Pentest-Anbieter auswählen: Der ultimative Leitfaden

Wer einen Pentest-Anbieter auswählen möchte, sollte nicht nur Tagessätze vergleichen. Entscheidend sind ein eindeutig definierter Prüfumfang, nachweisbare Fachkompetenz, manuelle Sicherheitsprüfungen, nachvollziehbare Berichte und ein geregelter Umgang mit kritischen Funden. Ein günstiges Angebot kann sinnvoll sein – aber nur, wenn die tatsächlich erbrachte Prüfleistung zur eigenen Risikolage passt.

Für IT-Leitung, CISO und Einkauf ist der Markt nicht immer leicht zu überblicken: Manche Angebote enthalten einen automatisierten Schwachstellenscan, andere eine mehrtägige manuelle Untersuchung komplexer Angriffspfade. Beides kann einen Nutzen haben, beantwortet aber unterschiedliche Fragen. Dieser Leitfaden zeigt zehn Kriterien, mit denen Unternehmen Pentest-Angebote vergleichbar machen.

Warum sind Pentest-Angebote oft schwer vergleichbar?

Ein Angebot über drei Tage und eines über acht Tage können denselben Projektnamen tragen und dennoch sehr unterschiedliche Leistungen beschreiben. Vielleicht testet Anbieter A ausschließlich öffentlich erreichbare Dienste, während Anbieter B zusätzlich Benutzerrollen, interne Systeme und Angriffsketten untersucht. Ohne identischen Scope ist der Preisvergleich wenig aussagekräftig.

Ein professionelles Angebot beschreibt daher nicht nur die Anzahl der Projekttage, sondern auch die Prüfziele, erlaubten Methoden, Ausschlüsse, Ergebnisse und Grenzen der Aussagekraft. Die folgenden Kriterien eignen sich als Bewertungsgrundlage für die Beauftragung.

10 Kriterien, um den richtigen Pentest-Anbieter auszuwählen

1. Passt die Erfahrung zur konkreten Technologie?

Ein guter Webanwendungs-Pentester ist nicht automatisch auf Active Directory, industrielle Netzwerke oder Cloud-Berechtigungen spezialisiert. Fragen Sie nach der Erfahrung der tatsächlich eingesetzten prüfenden Person mit Ihrem Systemtyp: etwa API, Windows-Domäne, Kubernetes, Citrix oder Krankenhausnetzwerk.

Hilfreich sind anonymisierte Musterberichte und eine Erläuterung der Methodik. Referenzen dürfen aus Vertraulichkeitsgründen eingeschränkt sein. Entscheidend ist, ob der Anbieter konkrete technische Fragestellungen Ihres Projekts nachvollziehbar beantworten kann.

2. Wird der Scope vor dem Preis festgelegt?

Ein belastbares Angebot nennt Zielsysteme, Domains, IP-Bereiche, Anwendungen, Benutzerrollen und gegebenenfalls Sicherheitszonen. Ebenso wichtig sind ausdrücklich ausgeschlossene Komponenten. Fragen Sie, ob der Test aus dem Internet, einem internen Netz oder mit authentifizierten Testkonten erfolgt.

Fehlen diese Angaben, drohen Lücken und Nachträge. Die Vorbereitung sollte außerdem klären, wer Drittanbieter-Systeme autorisieren darf und ob produktionskritische Anlagen besondere Regeln benötigen.

3. Wie viel wird manuell geprüft?

Automatisierte Scanner sind nützlich, um Dienste, Konfigurationen und bekannte Schwachstellen effizient zu erfassen. Sie ersetzen jedoch keine fundierte Prüfung von Berechtigungen, Geschäftslogik oder der Kombination mehrerer Schwächen zu einem Angriffspfad.

Fragen Sie konkret: Werden Funde manuell verifiziert? Werden False Positives aussortiert? Werden horizontale und vertikale Berechtigungsfehler geprüft? Ein Anbieter sollte erklären können, wann Automatisierung eingesetzt wird und wo menschliche Analyse erforderlich ist.

4. Ist die Methodik nachvollziehbar?

Eine Methodik muss nicht aus einer langen Werkzeugliste bestehen. Wichtiger ist ein systematisches Vorgehen von der Planung über die technische Untersuchung bis zur Bewertung und Berichterstattung. Das NIST SP 800-115 beschreibt diese Phasen für technische Sicherheitsprüfungen. Für Webanwendungen bietet der OWASP Web Security Testing Guide eine fachliche Orientierung.

Bitten Sie um eine kurze Erklärung, wie der Anbieter Vollständigkeit innerhalb des vereinbarten Scopes anstrebt und dokumentiert, welche Bereiche nicht geprüft werden konnten.

5. Wer führt den Test tatsächlich durch?

Fragen Sie nach den Qualifikationen und der Erfahrung der eingesetzten Person, nicht nur nach Logos auf der Unternehmenswebsite. Praktische Zertifizierungen können ein hilfreicher Kompetenznachweis sein, garantieren aber weder einen vollständigen Test noch die Eignung für jedes Spezialgebiet.

Auch ein kleines spezialisiertes Unternehmen kann geeignet sein. Wichtig sind die konkrete Verantwortung für Durchführung, Qualitätssicherung und Bericht sowie eine transparente Kommunikation bei Personalwechseln.

6. Sind Rules of Engagement und Notfallwege geregelt?

Die Rules of Engagement definieren zulässige Testmethoden, Zeitfenster, Abbruchkriterien und Ansprechpartner. Klären Sie beispielsweise, ob Passwortangriffe, Social Engineering, kontrollierte Ausnutzung oder Tests gegen produktive Systeme erlaubt sind.

Besonders in Kliniken und Produktionsbetrieben sollte der Anbieter kritische Dienste und mögliche Betriebsrisiken vorab berücksichtigen. Ein klarer Eskalationsweg ist essenziell, wenn während des Tests eine schwerwiegende Schwachstelle entdeckt wird.

7. Wie sieht ein guter Pentest-Bericht aus?

Fordern Sie einen anonymisierten Musterbericht an. Eine brauchbare Dokumentation enthält eine Management Summary, den geprüften Scope, die Methodik, eine Risikopriorisierung und konkrete Handlungsempfehlungen. Technische Findings sollten mit betroffenen Systemen, Voraussetzungen und reproduzierbaren Nachweisen beschrieben werden.

Eine reine Liste von CVE-Nummern oder Scanner-Screenshots reicht dafür nicht aus. Das Management muss die geschäftlichen Auswirkungen verstehen, während das IT-Team die Ursachen beheben können muss.

8. Werden kritische Findings sofort gemeldet?

Ein kritischer Fund darf nicht zwangsläufig bis zum Abschlussbericht liegen bleiben. Fragen Sie, wie der Anbieter mit akut ausnutzbaren Schwachstellen umgeht: Wer wird informiert, wie schnell erfolgt die Meldung und wie werden sensible Nachweise sicher übertragen?

Ein abgestimmtes Verfahren reduziert Reaktionszeit und Missverständnisse. Es sollte zugleich vermeiden, dass ungesicherte Zugangsdaten oder sensible Dokumente in gewöhnlichen E-Mails landen.

9. Sind Ergebnisbesprechung und Retest enthalten?

Der Bericht ist der Beginn der Nachbearbeitung. Sinnvoll sind eine gemeinsame Besprechung, die Priorisierung der Maßnahmen und ein definierter Prozess für Rückfragen. Ein Retest überprüft anschließend, ob ausgewählte Schwachstellen tatsächlich behoben wurden.

Vergleichen Sie, ob ein Retest im Preis enthalten, optional buchbar oder nach Aufwand berechnet wird. Prüfen Sie auch, wie lange das Angebot dafür gültig ist und ob ein Retest nur die ursprünglichen Findings umfasst.

10. Ist die Preisstruktur transparent?

Ein günstiger Tagessatz ist wenig wert, wenn wesentliche Leistungen fehlen. Achten Sie auf die Anzahl der Prüftage, Vorbereitungsaufwand, Berichtserstellung, Ergebnisbesprechung, mögliche Reisekosten und Retest. Fragen Sie, wie zusätzliche Zielsysteme oder unerwartete Änderungen behandelt werden.

Für eine erste Budgetorientierung erläutert yatesh die Kosten und typischen Einflussfaktoren eines Penetrationstests. Ein fairer Vergleich setzt jedoch voraus, dass alle Anbieter denselben Scope und dieselben erwarteten Ergebnisse kalkulieren.

Praxisbeispiel: Zwei Angebote, zwei unterschiedliche Leistungen

Ein mittelständisches Unternehmen möchte ein Kundenportal prüfen lassen. Angebot A umfasst einen nicht authentifizierten Scan der öffentlichen Domain. Angebot B umfasst zusätzlich zwei Benutzerrollen, API-Endpunkte, Datei-Uploads und die Prüfung der Mandantentrennung. Beide Angebote können formal als „Web-Pentest“ bezeichnet sein.

Für die Geschäftsfrage „Können Kunden auf Daten anderer Kunden zugreifen?“ liefert Angebot A jedoch nur begrenzte Erkenntnisse. Angebot B passt besser zur gewünschten Aussage – vorausgesetzt, der vereinbarte Zeitrahmen reicht für die Anwendung. Der beste Pentest ist nicht automatisch der umfangreichste, sondern derjenige, der die relevante Sicherheitsfrage belastbar untersucht.

So vergleichen Sie Angebote objektiv

Erstellen Sie vor der Anfrage eine kurze Leistungsbeschreibung und geben Sie allen Anbietern dieselben Informationen. Bewerten Sie anschließend nicht nur den Gesamtpreis, sondern auch die fachliche Abdeckung und die Qualität der vorgesehenen Ergebnisse.

• Prüfziel: Welches konkrete Angriffsszenario soll untersucht werden?
• Scope: Welche Systeme, Rollen und Netzwerkpositionen sind enthalten?
• Testtiefe: Welche manuellen Prüfungen und Verifikationen sind vorgesehen?
• Lieferumfang: Welche Berichte, Nachweise, Gespräche und Retests sind enthalten?
• Rahmenbedingungen: Welche Freigaben, Risiken, Termine und Zusatzkosten bestehen?

Wenn Sie mehrere Angebote erhalten, können Sie diese fünf Punkte in einer einfachen Vergleichsmatrix mit „erfüllt“, „teilweise erfüllt“ oder „nicht beschrieben“ bewerten. Fehlende Angaben sollten vor einer Entscheidung geklärt werden.

Fazit: Den Anbieter nach dem Prüfziel auswählen

Ein guter Pentest-Anbieter versteht Ihre technische Umgebung, definiert klare Testgrenzen, verifiziert relevante Schwachstellen und liefert Ergebnisse, mit denen Ihr Unternehmen arbeiten kann. Wer diese Kriterien bereits bei der Angebotsanfrage berücksichtigt, vermeidet schwer vergleichbare Leistungen und unnötige Nacharbeiten.

Sie möchten einen Penetrationstest beauftragen? Bei yatesh können Sie den geplanten Prüfumfang besprechen und klären, welche Infrastruktur-, Netzwerk-, Web- oder API-Prüfung zu Ihrer Fragestellung passt. So entsteht ein Angebot, das sich an Ihrer tatsächlichen Angriffsfläche orientiert.