MATPROOF AUF IHREM STACK ERLEBEN — BUCHEN SIE EINE 30-MINUTEN-DEMO

Penetrationstest Kosten in Deutschland: jede Zahl mit Quelle

Diese Seite nennt keine geschätzten Preise. Sie nennt die Preise, die deutsche Pentest-Anbieter selbst veröffentlichen, mit Link und Prüfdatum. Ein Web-App-Pentest startet bei einem Anbieter mit Festpreisliste ab €6.750, ein externer Netzwerk-Pentest ab €5.400, ein interner ab €8.100, ein Full-Scope-Test ab €11.000. Die veröffentlichten Tagessätze im DACH-Markt liegen zwischen €1.160 und €1.960. Wo kein Anbieter einen Preis veröffentlicht, sagen wir das offen statt zu schätzen. Matproof Sentinel liefert einen audit-tauglichen Bericht mit Proof-of-Exploit pro Befund ab €149. Starten Sie zuerst einen kostenlosen 3-Minuten-Scan.

MW
Geschrieben von Malte Wagenbach
Gründer von Matproof Security. Spezialisiert auf KI-gestützte Penetrationstests und EU-Compliance (DORA, NIS2, BSI Grundschutz, ISO 27001).
Zuletzt überprüft: 19. August 2026

Was ein Penetrationstest in Deutschland tatsächlich kostet

Deutsche Beratungshäuser rechnen nach Personentagen. Der Angebotspreis ist Tagessatz mal Testtage plus Berichtstage. Deshalb schwankt die Zahl stark mit dem Umfang. Die veröffentlichten Tagessätze im DACH-Markt liegen zwischen €1.160 und €1.960 pro Tag. Ein Anbieter mit offener Festpreisliste nennt €1.350 netto pro Tag und leitet daraus feste Paketpreise ab: Web-Applikation ab €6.750, externes Netzwerk ab €5.400, internes Netzwerk ab €8.100. Ein zweiter Anbieter veröffentlicht Spannen statt Einstiegspreise: Web Application €7.000 bis €10.000, API €7.000 bis €9.500, Netzwerk €8.500 bis €12.000, Full-Scope ab €11.000. Ein dritter nennt für professionelle manuelle Tests eine Projektspanne von €3.000 bis €25.000 bei 2 bis 20 Testtagen. Diese Zahlen stehen unten in der Tabelle, jede mit ihrer Quelle. Achten Sie neben dem Angebotspreis auf drei Punkte, die die echten Kosten treiben. Erstens der Re-Test: er ist bei manuellen Pentests selten enthalten und kostet laut einem Anbieter-Leitfaden €1.000 bis €2.000. Zweitens die Testdauer: ein Web-App-Test dauert beim Festpreis-Anbieter 5 bis 10 Werktage, ein Infrastrukturtest 10 bis 20 Werktage. Dazu kommt die Wartezeit bis zum Testbeginn. Drittens die Frequenz: ein Bericht ist eine Momentaufnahme. Er sagt nichts über den Code, den Sie nächsten Monat ausliefern. Die richtige Frage lautet daher nicht nur „was kostet ein Test“, sondern „was kostet eine aktuelle, audit-taugliche Antwort pro Jahr“.

  • Der Umfang treibt den Preis am stärksten. Beim selben Anbieter kostet eine kleine Web-App mit einer Rolle €3.000 bis €8.000, eine mittlere mit mehreren Rollen und API €8.000 bis €20.000, eine komplexe SPA €15.000 bis €50.000.
  • Bei internen Tests zählt die Hostzahl. Ein Anbieter nennt €5.000 bis €12.000 für bis zu 50 Hosts und €10.000 bis €25.000 für bis zu 200 Hosts.
  • Der Tagessatz ist der zweite Hebel. Veröffentlicht sind €1.160, €1.350 netto und €1.470 bis €1.960 pro Tag. Der Großteil der Kosten eines klassischen Pentests ist menschliche Zeit, nicht Tooling.
  • Prüfen Sie die Nebenkosten. Der Re-Test kostet laut Anbieter-Leitfaden €1.000 bis €2.000 und ist meist nicht im Preis enthalten.
  • Red Teaming ist etwas anderes und kostet anderes: €25.000 bis €100.000 und mehr. Vergleichen Sie es nicht mit einem Pentest.
  • Kein deutsches Amt und kein deutscher Verband veröffentlicht eine Preisstatistik für Penetrationstests. Das BSI veröffentlicht einen Praxis-Leitfaden für IS-Penetrationstests. Der Leitfaden beschreibt das Vorgehen auf 34 Seiten und nennt keinen einzigen Preis. Wer eine amtliche deutsche Durchschnittszahl zitiert, hat sie nicht von einer amtlichen Stelle.
  • Kontinuierliches, produktisiertes Testing verändert die Stückkosten. Matproof Sentinel kostet €149 pro Lauf oder €299 pro Monat unbegrenzt. Das ist weniger als ein einzelnes klassisches Engagement pro Jahr.

Penetrationstest-Preis nach Umfang: veröffentlichte DE-Preise gegen Matproof Sentinel

  • Web Application Pentest. Veröffentlicht: ab €6.750 Festpreis, an anderer Stelle €7.000 bis €10.000. Matproof Sentinel: ab €149 pro Bericht oder €299 pro Monat kontinuierlich.
  • Externer Netzwerk-Pentest. Veröffentlicht: ab €5.400 Festpreis, Spanne €3.000 bis €8.000. Matproof Sentinel: ab €149 oder €299 pro Monat.
  • API-Penetrationstest. Veröffentlicht: €7.000 bis €9.500 bei einem Anbieter. Nur dieser Anbieter veröffentlicht einen eigenständigen API-Preis. Bei Matproof Sentinel ab €149 enthalten.
  • Interner Netzwerk-Pentest. Veröffentlicht: ab €8.100 Festpreis, €5.000 bis €12.000 bis 50 Hosts, €10.000 bis €25.000 bis 200 Hosts. Matproof Sentinel Growth: €1.490 pro Monat.
  • Full-Scope-Test. Veröffentlicht: ab €11.000 bei einem Anbieter. Matproof Sentinel Growth: €1.490 pro Monat.
  • Cloud-Pentest. Veröffentlicht: €9.000 bis €13.000 bei einem Anbieter. Ein zweiter geprüfter Anbieter gibt dafür „Auf Anfrage“ an.
  • Re-Test nach Behebung. Veröffentlicht: €1.000 bis €2.000 in einem Anbieter-Leitfaden. Von den geprüften Anbietern veröffentlicht sonst keiner einen Re-Test-Preis. Bei Matproof Sentinel kostenlos enthalten.
  • Kontinuierliches Testing pro Deploy. Keiner der geprüften deutschen Anbieter veröffentlicht dafür einen Abo-Preis. Matproof Sentinel: €299 pro Monat unbegrenzt, bis 3 Domains.
  • Mobile-App-, IoT- und Red-Team-Tests. Ein Anbieter gibt dafür „Auf Anfrage“ an, ein anderer nennt für Red Teaming €25.000 bis €100.000 und mehr.
  • Audit-taugliches Compliance-Mapping auf ISO 27001, SOC 2, NIS2 und DORA. Bei jedem Matproof-Sentinel-Bericht enthalten.

Beispiel-Befund

Info

Die echte Kostenfrage: Preis pro Engagement gegen Kosten eines Vorfalls

Ein einzelner kritischer Web-Application-Befund kann Kundendaten offenlegen, etwa ein Fehler in der Autorisierung. Bleibt er bis zur Ausnutzung unentdeckt, entstehen Kosten für Bußgelder, Meldepflichten, verlorene Enterprise-Verträge und Behebung. Diese Kosten liegen regelmäßig um Größenordnungen über jedem Pentest-Preis. Wir nennen die echten Marktpreise mit Quelle, weil Intransparenz Teams vom Testen abhält. Der teuerste Penetrationstest ist der, den Sie nicht beauftragt haben, weil Sie ohne Verkaufsgespräch keinen Preis bekamen. Ein Lauf für €149, der ein solches Problem findet, hat sich bereits mehrfach gerechnet. Kontinuierliches Testing findet das nächste Problem auf dem Deploy, der es einführt, nicht ein Jahr später.

Behebung: Passen Sie die Testfrequenz an Ihre Release-Frequenz an. Wenn Sie wöchentlich deployen, lässt ein jährlicher Test 51 Wochen ungeprüft. Starten Sie mit einem kostenlosen Scan für eine Baseline Ihrer Angriffsfläche. Beauftragen Sie einen Einzelbericht für €149 für eine bestimmte Anwendung oder eine Compliance-Frist. Wechseln Sie auf €299 pro Monat, sobald Testing Teil Ihres Release-Prozesses ist. Holen Sie zusätzlich ein Angebot bei einem der Anbieter unten ein, wenn ein Kunde oder Auditor ausdrücklich einen menschlichen Tester verlangt.

Referenz: Marktzahlen aus veröffentlichten Preislisten deutscher Anbieter, geprüft am 19. August 2026. Alle Quellen sind unten verlinkt. Matproof-Sentinel-Preise: matproof.com/pricing

Penetrationstest Kosten: kostenloser Scan, Matproof Sentinel und veröffentlichte DE-Marktpreise

Kostenloser ScanMatproof SentinelKlassische Beratung
Web Application Pentest€0 (3-Min-Vorschau)Ab €149 / Berichtab €6.750 · €7.000–€10.000
Externer Netzwerk-Pentest€0 (3-Min-Vorschau)Ab €149 / Berichtab €5.400 · €3.000–€8.000
API-PenetrationstestPartiellEnthalten ab €149€7.000–€9.500
Intern / Assumed-BreachGrowth €1.490/Mon.ab €8.100 · €5.000–€25.000
Engagement mit vollem UmfangGrowth €1.490/Mon.ab €11.000 · Red Team €25.000–€100.000+
Kontinuierliches Testing (pro Deploy)€299/Mon. unbegrenztKein Anbieterpreis veröffentlicht
Testdauer bis zum Bericht~3 Min.~30 Min. Vollscan5–20 Werktage reine Testzeit
Re-Test nach Behebung✓ inklusive€1.000–€2.000, meist separat
Audit-taugliches Compliance-Mapping✓ ISO/SOC 2/NIS2/DORAManuell / Zusatz
Preistransparenz✓ öffentlich✓ öffentlichGemischt: einige DE-Anbieter veröffentlichen Festpreise

Veröffentlichte Preise deutscher Pentest-Anbieter

Markt: Deutschland · Zahlen geprüft am 19. August 2026. Jede Zeile verlinkt die Seite, von der die Zahl stammt.

UmfangVeröffentlichter PreisWas er abdecktQuelle
Web-Applikation, Festpreisab €6.750Ab 5 Werktage. OWASP Top 10, API-Security, Business Logic, Authentication Bypass.AWARE7 GmbH, Penetrationstest, veröffentlichte Festpreise
Web Application Pentest€7.000–€10.0005 bis 10 Tage. Manuelle Exploitation und Business-Logic-Tests.Sodu Secure, Pentest Kosten, veröffentlichte Preisübersicht
Web-App nach Größe€3.000–€8.000 klein · €8.000–€20.000 mittel · €15.000–€50.000 komplexKlein: eine Benutzerrolle. Mittel: mehrere Rollen plus API. Komplex: SPA mit vielen Schnittstellen.AWARE7 GmbH, Penetrationstest Kosten, Tagessatz und Preisspannen
Externer Netzwerk-Pentest, Festpreisab €5.400Ab 4 Werktage. Inklusive Perimeter-Analyse.AWARE7 GmbH, Penetrationstest, veröffentlichte Festpreise
Externer Netzwerk-Pentest, Spanne€3.000–€8.000Spanne desselben Anbieters, abhängig vom Umfang.AWARE7 GmbH, Penetrationstest Kosten, Tagessatz und Preisspannen
Interner Netzwerk-Pentest, Festpreisab €8.100Ab 6 Werktage. Inklusive Active Directory.AWARE7 GmbH, Penetrationstest, veröffentlichte Festpreise
Internes Netzwerk nach Hostzahl€5.000–€12.000 bis 50 Hosts · €10.000–€25.000 bis 200 HostsDer Preis steigt mit der Zahl der Hosts im Scope.AWARE7 GmbH, Penetrationstest Kosten, Tagessatz und Preisspannen
Netzwerk-Pentest€8.500–€12.0005 bis 12 Tage. Externes und internes Netzwerk, Active-Directory-Testing.Sodu Secure, Pentest Kosten, veröffentlichte Preisübersicht
Interner Netzwerktest€5.000–€7.500Angabe aus einem Anbieter-Leitfaden, nicht aus einer Preisliste.microCAT GmbH, Wie viel kostet ein Pentest?
API-Pentest€7.000–€9.5004 bis 8 Tage. OWASP API Top 10, Authentifizierung und Autorisierung, Injection.Sodu Secure, Pentest Kosten, veröffentlichte Preisübersicht
Infrastruktur-Pentest€7.500–€11.0005 bis 10 Tage. Server, Firewall, VPN, Patch-Status.Sodu Secure, Pentest Kosten, veröffentlichte Preisübersicht
Cloud-Pentest€9.000–€13.0006 bis 14 Tage. AWS, Azure, GCP, IAM Privilege Escalation, CI/CD.Sodu Secure, Pentest Kosten, veröffentlichte Preisübersicht
Full-Scope-Pentestab €11.0002 bis 4 Wochen. Alle Testarten zusammen plus Red-Team-Simulation.Sodu Secure, Pentest Kosten, veröffentlichte Preisübersicht
Red-Team-Assessment€25.000–€100.000+Mehrwöchig, über alle Vektoren. Ein Red Team ist kein Pentest mit gleichem Scope.AWARE7 GmbH, Penetrationstest Kosten, Tagessatz und Preisspannen
Automatisierter Scanab €1.5001 bis 2 Tage. Automatisierter Schwachstellen-Scan, OWASP Top 10 automatisiert.Sodu Secure, Pentest Kosten, veröffentlichte Preisübersicht
Re-Test nach Behebung€1.000–€2.000Wird bei manuellen Pentests meist separat berechnet und ist selten enthalten.microCAT GmbH, Wie viel kostet ein Pentest?
Typische Projektspanne€3.000–€25.000Angabe eines Anbieters für professionelle manuelle Pentests. Projekte dauern 2 bis 20 Tage, im Schnitt rund 5 Tage.binsec GmbH, Kosten von Penetrationstest

Alle Zahlen sind Netto-Angaben der Anbieter. Sie stehen genau so auf den verlinkten Seiten. Preise mit „ab“ sind Einstiegspreise, keine Durchschnittspreise. Lücken, die wir offen nennen: Für Mobile-App-, Cloud-, IoT- und Red-Team-Tests gibt AWARE7 „Auf Anfrage“ an. Einen Re-Test-Preis veröffentlicht von den geprüften Anbietern nur microCAT. Einen Abo-Preis für kontinuierliches Pentesting veröffentlicht keiner der geprüften deutschen Anbieter.

Veröffentlichte Tagessätze im DACH-Markt

Markt: Deutschland, Österreich, Schweiz · Zahlen geprüft am 19. August 2026. Jede Zeile verlinkt die Seite, von der die Zahl stammt.

UmfangVeröffentlichter PreisWas er abdecktQuelle
hackeroo (Pentest Collective GmbH)ab €1.160 pro TagManuelle Tests im gesamten DACH-Raum. Der Anbieter positioniert sich ausdrücklich als preisgünstig.hackeroo (Pentest Collective GmbH, binsec group), veröffentlichter Tagessatz
AWARE7 GmbH€1.350 pro Tag nettoGrundlage des Festpreis-Konfigurators. Ein erstes Sicherheitsassessment gibt es ab €1.350 (ein Personentag).AWARE7 GmbH, Penetrationstest Kosten, Tagessatz und Preisspannen
binsec GmbH€1.470–€1.960 pro TagJe nach Anbieter und Branche. Projekte dauern 2 bis 20 Tage.binsec GmbH, Kosten von Penetrationstest
Marktangabe eines Anbieter-Leitfadens€900–€1.800 pro TagJe nach Anbieter, Zertifizierung und Region. Keine Preisliste, sondern eine Einschätzung.microCAT GmbH, Wie viel kostet ein Pentest?

hackeroo wird operativ von der Pentest Collective GmbH geführt, einer Tochter der binsec group GmbH. Beide Zahlen stammen also aus derselben Unternehmensgruppe und sind keine zwei unabhängigen Datenpunkte. Der Tagessatz ist der Preistreiber: Personentage mal Tagessatz ergibt den Angebotspreis.

Quellen

  1. AWARE7 GmbH, Penetrationstest, veröffentlichte FestpreisePreisliste auf der Seite, abgerufen am 19. August 2026
  2. AWARE7 GmbH, Penetrationstest Kosten, Tagessatz und PreisspannenPreisspannen und Tagessatz auf der Seite, abgerufen am 19. August 2026
  3. Sodu Secure, Pentest Kosten, veröffentlichte PreisübersichtPreistabelle auf der Seite, abgerufen am 19. August 2026
  4. hackeroo (Pentest Collective GmbH, binsec group), veröffentlichter TagessatzTagessatz auf der Startseite, abgerufen am 19. August 2026
  5. binsec GmbH, Kosten von PenetrationstestTagessätze und Projektspanne auf der Seite, abgerufen am 19. August 2026
  6. microCAT GmbH, Wie viel kostet ein Pentest?Veröffentlicht am 07.04.2025, aktualisiert am 29.10.2025
  7. BSI, Ein Praxis-Leitfaden für IS-Penetrationstests (PDF, 34 Seiten)Enthält keine Preisangabe. Geprüft am 19. August 2026

Matproof Sentinel Penetrationstest-Preise (öffentlich, kein Angebot erforderlich)

Häufige Fragen zu den Penetrationstest-Kosten

Was kostet ein Penetrationstest in Deutschland?

Nach den veröffentlichten Preislisten deutscher Anbieter, geprüft am 19. August 2026: ein Web-App-Pentest ab €6.750 als Festpreis, an anderer Stelle €7.000 bis €10.000. Ein externer Netzwerk-Pentest ab €5.400. Ein interner Netzwerk-Pentest ab €8.100. Ein API-Pentest €7.000 bis €9.500. Ein Full-Scope-Test ab €11.000. Ein Anbieter nennt als Projektspanne für professionelle manuelle Tests €3.000 bis €25.000. Die veröffentlichten Tagessätze liegen zwischen €1.160 und €1.960. Alle Zahlen sind in der Tabelle auf dieser Seite verlinkt. Matproof Sentinel liefert einen audit-tauglichen Bericht ab €149 pro Lauf oder €299 pro Monat für kontinuierliches Testing.

Gibt es eine offizielle deutsche Statistik zu Pentest-Preisen?

Nein. Kein Amt und kein Verband in Deutschland veröffentlicht eine Preisstatistik für Penetrationstests. Das BSI veröffentlicht einen Praxis-Leitfaden für IS-Penetrationstests. Der Leitfaden beschreibt Vorgehen und Phasen auf 34 Seiten und nennt keinen Preis. Jede Zahl auf dieser Seite stammt deshalb aus einer veröffentlichten Anbieter-Preisliste oder einem benannten Anbieter-Leitfaden, nie aus einer Schätzung und nie aus einer Umrechnung ausländischer Preise.

Wie hoch ist der Tagessatz für einen Pentest im DACH-Raum?

Veröffentlicht sind: ab €1.160 pro Tag bei hackeroo, €1.350 netto pro Tag bei AWARE7 und €1.470 bis €1.960 pro Tag bei binsec. Ein Anbieter-Leitfaden von microCAT nennt als Marktspanne €900 bis €1.800 pro Tag. hackeroo gehört zur binsec group, beide Zahlen sind also keine zwei unabhängigen Datenpunkte. Der Angebotspreis ergibt sich aus Tagessatz mal Personentage plus Berichtstage. Ein Projekt dauert laut einem Anbieter 2 bis 20 Tage, im Schnitt rund 5 Tage.

Verstecken deutsche Anbieter ihre Pentest-Preise?

Nicht alle. Wir haben mehrere deutsche Anbieter gefunden, die Festpreise oder Spannen offen veröffentlichen, und wir verlinken sie unten. Viele andere leiten weiter über ein Formular, weil sie jeden Auftrag einzeln scopen. Für Käufer bedeutet das: Sie können ohne mehrere Gespräche weder vergleichen noch budgetieren. Matproof veröffentlicht seine Preise offen, weil das Testing produktisiert ist: €149 pro Lauf, €299 pro Monat, €1.490 pro Monat, nachzulesen auf matproof.com/pricing.

Was macht einen Penetrationstest teurer?

Vier Faktoren lassen sich an den veröffentlichten Preisen ablesen. Erstens der Umfang: bei einem Anbieter kostet eine kleine Web-App €3.000 bis €8.000, eine komplexe €15.000 bis €50.000. Zweitens die Hostzahl bei internen Tests: €5.000 bis €12.000 bis 50 Hosts gegen €10.000 bis €25.000 bis 200 Hosts. Drittens der Tagessatz, der zwischen €1.160 und €1.960 liegt. Viertens die Nebenkosten, vor allem der Re-Test mit €1.000 bis €2.000, der meist separat berechnet wird. Bei produktisiertem, kontinuierlichem Testing liegen die Grenzkosten eines weiteren Scans nahe null.

Ist ein günstigerer automatisierter Test so gut wie ein manueller Pentest?

Das hängt davon ab, was Sie brauchen. Ein rein automatisierter Scan kostet bei einem deutschen Anbieter ab €1.500 und liefert die OWASP Top 10 automatisiert, ohne manuelle Exploitation. Matproof Sentinel geht weiter als ein Scanner: jeder Befund wird von einem eigenen Agenten mit Proof-of-Exploit bestätigt, bevor er im Bericht steht. Für viele Webanwendungen und APIs reicht das für Auditoren und Enterprise-Käufer. Es ersetzt aber keinen Menschen. Für komplexe interne Netze, OT und SCADA oder wenn ein Vertrag einen zertifizierten Tester nennt, beauftragen Sie ein akkreditiertes Haus.

Wie oft muss ich für einen Penetrationstest zahlen?

Compliance-Rahmenwerke erwarten in der Regel mindestens einen Test pro Jahr. Anwendungen ändern sich aber mit jedem Deploy. Ein Jahrestest lässt daher lange Fenster ungeprüft. Wenn Sie aktuelle Nachweise brauchen, etwa für ein ISO-27001-Überwachungsaudit, für SOC 2 oder für eine Enterprise-Beschaffung, dann summieren sich wiederholte Engagements schnell: schon zwei Aufträge zu je €6.750 liegen über €13.000 pro Jahr. Der Starter-Plan von Matproof Sentinel kostet €299 pro Monat und enthält unbegrenzte Scans über bis zu drei Domains. Keiner der geprüften deutschen Anbieter veröffentlicht einen vergleichbaren Abo-Preis.

Verwandte Themen

Vertiefen — verwandte Artikel aus unserem Blog

Was Matproof Sentinel nicht ersetzt

Sentinel ist eine KI-Plattform für Penetrationstests. Zehn spezialisierte Agenten testen, ein ValidatorAgent prüft jeden Befund erneut, bevor er im Bericht landet. Mehr ist es nicht. Am anderen Ende sitzt kein menschlicher Pentester, und Matproof hält keine eigene Akkreditierung. Wenn Sie eine Unterschrift brauchen, kaufen Sie die Unterschrift bei einem Haus, das sie tragen darf.

  • Kein menschlicher Pentester. KI-Agenten finden die Befunde, ein weiterer KI-Agent prüft sie nach.
  • Keine CREST-Mitgliedschaft, kein OSCP-zertifizierter Tester und keine BSI-Zertifizierung. Matproof kann keinen entsprechend signierten Bericht ausstellen.
  • Kein Social Engineering, kein Phishing-Test und kein physischer Zutrittstest.
  • Keine Zero-Day-Forschung und kein maßgeschneidertes Red Teaming auf Geschäftslogik.
  • Beauftragen Sie ein akkreditiertes Haus, wenn ein Kundenvertrag, eine Ausschreibung oder ein Programm wie TIBER-EU das ausdrücklich verlangt.
  • Beauftragen Sie ein menschliches Team für OT- und SCADA-Umgebungen, Mainframes und überall dort, wo jemand improvisieren muss.

Sehen Sie Ihre Angriffsfläche kostenlos, dann wählen Sie Ihren Plan

Starten Sie einen kostenlosen 3-Minuten-Scan für eine Baseline Ihrer Angriffsfläche. Einen vollständigen audit-tauglichen Bericht erhalten Sie ab €149, kontinuierliches Testing ab €299 pro Monat. Öffentliche Preise, kein Verkaufsgespräch nötig.

Kostenlosen Scan starten