. bios-tec berichtet, dass in neun von zehn beauftragten Tests der Einstieg ohne Zugangsdaten gelingt.

Was unterscheidet Pentest, Schwachstellenscan und Sicherheitscheck?

Schwachstellenscan: Eine automatisierte Prüfung gegen bekannte Schwachstellen, schnell und günstig, aber ohne Aussage über die reale Angreifbarkeit. IT-Sicherheitscheck: Eine strukturierte Bestandsaufnahme von Schutzmaßnahmen, Konfiguration und Prozessen als Einstieg vor einem Pentest; bei bios-tec ein eigener Einstiegsbaustein. EDR (Endpoint Detection & Response): Eine Schutzschicht, die das Verhalten auf Notebooks, PCs und Servern beobachtet, verdächtige Prozesse stoppt und Geräte vom Netz isolieren kann. SOC (Security Operations Center): Die zentrale Stelle, an der sicherheitsrelevante Ereignisse rund um die Uhr gesammelt, von Fachleuten bewertet und bei echten Vorfällen eingedämmt werden.

Die Begriffe werden in Angeboten gern vermischt. Wer einen Scanner-Export als Penetrationstest verkauft, ist deutlich günstiger und liefert eine lange, unsortierte Liste möglicher Auffälligkeiten. Ein einfacher Schwachstellenscan sagt jedoch nichts über die tatsächliche Ausnutzbarkeit aus. Der Preisunterschied erklärt sich also nicht durch Effizienz, sondern durch eine andere Leistung.

Entscheidend ist das Zusammenspiel. Der Pentest zeigt, wo die IT angreifbar ist. Eine geschlossene Lücke bleibt aber nur geschlossen, wenn jemand die Firewall pflegt, Updates einspielt und hinsieht. Deshalb gehören beide Posten in das Budget, aber getrennt: einmal als Projektpreis, einmal als Monatspauschale je Gerät.

Welche Kosten gehören ins Pentest-Angebot?

Die Tabelle zeigt die üblichen Testarten mit dem, was im Preis stecken sollte, und den Posten, die häufig fehlen.

Vor der Beauftragung lohnt sich eine kurze Prüfliste. Jede Zeile sollte sich im Angebot wörtlich wiederfinden.

1. Scope schriftlich: Welche Systeme, IP-Bereiche, Anwendungen und Standorte sind drin, welche sind tabu?
2. Testart: Black Box ohne Vorinformationen, Grey Box mit begrenzten Informationen oder White Box mit vollem Einblick; Black-Box-Tests sind oft aufwendiger, wenn sie dieselbe Zahl an Schwachstellen liefern sollen.
3. Testtage und Tagessatz: Zahl der kalkulierten Tage und der Satz, oder ein Festpreis mit beschriebenem Umfang.
4. Testbedingungen: Wird gegen die aktive Abwehr getestet oder müssen Schutzsysteme dafür abgeschaltet werden? bios-tec testet gegen die voll aktive Verteidigung.
5. Berichtsform: Management-Summary, technischer Teil, Priorisierung nach echtem Risiko, Zuordnung zu Rahmenwerken wie NIS2, ISO 27001 oder TISAX.
6. Retest: Enthalten oder separat, und zu welchem Preis?
7. Behebung: Wer schließt die Lücken, und was kostet das? Ein Testlabor liefert den Bericht, ein Systemhaus kann die Umsetzung übernehmen.
8. Nebenkosten: Reisezeit, Vor-Ort-Termine, Express-Aufschläge; eine kurzfristige Durchführung ist am Markt ein eigener Kostenfaktor.

Fehlt einer dieser Punkte, ist der Preis nicht niedriger, sondern nur unvollständig. Das gilt besonders für Punkt 7. Ein Bericht mit 400 Findings, mit dem der Auftraggeber allein bleibt, erzeugt Folgekosten, die in keinem Angebot stehen.

Wie beeinflussen Scope und Testdauer das Angebot?

Der Scope beschreibt, was geprüft wird: eine einzelne Webanwendung, das interne Netzwerk oder vernetzte Produktionssysteme. Typische Kostenfaktoren sind Scope, Testtiefe, Kritikalität der Systeme, Qualifikation der Tester und Zeitrahmen, dazu die Komplexität der Infrastruktur, die Art des Tests, Zertifizierungen und die Berichtstiefe. Alle diese Faktoren laufen am Ende auf eine Zahl hinaus: die kalkulierten Personentage.

Vier Hebel bestimmen diese Zahl in der Praxis:

• Breite: Zahl der Systeme, IP-Adressen, Anwendungen und Standorte. Ein interner Netzwerktest mit 10 bis 20 IP-Adressen liegt am Markt bei 5.000 bis 7.500 €, eine komplexe Infrastruktur mit Cloud bei 10.000 bis 20.000 €.
• Tiefe: Automatisiert unterstützt oder vollständig manuell. Manuelle Tests finden Logikfehler, die Scanner übersehen, brauchen aber mehr Zeit.
• Vorinformationen: Black Box ohne Informationen, Grey Box mit begrenzten Zugängen, White Box mit vollem Einblick. Black-Box-Tests sind mitunter aufwendiger, wenn sie dieselbe Zahl an Schwachstellen liefern sollen wie White-Box-Tests.
• Berichtstiefe: Ein Kurzbericht ist günstiger als ein auditfähiger Bericht mit Risikoeinstufung, Handlungsempfehlungen und Zuordnung zu NIS2, ISO 27001 oder BSI-Standards.

Selten erwähnt, aber entscheidend für die Aussagekraft sind die Testbedingungen. Automatisierte Werkzeuge lösen bei Firewall und Endpoint-Schutz reihenweise Alarme aus; damit sie durchlaufen, werden diese Schutzsysteme oft vorübergehend abgeschaltet. Das Ergebnis ist ein Test gegen eine wehrlose IT.

bios-tec testet leise und gezielt gegen die voll aktive Verteidigung, weil genau das zeigt, ob die Alarmglocken im Ernstfall anschlagen. Wer Angebote vergleicht, sollte diese Bedingung abfragen. Ein günstiger Test gegen abgeschaltete Schutzsysteme ist kein günstiger Test, sondern ein anderer.

Die Testdauer hat eine zweite Dimension: den Kalender. Nach dem Scoping sollte der Zeitrahmen vom Kickoff bis zum fertigen Bericht feststehen. Wer einen Test kurzfristig braucht, etwa für ein Audit oder eine Cyber-Versicherung, zahlt am Markt einen Aufschlag für priorisierte Durchführung.

Was kosten Retest und Nachbesserung?

Retest: Ein Nachtest, der prüft, ob die gefundenen Schwachstellen nach der Behebung tatsächlich geschlossen sind. Nachbesserung: Die Umsetzung der Empfehlungen aus dem Bericht, von Konfigurationsänderungen über Updates bis zu Härtung und Segmentierung; sie ist Teil des Betriebs, nicht des Tests.

Der Retest ist der Posten, der in Angeboten am häufigsten untergeht. Marktüblich ist ein Retest bei manuellen Pentests oft nicht standardmäßig enthalten und wird separat angeboten, pauschal oder nach Tagessatz, meist als ein Tag mit 1.000 bis 2.000 €. Erst der Nachtest belegt gegenüber Auditoren, Versicherern und der eigenen Geschäftsführung, dass die Lücken geschlossen sind. Bei bios-tec wird der Nachtest im individuellen Angebot nach Scoping festgelegt.

Die eigentlichen Folgekosten entstehen jedoch bei der Nachbesserung. Ein reines Testlabor liefert einen Bericht mit langer Mängelliste; wer die Schwachstellen behebt und was dringend ist, ist nicht mehr sein Thema. Diese Arbeit ist in keinem Pentest-Preis enthalten, auch nicht bei bios-tec. Der Unterschied liegt darin, wer sie übernimmt und zu welchen Konditionen.

Bei bios-tec gibt es dafür drei Wege. Erstens die Behebung als Teil einer bestehenden Betreuung: Ab der Stufe Standard werden Sicherheitsupdates nach Risiko automatisch freigegeben, in der Stufe Rundum kommen manuelle Freigabe und monatliche Pflege hinzu; bei Servern gilt in der Stufe Standard eine Reaktionszeit innerhalb von vier Stunden bei kritischen Problemen, in der Stufe Rundum innerhalb von zwei Stunden, jeweils als Beginn der Bearbeitung und als Bemühenspflicht, nicht als Lösungszusage. Die drei Stufen erklärt der nächste Abschnitt. Zweitens die Umsetzung nach Aufwand: Leistungen außerhalb der Pauschale liegen bei bios-tec im Bereich von rund 100 bis 300 € netto je Stunde, je nach Qualifikation; der Umfang der Härtungsarbeiten steht erst mit dem Bericht fest. Drittens Stundenkontingente im Voraus, die je nach Volumen einen Mengenrabatt auf Leistungen außerhalb der Pauschale erhalten.

Eine Vorarbeit senkt die Kosten beider Seiten: eine aktuelle IT-Dokumentation. Sie verkürzt das Scoping und beschleunigt die Nachbesserung, weil Systeme, Netze und Zuständigkeiten bekannt sind. Als Erfahrungswert liegt eine IT-Dokumentation für Umgebungen bis etwa zehn Server bei rund 500 bis 4.000 € einmalig, die laufende Pflege bei rund 50 bis 150 € im Monat; größere Umgebungen werden je Server auf Anfrage kalkuliert. Wie sich eine solche Dokumentation gegen Beratung nach Tagessatz rechnet, zeigt der Beitrag zum IT-Beratung-Tagessatz.

Was kostet Managed EDR für unsere Gerätezahl?

Managed EDR: Endpoint Detection & Response als betreuter Dienst; die Alarme laufen beim Dienstleister auf, der bewertet, reagiert, aufklärt und dokumentiert, auch nachts und am Wochenende. Der Unterschied zum klassischen Virenschutz liegt im Prinzip: Ein Virenscanner prüft Dateien gegen eine Liste bekannter Schadsoftware, EDR bewertet das Verhalten auf dem Gerät und schlägt auch bei unbekannter Schadsoftware an, sobald sie beginnt, massenhaft Dateien zu verschlüsseln.

Die Preislogik von Managed Security unterscheidet sich grundlegend vom Pentest. Statt Personentagen gilt eine Monatspauschale je Gerät, die sich nach Zahl der Geräte, Standorte und Systeme richtet. Bei bios-tec setzt der Endpunktschutz auf einer laufenden Betreuung in drei Stufen auf.

Die Reaktionszeiten beschreiben den Beginn der Bearbeitung als Bemühenspflicht, keine Lösungszusage. Der Endpunktschutz kommt in allen Stufen hinzu, vom klassischen Virenschutz bis zu Managed EDR mit Reaktion durch Fachleute. Die folgende Tabelle zeigt die budgetrelevanten Posten als gerundete Erfahrungswerte bios-tec, netto, Stand Oktober 2026.

Managed SOC und Firewall-Pakete sind eigene Leistungen, Umfang und Preis auf Anfrage. Am Markt sind Rundum-Pakete mit Support-Kontingent oder Pauschale üblich; ob Support-Stunden enthalten sind, gehört in jedes Angebot.

Gezählt werden die zu schützenden Geräte, nicht die Mitarbeitenden. Bei Servern ist der Virenschutz Teil der Betreuung; ob zusätzlich EDR sinnvoll ist, gehört ins Scoping-Gespräch.

Rechenbeispiel: 50 Arbeitsplätze mit Endpunktschutz

Ein Unternehmen mit 50 zu schützenden Arbeitsplätzen plant zusätzlichen Endpunktschutz. Die Rechnung mit der Erfahrungsspanne:

Alle Werte netto zuzüglich 19 % Umsatzsteuer, gerundete Erfahrungswerte, kein Angebot. Das untere Ende der Spanne steht für klassischen Virenschutz mit Endpunkt-Firewall, das obere für Managed EDR mit Reaktion durch Fachleute. Das Beispiel zeigt nur den Endpunkt-Posten; Firewall-Betreuung, Datensicherung, Server-Monitoring und der Pentest selbst kommen hinzu.

Der Mehrpreis für EDR gegenüber reinem Virenschutz, im Beispiel einige hundert Euro im Monat, ist die Kernfrage für die Geschäftsführung. Ransomware trifft gezielt den Mittelstand, der Endpoint ist fast immer das Einfallstor, und Cyber-Versicherer sowie Rahmenwerke wie NIS2 setzen moderne Angriffserkennung zunehmend voraus. Das BSI bestätigt die Richtung: 80 % der angezeigten Ransomware-Angriffe trafen kleine und mittlere Unternehmen. Gegen diese Zahl ist ein Aufpreis von einigen hundert Euro im Monat für 50 Geräte eine kalkulierbare Größe.

Wie entsteht ein Jahresbudget aus Test und Betrieb?

Jahresbudget IT-Sicherheit: Die Summe aller geplanten Sicherheitsausgaben eines Jahres, getrennt nach einmaligen Projektkosten und wiederkehrenden Betriebskosten. Die Trennung ist kein Formalismus. Einmalige Posten werden pro Projekt freigegeben, laufende Posten binden Budget über Jahre. Wer beides mischt, unterschätzt den Betrieb und überschätzt den Test.

Das Beispiel erweitert die Rechnung aus dem vorherigen Abschnitt um drei betreute Server, drei gesicherte Systeme und eine IT-Dokumentation als Scope-Grundlage. Die Arbeitsplätze gelten als bereits betreut, gerechnet wird nur der zusätzliche Endpunktschutz. Der Pentest wird als individuelles Angebot nach Scoping ergänzt. Die Spannen reichen jeweils von der Stufe Basis bis zur Stufe Rundum.

Im ersten Jahr ergibt sich damit eine Orientierung von rund 5.000 bis 41.000 € netto zuzüglich des individuell angebotenen Pentests; in den Folgejahren fallen rund 4.800 bis 36.000 € laufend an, dazu der jährliche Pentest. Die Breite der Spanne ist kein Mangel der Rechnung, sondern der Abstand zwischen Basis und Rundum: Wer nur Überwachung und Updates braucht, landet am unteren Ende, wer Testrücksicherung, Notfallübung und zwei Stunden Reaktionszeit braucht, am oberen. Nicht enthalten sind die Nachbesserung der Befunde außerhalb der Pauschalen, die Replikation der Datensicherung ins Rechenzentrum, die nach Speichermenge mit wenigen Cent je Gigabyte und Monat abgerechnet wird, sowie mobile Geräte mit rund 5 bis 35 € je Gerät und Monat. Ein konkretes Angebot erstellt bios-tec nach einem kurzen Erstgespräch.

Drei Regeln helfen bei der Planung:

1. Pentest und Betrieb getrennt freigeben. Der Test ist ein Projekt mit Anfang und Ende, der Betrieb ein Vertrag. Eine gemeinsame Zahl verschleiert, welcher Teil im nächsten Jahr wiederkommt.
2. Nachbesserung als Reserve einplanen. Der Bericht erzeugt Arbeit. Wer sie nicht über eine laufende Betreuung abdeckt, sollte einen Puffer nach Aufwand vorsehen; Leistungen außerhalb der Pauschale liegen bei bios-tec bei rund 100 bis 300 € netto je Stunde.
3. Geräte zählen, nicht Köpfe. Abgerechnet wird je Arbeitsplatz, Server und gesichertem System. Eine Inventarisierung vor der Beauftragung verhindert Nachberechnungen; das Inventar gehört bereits zur Stufe Basis.

Die Datensicherung gehört in dieses Budget, auch wenn sie kein Angriffsschutz ist. Das BSI stellt fest, dass Backups gegen Ransomware essenziell bleiben, gegen Datenleaks aber nicht helfen. Schutz und Wiederanlauf gehören zusammen: Was der Angriffsschutz nicht abfängt, muss die getestete Datensicherung auffangen. Details dazu stehen auf der Seite zu Datensicherung und Notfallplan.

Was nicht enthalten ist

Diese Posten fehlen in den genannten Spannen:

• Pentest selbst: kein Katalogpreis; individuelles Angebot nach Scoping.
• Nachbesserung außerhalb der Pauschale: Härtung, Segmentierung, Rechtekonzept; nach Aufwand im Bereich von rund 100 bis 300 € netto je Stunde, je nach Qualifikation.
• Firewall-Pakete und Hardware: eigene Leistung, Umfang und Preis auf Anfrage; die Betreuung bestehender Firewalls ist in der Regel möglich.
• Managed SOC: Überwachung rund um die Uhr mit zentraler Auswertung (SIEM) ist ein eigener Dienst; Umfang und Preis auf Anfrage.
• Vor-Ort-Anfahrt: nach Vereinbarung beziehungsweise laut Angebot.
• Lizenzen Dritter: Microsoft 365, Cloud-Dienste, Software-Updates von Herstellern.
• Einrichtung: einmalig je Gerät oder Server, als Erfahrungswert rund 25 bis 300 €; im Rechenbeispiel nur für die Server angesetzt.
• Replikation und mobile Geräte: Replikation ins Rechenzentrum nach Speichermenge, wenige Cent je Gigabyte und Monat; mobile Geräte rund 5 bis 35 € je Gerät und Monat.
• Eigene Mitarbeiterzeit: Scoping-Gespräche, Freigaben, Rückfragen im Testfenster und Abstimmung zur Behebung.
• Umsatzsteuer: alle Angaben netto, zuzüglich 19 %.

Wer diese Liste vor der Beauftragung durchgeht, vergleicht Angebote auf derselben Grundlage. Der günstigste Test ist selten der mit der niedrigsten Zahl, sondern der mit dem klarsten Leistungsumfang. Das Scoping-Gespräch klärt, welche Posten im konkreten Fall anfallen; der Einstieg ist ein unverbindliches Erstgespräch.

bios-tec auf einen Blick

Weitere Informationen zum Vorgehen stehen auf den Seiten Penetrationstest und Managed Security.

Autor: Matthias Becker, Geschäftsführer der bios-tec GmbH.

Häufige Fragen