Preise · Scope · Was den Preis bewegt

Was ein Penetrationstest wirklich kostet

Zwei Angebote für scheinbar dieselbe Aufgabe können um das Zehnfache auseinanderliegen, ohne dass eine der beiden Firmen lügt. Der Unterschied liegt fast immer im Scope, in der Seniorität und darin, wie viel der Arbeit tatsächlich ein Mensch erledigt. Hier sind meine Preise und die sieben Faktoren, die sie bewegen.

Die Preise

Das sind Startpunkte, keine Speisekarte. Jeder Auftrag wird vor Beginn zum Festpreis gegen einen schriftlichen Scope fixiert, es gibt keine Stundenabrechnung, und die Zahl wird innerhalb von 24 Stunden nach einem kostenlosen Scoping-Gespräch schriftlich bestätigt.

  • Webanwendungstests - ab 500 $. Manuelle Prüfung der OWASP Top 10, Authentifizierung und Autorisierung, Geschäftslogik und Workflow-Missbrauch sowie API-Tests über REST und GraphQL. Typischerweise drei bis fünf Arbeitstage. Gescopt nach Anzahl der Benutzerrollen, Größe der Endpunkt-Oberfläche und ob eine API im Scope liegt.
  • Netzwerk- und Active-Directory-Tests - ab 1.500 $. Interne und externe Netzwerktests, ADCS, Kerberoasting und ACL-Missbrauch, mit BloodHound kartierte Angriffspfade und Segmentierungsvalidierung. Gescopt nach Domänengröße, Hostanzahl und Vertrauensstellungen.
  • Cloud-Tests - ab 1.500 $. Azure und Cloud-Infrastruktur fallen unter dieselbe Infrastruktur-Stufe und werden genauso gescopt.
  • Compliance-getriebene Tests - ab 500 $. Framework-Arbeit folgt derselben Preislogik: ab 500 $ für einen reinen Anwendungs-Scope, ab 1.500 $ sobald Infrastruktur dazukommt. Das Framework verändert die benötigten Nachweise, nicht die Kosten des Testens selbst.

Jeder Auftrag enthält die Dinge, die häufig als Extras verkauft werden: Remediation-Unterstützung während Sie beheben, einen Nachtest zur Bestätigung und ein Attestierungsschreiben für Kunden oder Auditoren. Die vollständige Aufschlüsselung steht auf der Preisseite.

Warum zwei Angebote für dieselbe Aufgabe um das Zehnfache auseinanderliegen

Das ist die häufigste Frage, und die ehrliche Antwort lautet: Der größte Teil der Spanne hat nichts mit Testqualität zu tun.

1. Testertage, nicht Features

Penetrationstests werden in Tagen qualifizierter Aufmerksamkeit verkauft. Eine kleine Anwendung mit einer Rolle und vierzig Endpunkten ist ein anderer Arbeitsaufwand als eine Plattform mit sechs Rollen, einem Zahlungsfluss und einer öffentlichen API. Rechnen Sie jedes Angebot in Testertage um, und die Spanne schrumpft meist zusammen. Wenn eine Firma Ihnen nicht sagt, wie viele Tage Sie kaufen, ist das bereits der Befund.

2. Overhead, den Sie finanzieren

Ein Angebot einer großen Beratung trägt Vertrieb, Account Management, Projektleitung, Räumlichkeiten und Marge, bevor ein einziges Paket verschickt wurde. Nichts davon macht den Test besser. Es sind reale Kosten des Einkaufs bei einer großen Firma und sie machen den größten Teil der Lücke zwischen 2.000 $ und 18.000 $ für dieselbe Anwendung aus.

3. Wer die Arbeit tatsächlich macht

Große Firmen besetzen kleine Aufträge mit Junior-Testern und lassen einen Senior die Ausgabe prüfen. Abgerechnet wird zu einem Mischsatz, getestet auf Junior-Niveau. Bei einem Einzeltester ist die Person, die scopt, dieselbe, die testet und schreibt - eine Frage, die Sie bei jedem Anbieter ausdrücklich stellen sollten.

4. Manuelle Arbeit gegenüber Werkzeugen

Ein Scanner findet fehlende Header, veraltete Bibliotheken und bekannte CVEs. Er findet keine fehlerhafte Zugriffskontrolle zwischen zwei Mandanten, keinen Workflow, bei dem sich ein Schritt überspringen lässt, und kein Preisfeld, dem der Server vertraut. Das sind die Befunde, auf die es ankommt, und sie entstehen nur durch Menschen. Die billigsten Angebote am Markt sind häufig Scanner-Ausgaben mit Deckblatt - weshalb der Preis allein sehr wenig aussagt.

5. Schutz vor Scope Creep

Ein Angebot, das niedrig aussieht und dann alles Unvorhergesehene nach Stunden abrechnet, ist kein niedriges Angebot. Festpreis gegen schriftlichen Scope ist die einzige Variante, in der die gezeigte Zahl die bezahlte Zahl ist.

6. Nachtest und Remediation

Viele Firmen berechnen den Nachtest separat - also genau den Teil, der beweist, dass Sie etwas behoben haben. Schließt ein Angebot ihn aus, rechnen Sie ihn vor dem Vergleich hinzu.

7. Die Frist

Arbeit, die diese Woche starten muss, kostet überall mehr, auch bei mir. Wenn ein Kundenvertrag oder ein Audittermin den Test treibt, ist das Günstigste, das Gespräch früh zu beginnen.

Wofür Sie nie zahlen sollten

Einiges taucht regelmäßig in Angeboten auf und ist kein Geld wert. Ein unbearbeiteter Scanner-Export, gleich wie lang. Ein Bericht ohne Reproduktionsschritte, weil Ihre Entwickler damit nichts anfangen können. Eine Befundliste ohne Begründung der Schwere, was Triage unmöglich macht. Ein "Penetrationstest" ohne authentifizierte Tests bei einer Anwendung mit Logins, der genau den Bereich überspringt, in dem die echten Befunde liegen. Und jeder Auftrag, bei dem niemand Namen oder Zertifizierungen der testenden Person nennen will.

Ihre eigene Zahl ermitteln

Wenn Sie schon mit einer ungefähren Vorstellung ins Gespräch kommen wollen, beantworten Sie diese fünf Fragen: Um welche Art System geht es, wie groß ist es grob, wie viele unterschiedliche Benutzerrollen gibt es, liegt eine API im Scope, und setzt ein Framework oder ein Kunde die Frist? Diese fünf Antworten bestimmen nahezu den gesamten Preis. Eine längere Erläuterung steht in was ein Penetrationstest kostet, und der Musterbericht zeigt, was das Geld hervorbringt.

Nach Situation

Kosten funktionieren unterschiedlich, je nachdem, was den Test treibt. Wenn eine Finanzierungsrunde oder ein Enterprise-Kunde der Grund ist, siehe Penetrationstest-Kosten für Start-ups. Wenn es ein Auditor ist, siehe SOC-2-Penetrationstest-Kosten oder PCI-DSS-Penetrationstest-Kosten. Und wenn Sie ein Angebot am untersten Ende des Marktes abwägen, lesen Sie zuerst, was billige Penetrationstests wirklich bringen.

Fragen zum Preis

Weil Sie nicht die Beratung mitbezahlen. Eine Firma, die 18.000 $ für einen Webanwendungstest aufruft, finanziert damit ein Vertriebsteam, Account Manager, eine Projektleitung, ein Büro, eine Marge und häufig einen Junior-Tester, dessen Arbeit ein Senior prüft. Ich bin ein einzelner OSCP+-Tester ohne Overhead, und die Person, die Ihren Test scopt, ist dieselbe, die ihn durchführt und den Bericht schreibt. Die Teststunden bei einer kleinen Anwendung unterscheiden sich nicht wesentlich. Der Preis darum herum schon.
Das hängt ausschließlich davon ab, ob die Stunden real sind. Ein Auftrag für 400 $, bei dem ein automatischer Scanner läuft und die Ausgabe neu formatiert wird, ist zu jedem Preis wertlos. Ein Auftrag für 500 $, der drei bis fünf Tage manuelle Arbeit an einer kleinen Anwendung bedeutet, ist echtes Preis-Leistungs-Verhältnis. Die Frage lautet nie nur nach dem Preis, sondern danach, wie viele Testertage Sie kaufen und wer sie leistet. Wie Sie den Unterschied erkennen lohnt sich, bevor Sie im unteren Preissegment etwas kaufen.
Nein. Jeder Auftrag hat einen Festpreis gegen einen schriftlich fixierten Scope, vereinbart bevor irgendetwas beginnt. Stundenabrechnung verlagert das Risiko einer schlechten Schätzung auf Sie und gibt dem Tester einen stillen Anreiz, langsam zu sein. Sie erhalten die Zahl, den Zeitplan und die Liefergegenstände innerhalb von 24 Stunden nach dem Scoping-Gespräch schriftlich, und diese Zahl ändert sich nur, wenn Sie den Scope ändern.
Nichts, was ein Test braucht. Remediation-Unterstützung, der Nachtest nach Ihren Korrekturen und das Attestierungsschreiben sind enthalten und werden nicht als Extras berechnet. Wirklich außerhalb des Scopes liegt Arbeit, die ich nicht gescopt habe, etwa eine zweite Anwendung mitten im Projekt oder eine Social-Engineering-Komponente, die Sie nicht angefragt haben. Dafür gibt es ein neues Angebot statt einer stillen Aufnahme, damit die ursprüngliche Zahl ehrlich bleibt.
Meist innerhalb eines einzigen Gesprächs. Ich muss wissen, um welche Art System es geht, wie groß es ungefähr ist, ob es authentifizierte Rollen gibt, ob eine API im Scope liegt und ob ein Framework oder ein Kunde die Frist setzt. Daraus entsteht innerhalb von 24 Stunden ein schriftliches Angebot mit Preis und Zeitplan.

Sie wollen die Zahl für Ihren Scope, keine Spanne?

Das Scoping-Gespräch ist kostenlos, das schriftliche Festpreisangebot folgt innerhalb von 24 Stunden.

Kontakt