Stand: 22.10.2026

Pentest-Anbieter auswählen: 10 Kriterien für KMU

Ein guter Pentest-Anbieter macht vor dem Test klar, was geprüft wird, wie getestet wird und welche Ergebnisse Sie erhalten. Für KMU ist nicht der größte Leistungsumfang entscheidend, sondern ein schriftlich abgegrenzter Scope, nachvollziehbare Tests und ein Report, aus dem IT und Geschäftsführung konkrete Prioritäten ableiten können.

Wer einen Penetrationstest-Dienstleister für den Mittelstand auswählt, sollte Angebote nicht allein über Tagessätze oder die Zahl genannter Tools vergleichen. Die folgenden zehn Kriterien helfen, die Qualität des Vorgehens, den Nutzen des Berichts und die Eignung für den eigenen Betrieb vor der Beauftragung zu prüfen.

Auf einen Blick

• Ein Angebot muss Systeme, Testtiefe, Zeitraum, Ansprechpartner und Grenzen des Tests eindeutig benennen.
• Fragen Sie nach einer nachvollziehbaren Methodik, manueller Prüfung und dem Umgang mit automatisierten Scans.
• Der Report braucht eine Management-Zusammenfassung, technische Details, Prioritäten und umsetzbare Empfehlungen.
• Klären Sie Datenschutz, Zugriff auf Testdaten, Meldewege und Retest vor der Beauftragung.
• Vergleichen Sie nur Angebote mit vergleichbarem Scope – nicht nur einen Pauschalpreis.

Warum ist die Auswahl des Pentest-Anbieters wichtig?

Ein Pentest ist eine kontrollierte Sicherheitsprüfung eines freigegebenen Systems. Er ist kein beliebiger Schwachstellenscan und ersetzt weder laufende Härtung noch Patch-Management. Der Nutzen entsteht erst, wenn der Test zu Ihrer Umgebung passt: etwa zu einer Web-Anwendung, API, Cloud-Konfiguration, extern erreichbaren Diensten oder einem internen Netzwerk.

Für ein mittelständisches Unternehmen ist deshalb ein sauberer Start wichtiger als ein möglichst breites Versprechen. Wenn ein Anbieter ohne Rückfragen pauschal „das Netzwerk“ oder „die Cloud“ testen will, fehlt oft die Grundlage für einen belastbaren Vergleich. Sinnvoll ist zunächst ein Scope-Gespräch: Welche Systeme sind geschäftskritisch? Was ist öffentlich erreichbar? Welche Konten oder Testdaten stehen zur Verfügung? Welche Aktionen sind ausgeschlossen? Einen Überblick über mögliche Prüfbereiche gibt die Seite Pentesting für Web-Apps, APIs, Cloud und Infrastruktur.

1. Ist der Scope schriftlich und verständlich abgegrenzt?

Der Scope ist die Arbeitsgrundlage eines Pentests. Er sollte alle Zielsysteme eindeutig benennen, zum Beispiel Domains, IP-Adressbereiche, Anwendungen, Schnittstellen, Mandanten oder Standorte. Ebenso wichtig sind Ausschlüsse: produktive Lasttests, Social Engineering, Datenveränderungen oder Denial-of-Service-Tests dürfen nicht stillschweigend angenommen werden.

Ein vollständiges Angebot beschreibt ausserdem Testfenster, Eskalationskontakt, Notfallweg und die Frage, ob der Test als Blackbox, Greybox oder mit bereitgestellten Testkonten erfolgt. Erst dann können zwei Angebote fair verglichen werden. Ein kleiner, klar definierter Test kann wertvoller sein als ein breiter Scope, der in der verfügbaren Zeit nur oberflächlich geprüft wird.

2. Welche Methodik steckt hinter dem Pentest?

Fragen Sie, wie der Anbieter seine Prüfung strukturiert. Als öffentliche Orientierung können etwa der OWASP Web Security Testing Guide für Webanwendungen und der Penetration Testing Execution Standard dienen. Entscheidend ist nicht, dass ein Angebot möglichst viele Abkürzungen enthält. Entscheidend ist, dass die Methodik zum Zielsystem passt und die einzelnen Phasen nachvollziehbar sind: Informationssammlung, Prüfung, Validierung, Risikoanalyse und Berichterstattung.

Lassen Sie sich erklären, wie automatisierte Ergebnisse eingeordnet werden. Scanner sind nützlich, erzeugen aber auch Fehlalarme oder zeigen fehlenden Kontext. Ein belastbarer Pentest validiert relevante Befunde manuell und dokumentiert, warum ein Finding für Ihr konkretes System ein Risiko darstellt.

3. Prüft der Anbieter mehr als bekannte Schwachstellen?

Ein Angebot sollte erkennen lassen, ob nur Versionen und Standardkonfigurationen abgeglichen werden oder ob auch Authentifizierung, Berechtigungen, Geschäftslogik, Schnittstellen und Fehlkonfigurationen untersucht werden. Bei einer Web-Anwendung sind etwa Login- und Passwort-Reset-Flows, Rollenwechsel, Mandantentrennung und API-Berechtigungen häufig wichtiger als eine lange Liste technischer Hinweise mit niedriger Priorität.

Bitten Sie um eine Beschreibung der vorgesehenen Prüftiefe für Ihre wichtigsten Systeme. Das ist keine Aufforderung, Angriffstechniken vorab offenzulegen. Es zeigt aber, ob der Dienstleister die Anwendung, Infrastruktur und Geschäftsrisiken im Scope unterscheiden kann.

4. Wie sieht der Report für Management und IT aus?

Ein guter Pentest-Report ist ein Arbeitsdokument für zwei Zielgruppen. Die Geschäftsführung braucht eine kurze Einordnung: Welche Risiken bestehen, welche Systeme sind betroffen, welche Entscheidungen oder Budgets sind nötig? Die IT braucht technische Nachweise, nachvollziehbare Reproduktionsschritte und konkrete Empfehlungen zur Behebung.

Fragen Sie vorab nach einem anonymisierten Musteraufbau. Er sollte mindestens Executive Summary, Scope, Vorgehen, Befunde mit Priorität, betroffene Komponenten, Auswirkungen, Handlungsempfehlungen und Grenzen der Prüfung enthalten. Ein Export aus einem Scanner genügt dafür nicht. Die Pentesting- und Security-Audit-Leistung für Österreich beschreibt diesen Ablauf mit Reporting, Maßnahmenplan und möglichem Retest.

5. Sind Prioritäten nachvollziehbar statt nur farblich markiert?

„Kritisch“, „hoch“ oder „mittel“ ist nur dann hilfreich, wenn klar wird, wie diese Einstufung zustande kommt. Für Ihre Priorisierung zählen nicht nur die technische Schwere, sondern auch Erreichbarkeit, vorhandene Schutzmassnahmen, betroffene Daten, Geschäftsprozess und Aufwand der Behebung.

Fragen Sie daher: Werden Findings in einem Abschlussgespräch erläutert? Gibt es Quick Wins für die ersten Tage und eine realistische Reihenfolge für weitere Maßnahmen? Bei Bedarf kann ein vorgelagerter IT-Security-Check helfen, Zugänge, Härtung, Monitoring und Recovery-Prozesse vor oder nach dem Pentest systematisch zu ordnen.

6. Wie werden Datenschutz und Zugriffe geregelt?

Ein Pentest kann mit personenbezogenen Daten, Produktionszugängen und vertraulichen Architekturinformationen in Berührung kommen. Legen Sie daher vorab fest, welche Daten wirklich benötigt werden, wie Testkonten angelegt werden, wo Nachweise gespeichert werden und wann Zugriffe wieder entzogen werden. Wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet, sind die Anforderungen an Auftragsverarbeiter in Artikel 28 der DSGVO relevant.

Praktische Fragen gehören ins Angebot oder die Beauftragung: Gibt es einen klaren Ansprechpartner? Wie werden kritische Befunde sofort gemeldet? Werden Testdaten minimiert? Wie werden Reports sicher übermittelt? Eine schriftliche Vereinbarung schützt beide Seiten und vermeidet, dass der Testbetrieb und Datenschutz erst während der Prüfung geklärt werden.

7. Wie wird mit kritischen Befunden während des Tests umgegangen?

Ein Dienstleister sollte nicht bis zum Abschlussbericht warten, wenn er ein akutes, ausnutzbares Risiko findet. Vereinbaren Sie einen Eskalationsweg mit Telefonnummer, E-Mail-Adresse und erreichbaren Personen. Definieren Sie auch, wann ein Test unterbrochen wird – etwa bei Hinweisen auf Instabilität, unbeabsichtigten Zugriff auf sensible Daten oder einem Sicherheitsvorfall.

Diese Regeln sind kein Zeichen von Misstrauen, sondern professionelles Risikomanagement. Sie machen aus einer technischen Prüfung einen kontrollierten Prozess, der mit dem Betrieb vereinbar bleibt.

8. Ist ein Retest klar geregelt?

Ein Retest prüft, ob priorisierte Befunde nach der Behebung tatsächlich geschlossen sind. Er sollte im Angebot als eigener Umfang beschrieben sein: Welche Findings werden erneut geprüft, bis wann gilt das Retest-Fenster und welches Ergebnis erhalten Sie? Nicht jede Anpassung braucht einen vollständigen neuen Pentest. Für kritische Findings ist eine dokumentierte Nachprüfung jedoch oft sinnvoll.

Planen Sie den Retest nicht erst nach dem Report ein. Wenn Verantwortlichkeiten, Wartungsfenster und Nachweise früh klar sind, bleibt die Umsetzung weniger leicht liegen. Ein konkretes Beispiel für die Einordnung von Scope und Kosten finden Sie im Ratgeber Pentest-Kosten in Österreich: Faktoren und Scope.

9. Passt die Kommunikation zum eigenen Team?

Bei einem Pentest arbeiten externe Prüfer mit interner IT, Entwicklung, Betrieb und oft auch Management zusammen. Achten Sie darauf, ob Rückfragen verständlich beantwortet werden und ob technische Ergebnisse in eine Entscheidungsvorlage übersetzt werden können. Direkter Zugang zu den Personen, die den Test durchführen, erleichtert die Scoping-Phase und die Umsetzung danach.

Referenzen können dabei ein Hinweis sein, ersetzen aber nicht die Prüfung des Angebots. Fragen Sie lieber nach vergleichbaren Systemtypen oder typischen Abläufen, ohne die Vertraulichkeit anderer Kunden zu verletzen. Entscheidend ist, ob der Anbieter den eigenen Scope, die Risiken und die Grenzen sauber erklären kann.

10. Wie vergleichen Sie Angebote ohne Äpfel mit Birnen zu vergleichen?

Nutzen Sie für jede Anfrage dieselbe kurze Checkliste: Zielsysteme, gewünschte Prüftiefe, Testzeitraum, Testart, Testkonten, Ausschlüsse, erwartete Deliverables, Retest und gewünschte Kommunikation. Dann wird sichtbar, ob zwei Preise tatsächlich dieselbe Leistung abbilden.

Fazit

Den passenden Pentest-Anbieter wählen Sie nicht über ein Schlagwort oder den niedrigsten Preis aus. Ein tragfähiges Angebot grenzt den Scope sauber ab, verbindet strukturierte Methodik mit manueller Prüfung und liefert Ergebnisse, die Ihr Team umsetzen kann. Wer Report, Datenschutz, Eskalation und Retest vorab klärt, reduziert Reibung während der Prüfung und schafft eine bessere Grundlage für wirksame Sicherheitsmassnahmen.

Sie möchten den Scope eines Pentests für Web-App, API, Cloud oder Infrastruktur klären? Vereinbaren Sie ein Erstgespräch oder nehmen Sie über FEHMER TECH Kontakt auf.

Quellen

• OWASP: Web Security Testing Guide
• Penetration Testing Execution Standard
• EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Artikel 28