Was kostet ein Penetrationstest? Preistreiber, Abrechnungsmodelle und wie Du ein Angebot liest

Warum es keinen Listenpreis gibt

Ein Penetrationstest ist Arbeitszeit von Menschen mit einer knappen Qualifikation, angewendet auf einen Umfang, den Du definierst. Zwei Angebote mit derselben Summe können deshalb völlig verschiedene Leistungen beschreiben: Der eine Anbieter prüft ein Kundenportal drei Tage lang aus zwei Perspektiven und testet die Behebung nach. Der andere lässt ein Werkzeug über zwanzig IP-Adressen laufen und schreibt die Ausgabe in ein PDF.

Wer nach dem Preis fragt, muss deshalb zuerst nach dem Umfang fragen. Das ist keine Floskel, sondern die einzige Möglichkeit, Angebote überhaupt zu vergleichen.

Die fünf Preistreiber

Scope

Die Anzahl der Anwendungen, Schnittstellen, Netzsegmente und Zugangswege. Eine Webanwendung mit Login, Rollen und Zahlungsfunktion ist ein anderer Aufwand als eine statische Website. Ein Angebot sollte die Ziele einzeln benennen und sagen, was ausdrücklich nicht in Reichweite ist.

Perspektive

Von außen ohne Zugang, mit den Rollen, die Deine Kunden und Mitarbeitenden tatsächlich haben, oder aus dem internen Netz. Jede zusätzliche Perspektive kostet Zeit und beantwortet eine andere Frage. Ein Test, der nur von außen prüft, sagt nichts darüber, was ein angemeldeter Nutzer oder ein kompromittierter Arbeitsplatz erreichen kann.

Testtage

Die eigentliche Währung. Seriöse Anbieter nennen die Zahl der Personentage, die sie für den Scope ansetzen, und begründen sie. Wird die Zahl nicht genannt, frag danach. Wird sie genannt und liegt sie auffällig niedrig, ist das kein Effizienzgewinn, sondern kürzeres Hinsehen.

Bericht

Ein Bericht, der jeden Befund mit Reproduktionsschritten, Auswirkung im Kontext Deines Unternehmens und konkreter Behebungsempfehlung dokumentiert, ist Arbeit. Ein Bericht, der die Ausgabe eines Scanners mit einem Deckblatt versieht, ist es nicht. Der Unterschied zeigt sich nach dem Test: Der eine lässt sich in Tickets übersetzen, der andere in Rückfragen.

Nachtest

Die Prüfung, ob die behobenen Befunde tatsächlich geschlossen sind. Ohne Nachtest ist ein Pentest eine Bestandsaufnahme mit Datum; mit Nachtest ist er ein Nachweis. Ob der Nachtest enthalten ist, steht im Angebot oder eben nicht.

Drei Abrechnungsmodelle und was sie über den Anbieter sagen

Nach Testtagen

Transparent und leicht zu vergleichen. Das Risiko liegt beim Umfang: Reichen die Tage nicht, endet der Test, bevor die Arbeit fertig ist, oder es folgt ein Nachtrag. Gut für klar abgegrenzte Einzelprüfungen mit erfahrenem Ansprechpartner auf Deiner Seite.

Pauschal je Scope

Planbar, solange der Scope schriftlich steht. Fehlt die Abgrenzung, wird die Pauschale nach dem Test zur Verhandlungssache, weil jede Seite etwas anderes unter dem Umfang verstanden hat. Gut für wiederkehrende Prüfungen derselben Systeme.

Jahreslizenz je Zielsystem

Das Modell automatisierter Plattformen: Ein Preis je System, beliebig viele Testläufe im Jahr, ausgelöst bei jedem Release oder nach Zeitplan. Sinnvoll, wenn sich Deine Anwendungen häufig ändern und Du zwischen zwei Jahrestests nicht blind sein willst. Weniger sinnvoll für Systeme, die sich kaum ändern, und für Fragen der Geschäftslogik, die ein Werkzeug konstruktionsbedingt übersieht.

Keines der drei Modelle ist per se günstiger. Sie beantworten verschiedene Fragen, und das Angebot sollte erkennen lassen, welche.

Was in keinem Angebot fehlen darf

• Eine Verschwiegenheitsvereinbarung, unterzeichnet vor dem ersten inhaltlichen Gespräch
• Der Scope als Liste, mit dem, was ausdrücklich nicht geprüft wird
• Die Perspektive je Ziel und die dafür benötigten Testkonten
• Die benannte Methodik, etwa OWASP für Webanwendungen, NIST oder OSSTMM für Infrastruktur
• Die Anzahl der Personentage und die Qualifikation der Testenden
• Der Aufbau des Berichts, idealerweise mit einem anonymisierten Muster
• Der Nachtest, mit Zeitraum und Umfang
• Der Speicherort für Befunde und Berichte und die Auftragsverarbeiter dahinter
• Ein Notfallkontakt auf beiden Seiten für den Fall, dass etwas ausfällt

Fehlt einer dieser Punkte, ist das kein Ausschlusskriterium, aber ein Grund nachzufragen. Fehlen drei, ist es einer.

Warum wir das erklären, obwohl wir nicht testen

CAVRIX führt keine Penetrationstests durch. Wir sagen Dir, ob Du einen brauchst, helfen beim Lesen des Angebots und übernehmen den Teil nach dem Bericht: Befunde priorisieren, Behebung begleiten, Nachtest terminieren, Nachweise so dokumentieren, dass sie gegenüber Kunden, Versicherern und Prüfern Bestand haben. Wer beides aus einer Hand verspricht, prüft am Ende die eigene Arbeit. Deshalb haben wir an der Anbieterwahl kein Eigeninteresse, und deshalb können wir bei der Frage nach dem Preis ehrlich sein: Der günstigste Test ist der, dessen Befunde behoben werden.