Penetrationstest für kleine Unternehmen: Ablauf, Nutzen und Kosten

Die Antwort sofort: Ein Penetrationstest ist ein kontrollierter, schriftlich genehmigter Versuch, in Ihr Netzwerk, Ihre Anwendung oder an Ihre Daten zu gelangen — durchgeführt von einem Menschen, der Schwachstellen nicht nur findet, sondern versucht, sie auszunutzen und miteinander zu verketten. Genau darin unterscheidet er sich grundlegend vom automatischen Schwachstellenscan, der lediglich Softwareversionen mit einer Liste bekannter Lücken abgleicht. Der Preis richtet sich nicht nach der Größe der Firma, sondern nach dem Umfang: Anzahl der Adressen, Anwendungen und Szenarien, Testtiefe und der Frage, ob ein Retest nach den Korrekturen inbegriffen ist. Ein seriöser Anbieter klärt deshalb zuerst den Umfang und gibt erst dann ein verbindliches Angebot ab — ein „Pentest”, der postwendend und verdächtig günstig angeboten wird, ist meist nur ein weiterverkauftes Scanner-Ergebnis. Für kleine Unternehmen ist es oft am sinnvollsten, mit einer Gap-Analyse im Rahmen eines IT-Audits zu beginnen und den Pentest dort anzusetzen, wo sich das größte Risiko zeigt.

„Uns greift niemand an, wir sind keine Bank.” Diesen Satz hört man in kleinen Firmen oft — und er beruht auf dem Irrtum, dass Angreifer ihre Ziele von Hand aussuchen. Die meisten heutigen Angriffe funktionieren umgekehrt: Automatisierte Kampagnen scannen das gesamte Internet, suchen nach verwundbaren VPN-Gateways, vergessenen Websites und falsch konfigurierten Diensten — und erst nach dem, was sie finden, entscheidet sich, was mit dem Opfer geschieht. Genau so enden Firmen mit verschlüsseltem Speicher — wie ein solcher Angriff konkret abläuft, beschreiben wir an Fällen von Ransomware auf dem NAS.

Ein Penetrationstest macht dasselbe wie ein Angreifer, nur früher, kontrolliert und mit einem Bericht statt einer Lösegeldforderung. Dieser Text erklärt, was man sich darunter vorstellen muss, wie er abläuft, was Sie tatsächlich bekommen und woraus sich der Preis zusammensetzt — denn gerade beim Preis schweigen die meisten Anbieter, und die Angebote lassen sich dann nicht vergleichen.

Penetrationstest vs. Schwachstellenscan

Das häufigste Missverständnis am Markt: Eine Firma bestellt einen „Penetrationstest” und bekommt ein automatisch generiertes PDF aus dem Scanner. Beides hat seine Berechtigung, aber es sind zwei verschiedene Leistungen mit einem um Größenordnungen unterschiedlichen Aufwand.

Der Scan ist nützliche Hygiene und taucht in einem guten Pentest als einer der ersten Schritte auf. Zum Problem wird er, wenn er als fertiger Penetrationstest verkauft wird. Erkennungsmerkmal: Der Bericht enthält nur eine Tabelle von Schwachstellen mit CVSS-Score, keine Beschreibung dessen, was dem Tester tatsächlich gelungen ist, keine Szenarien, keine Nachweise. Für ein solches Ergebnis den Preis menschlicher Arbeit zu zahlen, ergibt keinen Sinn.

Was bei einer kleinen Firma tatsächlich getestet wird

Der Umfang setzt sich aus Bausteinen zusammen, und genau deren Auswahl bestimmt sowohl den Nutzen als auch den Preis:

• Externer Perimeter — alles, was aus dem Internet sichtbar ist: öffentliche IP-Adressen, VPN-Gateway, Firewall, Remotedesktops, Mailserver, Website. Für kleine Firmen meist die erste Wahl, weil sie die Perspektive automatisierter Angriffe nachbildet.
• Internes Netzwerk — das Szenario „was passiert, wenn ein Angreifer nach innen gelangt”: kompromittiertes Notebook, schädlicher Anhang, Besuch mit Netzwerkkabel. Getestet wird, wie weit man von einem Mitarbeiterrechner aus kommt, typischerweise bis zur Buchhaltung, den Backups und dem Domänenadministrator.
• Webanwendung oder Onlineshop — Tests nach der OWASP-Methodik: Anmeldung, Rollenrechte, Umgang mit Eingaben, Zahlungen, API.
• WLAN — Trennung der Gäste vom Firmennetz, Stärke der Absicherung, Reichweite außerhalb des Gebäudes.
• Social Engineering — kontrolliertes Phishing gegen Mitarbeitende. Eine heikle Disziplin, die nur mit klaren Regeln und ohne öffentliches Anprangern einzelner Personen sinnvoll ist.

Dazu wird der Wissensstand gewählt, mit dem der Tester startet: Black Box (er weiß nichts, wie ein echter Angreifer von außen), Grey Box (er bekommt ein normales Benutzerkonto) und White Box (er bekommt Dokumentation und Konfigurationen). Grey Box bietet kleineren Firmen meist das beste Verhältnis von Preis und Nutzen — Sie zahlen keine Arbeitstage dafür, dass jemand herausfindet, was Sie ihm ohnehin sagen würden.

Wie ein Penetrationstest Schritt für Schritt abläuft

1. Festlegung des Umfangs (Scoping). Was genau getestet wird, von wann bis wann, von welchen Adressen aus, was verboten ist (z. B. Eingriffe in die Produktivdatenbank) und wen man anruft, wenn etwas schiefgeht. Ohne ordentliches Scoping lässt sich kein ehrlicher Preis nennen.
2. Schriftliche Genehmigung und Verschwiegenheit. Vertrag und Testautorisierung sind Voraussetzung, keine Formalität — dieselbe Tätigkeit ohne Zustimmung des Systeminhabers ist eine Straftat des unbefugten Zugriffs auf ein Computersystem. Dazu gehört auch eine NDA, denn der Tester bekommt Einblick in die Firma.
3. Aufklärung und Kartierung. Was über die Firma öffentlich auffindbar ist, welche Dienste laufen, welche Technologien und Versionen. Hierher gehört auch der automatisierte Scan — als Eingangsgröße, nicht als Ergebnis.
4. Der eigentliche Test. Manuelle Verifikation der Befunde, Ausnutzungsversuche und Verkettung: schwaches Passwort bei einem Dienst plus alte Version beim nächsten plus überzogene Berechtigungen ergibt den Weg zu den Daten. Das ist der Kern der Arbeit und der Grund, warum ein Test Tage dauert.
5. Bericht und Präsentation. Zwei Ebenen: Zusammenfassung für die Geschäftsführung (was uns real droht und was zuerst zu beheben ist) und ein technischer Teil für die Administratoren (Reproduktionsschritte für jeden Befund, empfohlene Behebung).
6. Retest. Nach den Korrekturen werden die kritischen Befunde erneut überprüft. Fragen Sie vorab, ob der Retest im Preis enthalten ist — genau hier unterscheiden sich die Angebote häufig.

Was ein Penetrationstest kostet

Nun zu der Frage, wegen der Sie vermutlich hier sind — und bei der die meisten Wettbewerber schweigen. Der Grund ist keine Geheimniskrämerei, sondern dass ein „Pentest” ohne Umfang wie ein „Hausbau” ohne Bauplan ist. Der Preis ergibt sich aus dem Aufwand: Anzahl der Personentage × Tagessatz des Spezialisten. Was den Aufwand erhöht:

• Breite des Umfangs — Anzahl öffentlicher Adressen, Anwendungen, Rollen in der Anwendung, Standorte;
• Tiefe — Black Box ist aufwendiger als Grey Box, das interne Szenario aufwendiger als das externe;
• Art des Ziels — eine Webanwendung mit Zahlungen und API ist eine andere Liga als die Prüfung des Perimeters;
• was inbegriffen ist — Retest, Präsentation für die Geschäftsführung, gegebenenfalls Wiederholung nach einem Jahr;
• Seniorität des Testers — sinnvoll ist die Frage nach Praxis und Zertifizierungen (z. B. OSCP).

Als Orientierung gilt: Bei einer kleinen Firma mit einer Website und einem Perimeter sprechen wir von einigen wenigen Arbeitstagen, nicht von Wochen — dem entspricht auch der Preis. Den konkreten Betrag nennt Ihnen seriös erst ein Angebot für einen exakt abgegrenzten Umfang; alles andere ist ins Blaue geschossen. Unsere Sätze und unser Kooperationsmodell finden Sie in der Preisliste für IT-Dienstleistungen, und ein verbindliches, maßgeschneidertes Angebot erstellen wir nach einer kurzen Gap-Analyse im Rahmen des IT-Audits für Unternehmen — diese beantwortet zugleich die Frage, ob ein Pentest der richtige erste Schritt ist oder ob Sie an anderer Stelle eine größere Lücke haben.

Verlangen Sie beim Vergleich von Angeboten überall dasselbe auf dem Papier: gleicher Umfang, gleiche Stufe (Black/Grey Box), Angaben zum Retest und einen Musterbericht. Und achten Sie auf rote Flaggen:

• ein Preis, der postwendend genannt wird, ohne eine einzige Frage zum Umfang;
• das Versprechen „wir testen alles” — alles lässt sich nicht testen, testen lässt sich ein abgegrenzter Umfang;
• eine garantierte „Einbruchsquote” — ein seriöser Tester verspricht das Ergebnis nicht im Voraus;
• ein Ergebnis, das nur ein Export aus dem Scanner ist (siehe oben).

Warum auch kleine Firmen nach Pentests fragen: NIS2 und Lieferketten

Das neue tschechische Cybersicherheitsgesetz Nr. 264/2025 Sb. (Gesetzessammlung), das die europäische NIS2-Richtlinie in tschechisches Recht überführt, ist seit dem 1. November 2025 in Kraft. Auch Firmen, die nicht direkt darunterfallen, spüren seine Wirkung auf Umwegen: Größere Kunden verlangen von ihren Lieferanten zunehmend Nachweise darüber, wie die Absicherung geregelt ist — per Fragebogen, Audit, manchmal direkt mit dem Ergebnis eines Penetrationstests. Ein Pentest mit Bericht ist in einem solchen Moment eine konkrete Antwort statt eines Versprechens.

Ein Hinweis zu den Begriffen: Ein Cyber-Audit ist nicht dasselbe wie ein Audit der physischen Infrastruktur. Die Prüfung von Verteilerschränken, Switches und Trassen, die wir im Artikel über das Audit von Computernetzwerk und Verkabelung beschreiben, erfasst den Zustand von innen; der Penetrationstest prüft die Widerstandsfähigkeit aus der Perspektive des Angreifers. Das beste Bild ergeben beide zusammen — das Audit sagt, was Sie haben, der Pentest zeigt, was sich davon ausnutzen lässt.

Was nach dem Test zu tun ist

Ein Bericht, der in der Schublade landet, ist eine verlorene Investition. Nach dem Test ist sinnvoll:

1. Die Befunde nach der Priorität aus dem Bericht beheben — kritische sofort, mittlere mit Termin, niedrige im Wartungsplan.
2. Die Backups überprüfen. Ein Pentest zeigt oft, dass ein Angreifer auch an die Backups käme — und ein Backup, das sich aus demselben Netz löschen lässt, ist kein Schutz gegen Ransomware. Wie man Kopien nach der 3-2-1-Regel einrichtet, erläutern wir im Artikel über die externe Festplatte als einziges Backup.
3. Erkennung einführen. Die meisten Befunde haben einen gemeinsamen Nenner: Niemand hätte den Angriff bemerkt. Logging, Monitoring und Endgeräteschutz müssen kein Konzernprojekt sein — die Erkennung auf Endgeräten lösen wir auch mit Eigenentwicklung, siehe wie wir unser eigenes KI-Antivirus bauen.
4. Die Wiederholung einplanen. Nach einer grundlegenden Änderung der Infrastruktur, dem Rollout einer neuen Anwendung oder dem Wechsel des IT-Dienstleisters lohnt es sich, den Test zu wiederholen — das Netz aus dem letztjährigen Bericht existiert nicht mehr.

Wenn Sie nicht wissen, wo Sie anfangen sollen, oder zunächst unverbindlich besprechen möchten, was bei Ihnen zu testen sinnvoll ist, schreiben Sie uns — Umfang und Preis bekommen Sie vorab, schwarz auf weiß.

Häufige Fragen

Wie lange dauert ein Penetrationstest?

Je nach Umfang typischerweise einige wenige Tage reine Arbeit plus Zeit für den Bericht; kalendarisch sollten Sie ein längeres Fenster einplanen, weil mit Rücksicht auf den laufenden Betrieb getestet wird. Der genaue Zeitplan ist Teil des Scopings.

Kann der Test etwas kaputt machen oder einen Ausfall verursachen?

Das Risiko steuern die vorab vereinbarten Regeln: Destruktive Techniken werden ausgelassen, sensible Systeme außerhalb der Spitzenzeiten oder an einer Kopie getestet, und für den Fall von Problemen gibt es einen vereinbarten Kontakt. Null Risiko gibt es nicht, aber ein kontrollierter Test ist unvergleichlich sicherer als ein echter Angriff, der dessen Fehlen früher oder später ausnutzt.

Wie oft sollte man einen Penetrationstest wiederholen?

Mindestens nach jeder größeren Änderung — neue Anwendung, neuer Server, Umbau des Netzes, Wechsel des IT-Dienstleisters. In einer stabilen Umgebung ist ein regelmäßiges Intervall sinnvoll; zwischen den Tests halten laufende Schwachstellenscans das Niveau.

Reicht nicht ein kostenloser Schwachstellenscan?

Als erste Hygiene ja — er deckt vergessene Dienste und alte Versionen auf. Er sagt Ihnen aber nicht, was sich mit den Befunden real anstellen lässt, verifiziert keine Fehlalarme und verkettet keine Kleinigkeiten zu einem echten Einbruch. Der Scan ist das Fieberthermometer, der Pentest die Untersuchung.

Brauchen wir wegen NIS2 einen Pentest?

Das hängt davon ab, ob Sie unter einen regulierten Dienst nach dem Gesetz Nr. 264/2025 Sb. (Gesetzessammlung) fallen — das ist die erste Frage, die eine Gap-Analyse mit Ihnen durchgeht. Aber auch außerhalb der direkten Regulierung verlangen Kunden und Versicherer einen Pentest häufig als Beleg dafür, dass Sie sich um die Absicherung kümmern.