Was kostet ein Penetrationstest für ein KMU?
Der Preis hängt vom Scope ab: Zahl der Systeme, Größe der Anwendung, externe oder interne Sicht, ob nur eine Webanwendung oder auch Active Directory geprüft wird. Ein einzelner Web-App-Pentest ist deutlich weniger Aufwand als ein vollumfänglicher Test gegen die gesamte Infrastruktur. Nach dem Abstimmungsgespräch nennen wir einen Festpreis-Rahmen, keine offenen Stundensätze. Als Orientierung aus dem Markt: Ein seriöser, manueller Pentest ist unter etwa 3.000 bis 4.000 € praktisch nicht darstellbar, weil dahinter mehrere Personentage echte Analyse und Berichtserstellung stecken. Wer weniger anbietet, verkauft in der Regel einen automatisierten Scan.
Was unterscheidet einen Penetrationstest von einem Schwachstellenscan?
Ein Schwachstellenscan ist ein automatisierter Werkzeug-Lauf, meist Nessus, OpenVAS oder Burp im passiven Modus. Er findet bekannte, signaturbasierte Schwachstellen und produziert viele Fehlalarme. Ein Penetrationstest ist manuelle Analyse mit Angreifer-Mindset: Wir verketten Schwachstellen, umgehen Schutzmechanismen und finden Geschäftslogik-Fehler, die kein Scanner erkennt, etwa eine manipulierbare Preisänderung im Checkout oder den Zugriff auf fremde Kundendaten über eine ID im Request. Scanner nutzen wir als Ergänzung, der Wert steckt aber in der manuellen Prüfung.
Warum sind Angebote unter 3.000 € meist automatisierte Scans?
Ein manueller Pentest kostet Zeit: Aufklärung, Angriff, Verkettung von Schwachstellen, sauberer Bericht mit Reproduktions-Schritten. Das sind mehrere Personentage pro Engagement. Wer einen Pentest für ein paar hundert Euro anbietet, lässt in der Regel ein Scan-Werkzeug laufen und exportiert dessen Bericht. Das liest sich wie ein Pentest, findet aber nur, was ein Scanner ohnehin findet, und übersieht genau die Geschäftslogik-Schwachstellen, wegen denen echte Einbrüche passieren. Der Preisunterschied ist kein Aufschlag, sondern der Unterschied zwischen Mensch und Maschine.
Welche Förderung gibt es in NRW für IT-Sicherheit?
Das Land Nordrhein-Westfalen fördert Penetrationstests über das Programm MID-Digitale Sicherheit (Mittelstand Innovativ & Digital). Penetrationstests und die Behebung gefundener Schwachstellen sind dort ausdrücklich als förderfähig genannt. Der Fördersatz liegt bei 50 % der förderfähigen Ausgaben, die maximale Zuwendung bei 15.000 €, die Untergrenze der Fördersumme bei 4.000 €. Antragsberechtigt sind Kleinst-, kleine und mittlere Unternehmen mit Sitz in NRW, seit 2026 läuft die Abwicklung über die NRW.BANK. Wir weisen im Erstgespräch auf die Förderung hin, die Antragstellung selbst liegt bei Ihnen.
Externer oder interner Penetrationstest, was ist der Unterschied?
Ein externer Pentest prüft, was ein Angreifer aus dem Internet erreicht: Ihre Website, Ihr Mail-Gateway, exponierte Dienste am Perimeter. Ein interner Pentest geht von der Annahme aus, dass ein Angreifer bereits im Netz ist, etwa über eine Phishing-Mail oder ein infiziertes Notebook, und prüft, wie weit er von dort kommt, bis hin zu Domain Admin. Für die meisten KMU in Korschenbroich und im Rhein-Kreis Neuss ist eine Kombination sinnvoll, weil reale Vorfälle fast immer innen weitergehen. Was für Ihren Reifegrad verhältnismäßig ist, sagen wir im Abstimmungsgespräch ehrlich.
Noch Zweifel? Stellen Sie uns auf die Probe.
Erzählen Sie uns, warum Ihr Fall angeblich „viel zu kompliziert“ ist. Wir finden die Lösung, oder sagen Ihnen ehrlich, wenn wir nicht die Richtigen sind.
Jetzt Kontakt aufnehmen