Ratgeber

Pentest-Anbieter auswählen: woran Sie einen guten Dienstleister erkennen

Von Lucas Weber, CyberSec42 · Stand 28.10.2026

Einen guten Pentest-Anbieter erkennen Sie daran, dass er vor jedem Angebot den Umfang mit Ihnen klärt, manuell prüft statt nur einen Scanner laufen zu lassen, jeden Befund mit einem nachvollziehbaren Nachweis belegt, einen Nachtest anbietet und vor Beginn eine schriftliche Beauftragung verlangt. Zertifikate und Standards helfen bei der Einordnung, ersetzen aber nicht den Blick auf einen Beispielbericht und die Antworten im Erstgespräch. Dieser Ratgeber gibt Ihnen dafür eine Checkliste, die typischen Warnsignale, zehn Fragen für das Erstgespräch und die Bestandteile eines vollständigen Angebots.

Was ein Penetrationstest leisten muss

Bevor Sie Anbieter vergleichen, lohnt ein Blick darauf, was Sie eigentlich einkaufen. Unter dem Wort „Pentest“ werden sehr unterschiedliche Leistungen verkauft, vom automatischen Scan mit Logo auf dem Deckblatt bis zur tiefen manuellen Prüfung einer Anwendung.

Ein automatischer Schwachstellenscan sucht nach bekannten Mustern: veraltete Software, fehlende Sicherheits-Header, offene Dienste. Das ist nützlich und schnell, liefert aber eine Liste möglicher Schwächen, oft mit Fehlalarmen. Ein Penetrationstest geht weiter. Er prüft, ob sich Schwächen tatsächlich ausnutzen lassen, verbindet einzelne Funde zu Angriffsketten und sucht gezielt dort, wo ein Scanner blind ist: in der Logik Ihrer Anwendung, in Rollen und Berechtigungen, in Abläufen wie Registrierung, Passwort-Reset oder Bezahlung. Ob ein Nutzer die Rechnungen eines anderen Kunden abrufen kann, erkennt kein Scanner, weil technisch alles korrekt aussieht.

Wie sich beide Ansätze genau unterscheiden und wann eine Schwachstellenanalyse als Einstieg reicht, haben wir in Schwachstellenanalyse: was sie ist und wann Sie eine brauchen beschrieben. Den Ablauf eines Tests in Phasen, die Dauer und die Faktoren hinter den Kosten finden Sie in Penetrationstest: Ablauf, Dauer und was ihn kostet. Dieser Ratgeber setzt einen Schritt früher an: bei der Frage, wem Sie den Auftrag geben.

Die Auswahlkriterien als Checkliste

Die folgenden zehn Kriterien trennen belastbare Anbieter von solchen, die vor allem Berichte produzieren. Kein einzelnes Kriterium entscheidet allein. Zusammen ergeben sie ein klares Bild.

1. Es gibt ein echtes Scope-Gespräch

Ein guter Anbieter will vor dem Angebot wissen, was geprüft werden soll: welche Anwendungen, Schnittstellen und Umgebungen, welche Rollen, welche Daten besonders schutzwürdig sind und was ausdrücklich nicht getestet werden darf. Er fragt nach Ihrem Anlass, etwa einer Kundenanforderung, einem Release oder einer Vorgabe aus einem Audit, weil der Anlass bestimmt, worauf der Test zielt. Bleiben diese Fragen aus, ist das Angebot zwangsläufig geschätzt.

2. Manuelle Prüfung ist der Kern, nicht die Beigabe

Werkzeuge gehören zu jedem Test. Entscheidend ist, welcher Anteil der Arbeit manuell geschieht. Fragen Sie konkret, welche Teile automatisiert laufen und welche ein Mensch prüft, insbesondere Berechtigungen, Geschäftslogik und die Verkettung von Funden. Eine ehrliche Antwort darauf ist ein gutes Zeichen, auch wenn sie nicht „alles manuell“ lautet.

3. Jeder Befund kommt mit einem Nachweis

Ein Befund sollte so beschrieben sein, dass Ihr Entwicklungsteam ihn nachstellen kann: betroffene Stelle, Schritte zur Reproduktion, beobachtete Wirkung, Einstufung der Schwere und ein konkreter Korrekturvorschlag. Ohne Nachweis bleibt ein Befund eine Behauptung, und Ihr Team verbringt Zeit damit, Fehlalarme von echten Lücken zu trennen. Für die Einstufung der Schwere ist ein nachvollziehbares Schema wie das Common Vulnerability Scoring System (CVSS) üblich, ergänzt um die Bewertung im Kontext Ihres Systems.

4. Ein Nachtest ist vorgesehen

Erst der Nachtest belegt, dass eine Korrektur wirkt. Klären Sie vorab, ob ein Nachtest der behobenen Befunde im Angebot enthalten ist, in welchem Zeitraum er stattfinden kann und ob das Ergebnis im Bericht dokumentiert wird. Gerade wenn Sie den Bericht an Kunden oder Prüfer weitergeben, ist der dokumentierte Stand nach der Behebung oft wichtiger als die ursprüngliche Liste.

5. Der Bericht taugt für zwei Leser

Ein guter Bericht hat eine Management-Zusammenfassung, die ohne Fachwissen verständlich ist, und einen technischen Teil, mit dem Entwickler arbeiten können. Dazu gehören der geprüfte Umfang, der Zeitraum, die eingesetzte Methodik, ausdrücklich nicht Geprüftes und die Einschränkungen des Tests. Lassen Sie sich einen anonymisierten Beispielbericht zeigen. Er sagt mehr über die Qualität eines Anbieters als jede Leistungsbeschreibung.

6. Methodik und Standards sind benannt

Ein Anbieter sollte erklären können, nach welcher Methodik er vorgeht. Verbreitete öffentliche Referenzen sind der OWASP Web Security Testing Guide (WSTG) für Webanwendungen, dessen aktuelle stabile Fassung 4.2 ist und der Leitfaden NIST SP 800-115 zu technischen Sicherheitsprüfungen. Für den deutschen Kontext hat das BSI einen Praxis-Leitfaden für IS-Penetrationstests veröffentlicht, der sich ausdrücklich auch an Auftraggeber richtet. Wichtig ist nicht, dass ein Standard auf dem Angebot steht, sondern dass der Anbieter zeigen kann, wie er ihn in Ihrem Projekt anwendet.

7. Vertraulichkeit und Umgang mit Ihren Daten sind geregelt

Ein Pentest-Anbieter sieht Schwachstellen, bevor sie behoben sind, und kommt je nach Umfang mit Zugangsdaten und personenbezogenen Daten in Berührung. Klären Sie vor Beginn eine Vertraulichkeitsvereinbarung, wie Zugangsdaten übergeben und nach dem Test gelöscht werden, wo Testdaten und Berichte gespeichert werden, wer im Team Zugriff hat und ob Unterauftragnehmer eingesetzt werden. Werden dabei personenbezogene Daten verarbeitet, kann zusätzlich ein Vertrag zur Auftragsverarbeitung nötig sein.

8. Haftung und Versicherung sind angesprochen

Auch ein sorgfältiger Test kann eine Störung auslösen, etwa wenn eine Anwendung auf ungewöhnliche Eingaben empfindlich reagiert. Fragen Sie, ob der Anbieter eine Haftpflichtversicherung hat, die seine Prüftätigkeit abdeckt, wie die Haftung im Vertrag geregelt ist und wie er Risiken für den laufenden Betrieb begrenzt, zum Beispiel durch Tests in einer Staging-Umgebung oder abgestimmte Zeitfenster.

9. Erfahrung mit Ihrem Technologie-Stack

Eine Single-Page-Anwendung mit API, eine mandantenfähige SaaS-Plattform, eine mobile App, eine Cloud-Umgebung oder ein KI-Agent mit Werkzeugzugriff verlangen jeweils eigenes Wissen. Fragen Sie, mit welchen vergleichbaren Systemen das Team gearbeitet hat, ohne Kundennamen zu verlangen, und wer konkret Ihren Test durchführt. Eine allgemeine Antwort wie „wir testen alles“ ist weniger aussagekräftig als eine konkrete Beschreibung typischer Befunde in Ihrer Art von System.

10. Schriftliche Beauftragung und Freigabe vor dem ersten Test

Ein seriöser Anbieter beginnt erst, wenn Umfang, Zeitraum, Testkonten, Ansprechpartner und Grenzen schriftlich vereinbart sind und der Berechtigte die Prüfung freigegeben hat. Das schützt beide Seiten: Das Strafrecht stellt den unbefugten Zugang zu besonders gesicherten Daten unter Strafe (§ 202a StGB). Achten Sie darauf, ob Systeme Dritter betroffen sind, etwa bei Hostern oder Cloud-Anbietern. Große Cloud-Anbieter veröffentlichen eigene Regeln für Sicherheitstests auf ihrer Plattform, zum Beispiel AWS und Microsoft, und schließen darin unter anderem Denial-of-Service-Tests aus. Ein guter Anbieter spricht das von sich aus an. Dieser Abschnitt ist eine sachliche Einordnung und keine Rechtsberatung.

Die Checkliste zum Abhaken

Zertifizierungen sachlich einordnen

Zertifikate sind ein nachprüfbares Merkmal, und es lohnt sich zu wissen, was sie jeweils aussagen.

• Zertifizierung von Unternehmen durch das BSI. Das Bundesamt für Sicherheit in der Informationstechnik zertifiziert IT-Sicherheitsdienstleister auf Antrag in mehreren Geltungsbereichen, darunter „IS-Penetrationstest“. Das BSI veröffentlicht eine Liste der zertifizierten Dienstleister mit Gültigkeitsdatum, sodass Sie eine Angabe selbst prüfen können.
• Fachkunde einzelner Tester. Für Personen hat das BSI seine frühere Personenzertifizierung als IS-Penetrationstester eingestellt und prüft die Fachkunde stattdessen in einer Kompetenzfeststellung über externe, praxisorientierte Fachzertifikate. Die dort anerkannten Zertifikate geben Ihnen einen Anhaltspunkt, welche Nachweise für praktische Prüfkompetenz verbreitet sind.
• Managementsystem-Zertifikate. Ein ISO-27001-Zertifikat eines Anbieters sagt etwas über dessen eigenes Informationssicherheitsmanagement aus, nicht über die Qualität seiner Penetrationstests.

Ob Sie einen zertifizierten Dienstleister brauchen, hängt von Ihrer Situation ab. Schreibt eine Ausschreibung, ein Kunde oder eine interne Richtlinie eine bestimmte Zertifizierung vor, ist das Kriterium gesetzt. Ist das nicht der Fall, bewerten Sie Anbieter zusätzlich an den Kriterien oben, vor allem am Beispielbericht und an den Antworten im Erstgespräch. Zur Einordnung: CyberSec42 ist eine unabhängige technische Sicherheitsprüfung und keine vom BSI zertifizierte Stelle.

Warnsignale

10 Fragen für das Erstgespräch

Diese Fragen können Sie jedem Anbieter in derselben Form stellen. Die Antworten lassen sich danach gut nebeneinanderlegen.

1. Welche Informationen brauchen Sie von uns, um den Umfang festzulegen?
2. Welche Teile des Tests laufen automatisiert, welche prüfen Sie manuell?
3. Wie sieht ein Befund in Ihrem Bericht aus? Können Sie uns einen anonymisierten Beispielbericht zeigen?
4. Nach welcher Methodik und welchen Standards gehen Sie vor, und wie wenden Sie sie bei uns an?
5. Ist ein Nachtest enthalten, in welchem Zeitraum, und wird das Ergebnis dokumentiert?
6. Wer führt den Test konkret durch, und welche Erfahrung hat diese Person mit Systemen wie unserem?
7. Wie gehen Sie mit Zugangsdaten, Testdaten und dem Bericht um, und wann werden sie gelöscht?
8. Wie begrenzen Sie Risiken für unseren laufenden Betrieb, und wen informieren Sie, wenn etwas auffällt?
9. Was passiert, wenn Sie während des Tests eine kritische Lücke finden: warten Sie bis zum Bericht oder melden Sie sofort?
10. Welche schriftlichen Vereinbarungen brauchen Sie vor dem Start, und wie klären wir Systeme Dritter wie Hoster oder Cloud-Anbieter?

Was ein Angebot enthalten sollte

Ein vollständiges Angebot macht Anbieter vergleichbar. Fehlt einer der folgenden Punkte, fragen Sie nach, bevor Sie Preise nebeneinanderlegen.

Damit Sie schnell zu vergleichbaren Angeboten kommen, hilft es, vorab ein paar Punkte zu sammeln: was getestet werden soll, warum gerade jetzt, wer die Anwendung nutzt und mit welchen Rollen, ob es eine Testumgebung gibt und bis wann Sie das Ergebnis brauchen.

Wobei CyberSec42 Sie unterstützt

Wir führen Penetrationstests für Webanwendungen, Schnittstellen, SaaS-Plattformen und KI-Anwendungen im schriftlich vereinbarten Umfang durch. Am Anfang steht ein Scope-Gespräch, in dem wir mit Ihnen klären, was geprüft werden soll und welcher Umfang zu Ihrem Anlass passt. Jeder gemeldete Befund kommt mit einem ausgeführten Nachweis und einem Korrekturvorschlag. Was sich nicht belegen lässt, verwerfen wir, statt die Liste zu füllen. Nach Ihren Korrekturen prüfen wir die behobenen Befunde im Nachtest erneut. Mehr dazu auf der Seite Penetrationstest und für SaaS-Anbieter unter SaaS-Penetrationstest.

Häufige Fragen

Weiterlesen

• Penetrationstest: Ablauf, Dauer und was ihn kostet
• Schwachstellenanalyse: was sie ist und wann Sie eine brauchen
• NIS2 in der Lieferkette: was Kunden jetzt von Zulieferern und Dienstleistern verlangen
• Leistung: Penetrationstest mit verifizierten Befunden

Quellen

• BSI: Anerkennung von Stellen und Zertifizierung IT-Sicherheitsdienstleister
• BSI: Liste zertifizierter IT-Sicherheitsdienstleister in den Geltungsbereichen IS-Revision und IS-Penetrationstests
• BSI: Penetrationstester, Kompetenzfeststellung
• BSI: IS-Penetrationstest und IS-Webcheck, Praxis-Leitfaden
• OWASP: Web Security Testing Guide
• NIST SP 800-115: Technical Guide to Information Security Testing and Assessment
• FIRST: Common Vulnerability Scoring System
• § 202a StGB: Ausspähen von Daten
• AWS: Penetration Testing Policy
• Microsoft: Penetration Testing Rules of Engagement