Penetration Testing Unternehmen Schweiz: Anbieter-Übersicht 2026

Der Schweizer Markt für Penetration Testing wächst rasant. Laut einer Studie von Mordor Intelligence wird der globale Pentest-Markt bis 2027 auf über USD 4,5 Milliarden anwachsen – und die Schweiz zählt als einer der wichtigsten europäischen Standorte für Cybersicherheit zu den Treibern dieser Entwicklung. Für Unternehmen, die einen Penetrationstest beauftragen möchten, stellt sich eine zentrale Frage: Welcher Anbieter ist der richtige?

Diese Übersicht hilft Ihnen, den passenden Partner für Ihr Unternehmen zu finden. Wir beleuchten die wichtigsten Auswahlkriterien, vergleichen die Angebotslandschaft und zeigen, worauf es 2026 wirklich ankommt – von Zertifizierungen über Methodik bis hin zu Schweizer Präsenz und Preismodellen.

Warum die Wahl des richtigen Pentest-Anbieters entscheidend ist

Ein Penetrationstest ist nur so gut wie das Team, das ihn durchführt. Der Unterschied zwischen einem erstklassigen und einem mittelmässigen Anbieter kann bedeuten, dass kritische Schwachstellen übersehen werden – mit potenziell verheerenden Folgen. Laut dem IBM Cost of a Data Breach Report 2025 belaufen sich die durchschnittlichen Kosten einer Datenpanne in der Schweiz auf CHF 4,9 Millionen. Unternehmen, die proaktiv und mit qualifizierten Partnern testen, reduzieren dieses Risiko nachweislich um über 50 %.

Der Schweizer Markt bietet eine Vielzahl von Anbietern – von international tätigen Beratungsunternehmen über spezialisierte Boutique-Firmen bis hin zu Freelancern. Nicht jeder Anbieter ist für jedes Projekt geeignet. Die folgenden Kriterien helfen Ihnen bei einer strukturierten Evaluation.

Die 8 wichtigsten Kriterien bei der Anbieterwahl

Bevor Sie Angebote einholen, sollten Sie sich über Ihre eigenen Anforderungen im Klaren sein. Die folgenden Kriterien bilden das Fundament einer soliden Anbieterauswahl:

1. Zertifizierungen und Akkreditierungen

Zertifizierungen sind der objektivste Qualitätsindikator. Achten Sie auf zwei Ebenen:

• Unternehmenszertifizierungen: CREST (Council of Registered Ethical Security Testers) ist der internationale Goldstandard. CREST-akkreditierte Unternehmen durchlaufen regelmässige Audits und müssen strenge Qualitäts- und Prozessstandards einhalten. Für TIBER-CH-konforme Tests ist CREST oft Voraussetzung.
• Personenzertifizierungen: OSCP (Offensive Security Certified Professional), OSCE, CREST CRT/CCT, GPEN und GXPN sind anerkannte Qualifikationen, die nachweislich praktische Fähigkeiten belegen.

2. Methodik und Testtiefe

Seriöse Anbieter arbeiten nach anerkannten Frameworks wie OWASP Testing Guide, PTES (Penetration Testing Execution Standard) oder NIST SP 800-115. Entscheidend ist die Balance zwischen automatisiertem Scanning und manueller Analyse. Ein Pentest, der hauptsächlich auf automatisierten Tools basiert, wird komplexe Schwachstellen wie Business-Logic-Fehler oder verkettete Angriffspfade nicht finden.

3. Schweizer Präsenz und Datenhaltung

Für viele Unternehmen – insbesondere in regulierten Branchen – ist eine Schweizer Präsenz des Anbieters unverzichtbar. Achten Sie darauf, ob der Anbieter:

• Ein Büro in der Schweiz betreibt
• Schweizer oder in der Schweiz ansässige Tester einsetzt
• Testdaten und Berichte auf Schweizer Infrastruktur speichert
• Das Schweizer Datenschutzgesetz (nDSG) und branchenspezifische Regulierungen kennt

4. Branchenerfahrung

Branchenkenntnisse machen einen erheblichen Unterschied. Ein Anbieter, der die FINMA-Anforderungen kennt, wird einen Pentest für einen Finanzdienstleister anders scopen als ein Anbieter ohne diese Erfahrung. Ebenso erfordern Tests im Gesundheitswesen, in der Industrie (OT/ICS) oder im öffentlichen Sektor spezifisches Know-how.

5. Reporting-Qualität

Der Pentest-Bericht ist das zentrale Ergebnis. Qualitätsberichte enthalten eine verständliche Executive Summary, technische Details mit Reproduktionsschritten, CVSS-basierte Risikobewertungen und priorisierte Massnahmen. Fragen Sie potenzielle Anbieter nach anonymisierten Beispielberichten.

6. Kommunikation und Projektmanagement

Ein guter Pentest-Anbieter kommuniziert proaktiv: kritische Schwachstellen werden sofort gemeldet, nicht erst im Abschlussbericht. Achten Sie auf einen dedizierten Ansprechpartner, klare Meilensteine und eine transparente Projektplanung.

7. Nachtest und Remediation Support

Ein professioneller Pentest endet nicht mit dem Bericht. Fragen Sie, ob ein Nachtest (Retest) im Angebot enthalten ist und ob der Anbieter bei der Behebung der Schwachstellen beratend unterstützt. Ein Retest verifiziert, dass die identifizierten Schwachstellen tatsächlich behoben wurden. Mehr zu Kosten und Leistungsumfang finden Sie in unserem Artikel über Penetrationstest-Kosten in der Schweiz.

8. Preismodell und Transparenz

Seriöse Anbieter erstellen individuelle Angebote nach einem strukturierten Scoping-Gespräch. Misstrauen Sie pauschalen Festpreisen ohne Bedarfsanalyse. Typische Preise für einen Web-Application-Pentest liegen in der Schweiz zwischen CHF 8.000 und 15.000, für umfassende Infrastruktur-Tests zwischen CHF 12.000 und 25.000.

Vergleich: Auswahlkriterien im Überblick

Die folgende Tabelle fasst die wichtigsten Auswahlkriterien zusammen und zeigt, worauf Sie bei jedem Kriterium achten sollten:

Pentest-Anbieter in der Schweiz: Marktübersicht 2026

Die Schweiz verfügt über ein vielfältiges Ökosystem an Cybersicherheitsunternehmen. Laut dem Swiss Cybersecurity Startup Map von digitalswitzerland sind in der Schweiz über 300 Unternehmen im Bereich Cybersicherheit aktiv – darunter zahlreiche, die Penetration Testing als Kerndienstleistung anbieten. Die folgenden Anbieter gehören zu den bekanntesten auf dem Schweizer Markt:

InfoGuard

InfoGuard mit Hauptsitz in Baar (Zug) ist einer der grössten Schweizer Cybersicherheitsanbieter. Das Unternehmen bietet ein breites Spektrum an Dienstleistungen – von Penetration Testing über Security Operations bis hin zu Consulting und Compliance-Beratung. InfoGuard betreibt ein eigenes Cyber Defence Center (CDC) und verfügt über eine grosse Mannschaft mit verschiedenen Spezialisierungen. Der Anbieter ist besonders stark im Bereich Managed Security Services und eignet sich gut für Unternehmen, die ein umfassendes Servicepaket aus einer Hand suchen.

Compass Security

Compass Security aus Rapperswil-Jona gehört zu den Pionieren des Penetration Testing in der Schweiz. Das Unternehmen ist seit über 25 Jahren am Markt und bekannt für seine technische Tiefe. Compass Security betreibt das «Hacking Lab», eine bekannte Online-Plattform für Security-Challenges, und hat einen starken Fokus auf Forschung und Ausbildung. Der Anbieter ist eine gute Wahl für technisch anspruchsvolle Tests, insbesondere in den Bereichen Infrastruktur und Application Security.

SCIP AG

SCIP AG aus Zürich ist ein Spezialist für Vulnerability Intelligence und Penetration Testing. Das Unternehmen ist bekannt für seinen Fokus auf technische Exzellenz und Forschung – unter anderem betreibt SCIP die Vulnerability-Datenbank VulDB. Der Anbieter eignet sich besonders für Unternehmen, die Wert auf tiefgehende technische Analysen und Vulnerability Research legen.

Codepurple

Codepurple ist ein jüngerer, spezialisierter Anbieter aus der Schweiz, der sich auf offensive Sicherheitstests konzentriert. Als Boutique-Firma bietet Codepurple den Vorteil kurzer Entscheidungswege und direkten Zugangs zu den Testern. Der Anbieter positioniert sich als agile Alternative zu den grösseren Anbietern und eignet sich gut für KMU und Startups, die einen schlanken, fokussierten Pentest benötigen.

Wizlynx

Wizlynx Group mit Sitz in der Schweiz und Präsenz in mehreren Ländern ist ein international ausgerichteter Anbieter für Penetration Testing und Security Assessments. Das Unternehmen ist CREST-akkreditiert und PCI-DSS-QSA-zertifiziert, was es zu einer soliden Wahl für Organisationen mit internationaler Präsenz und Compliance-Anforderungen wie PCI DSS macht.

RedTeam Partners

RedTeam Partners ist ein CREST-akkreditiertes Cybersicherheitsunternehmen mit Sitz in Zürich. Der Fokus liegt auf offensiven Sicherheitstests – Penetration Testing, Red Teaming und Bedrohungsanalysen. Das Team besteht aus OSCP-, OSCE- und CREST-zertifizierten Sicherheitsexperten mit Erfahrung in regulierten Branchen wie Finanzdienstleistungen, Pharma und kritische Infrastruktur. RedTeam Partners bietet als Standard einen kostenlosen Retest und Remediation Support an.

Weitere Faktoren: Was über die offensichtlichen Kriterien hinausgeht

Unabhängigkeit vs. Vollsortiment

Einige Anbieter sind reine Pentest-Spezialisten, andere bieten ein breites Portfolio an Sicherheitsdiensten. Beide Modelle haben Vor- und Nachteile. Ein Spezialist konzentriert sich vollständig auf offensive Sicherheit und hat oft tiefere technische Expertise. Ein Vollsortimenter kann Ihnen aus einer Hand auch bei der Behebung helfen, bringt aber möglicherweise einen Interessenkonflikt mit – wenn derselbe Anbieter Schwachstellen findet und dann die Behebung verkäuft.

Teamgrösse und Verfügbarkeit

Grössere Anbieter können mehrere Projekte parallel abwickeln und bieten in der Regel kürzere Vorlaufzeiten. Kleinere Boutique-Firmen sind oft persönlicher und flexibler, haben aber möglicherweise längere Wartezeiten bei hoher Auslastung. Fragen Sie nach der aktuellen Verfügbarkeit und planen Sie Ihren Pentest idealerweise 4–6 Wochen im Voraus.

Spezialisierung und Nischenkompetenz

Je nach Testanforderung kann eine spezifische Nischenkompetenz entscheidend sein. Beispiele:

• OT/ICS-Sicherheit: Industrieunternehmen benötigen Tester mit Erfahrung in Operational Technology.
• Cloud-Native-Tests: AWS, Azure und GCP erfordern spezifische Cloud-Security-Kenntnisse.
• SAP-Sicherheit: SAP-Penetrationstests erfordern tiefe Kenntnisse der SAP-Architektur.
• Mobile und IoT: Tests von mobilen Apps und IoT-Geräten erfordern spezialisierte Tools und Methoden.

Der Schweizer Cybersicherheitsmarkt: Fakten und Trends 2026

Um die Anbieterlandschaft im Kontext zu verstehen, helfen einige Kennzahlen zum Schweizer Markt:

Typische Fehler bei der Anbieterwahl – und wie Sie sie vermeiden

Aus unserer Erfahrung mit über 200 Sicherheitstests für Schweizer Unternehmen sehen wir immer wieder dieselben Fehler bei der Anbieterauswahl:

Fehler 1: Nur auf den Preis schauen

Der günstigste Anbieter ist selten die beste Wahl. Ein Pentest für CHF 3.000 wird in der Regel hauptsächlich aus automatisiertem Scanning bestehen und komplexe, manuelle Schwachstellen übersehen. Der vermeintlich gesparte Betrag kann schnell durch übersehene Schwachstellen zu einem Vielfachen an Kosten führen.

Fehler 2: Zertifizierungen nicht prüfen

Viele Anbieter schmücken sich mit Bezeichnungen wie «Ethical Hacker» oder «Sicherheitsexperte», ohne verifizierbare Qualifikationen vorweisen zu können. Fragen Sie konkret nach den Zertifizierungen der Tester, die Ihr Projekt durchführen werden – nicht nur nach den allgemeinen Unternehmensakkreditierungen.

Fehler 3: Den Scope nicht klar definieren

Ein unscharfes Scoping führt zu unvergleichbaren Angeboten. Definieren Sie vor der Angebotseinholung, welche Systeme, Applikationen und Netzwerkbereiche getestet werden sollen. So erhalten Sie vergleichbare Angebote und vermeiden Überraschungen während des Tests.

Fehler 4: Den Bericht nicht hinterfragen

Nicht alle Pentest-Berichte sind gleich. Ein guter Bericht ist handlungsorientiert und enthält priorisierte Massnahmen, die Ihre IT direkt umsetzen kann. Ein schlechter Bericht ist eine Liste von Vulnerability-Scanner-Outputs ohne Kontext. Bitten Sie um Beispielberichte, bevor Sie sich entscheiden.

Fehler 5: Keinen Nachtest einplanen

Ein Pentest ohne Nachtest ist wie eine ärztliche Diagnose ohne Kontrolltermin. Stellen Sie sicher, dass Ihr Anbieter einen Retest anbietet – idealerweise als inkludierten Bestandteil des Angebots, nicht als teuren Zusatzservice.

Empfehlungen: So gehen Sie bei der Anbieterwahl vor

Basierend auf den oben genannten Kriterien empfehlen wir folgendes Vorgehen:

1. Bedarfsanalyse durchführen: Definieren Sie, welche Systeme getestet werden sollen, welche Compliance-Anforderungen bestehen und welches Budget zur Verfügung steht.
2. Shortlist erstellen: Wählen Sie 3–5 Anbieter aus, die Ihre Mindestanforderungen erfüllen (Zertifizierungen, Branchenerfahrung, Schweizer Präsenz).
3. Scoping-Gespräche führen: Ein professioneller Anbieter bietet ein kostenloses Scoping-Gespräch an. Nutzen Sie dieses, um die Kompetenz des Teams und die Passung zu Ihrem Projekt einzuschätzen.
4. Angebote vergleichen: Achten Sie nicht nur auf den Preis, sondern auf den Leistungsumfang – insbesondere Testtiefe, Reporting-Qualität und Nachtest.
5. Referenzen einholen: Fragen Sie nach Referenzen in Ihrer Branche und kontaktieren Sie diese tatsächlich.
6. Entscheidung treffen: Der beste Anbieter ist derjenige, der Ihre spezifischen Anforderungen am besten erfüllt – nicht zwingend der bekannteste oder der günstigste.

Fazit: Qualität vor Preis, Passung vor Grösse

Die Schweiz verfügt über eine reife und vielfältige Landschaft an Pentest-Anbietern. Ob Sie sich für einen grossen Anbieter wie InfoGuard, einen erfahrenen Spezialisten wie Compass Security oder SCIP AG, einen agilen Newcomer wie Codepurple, einen internationalen Player wie Wizlynx oder ein offensiv-spezialisiertes Unternehmen wie RedTeam Partners entscheiden – entscheidend ist, dass der Anbieter zu Ihren spezifischen Anforderungen passt.

Die wichtigsten Takeaways:

• Zertifizierungen (insbesondere CREST und OSCP) sind der objektivste Qualitätsindikator.
• Methodik und manuelle Testtiefe sind wichtiger als der Preis.
• Schweizer Präsenz und Branchenerfahrung machen einen messbaren Unterschied.
• Ein guter Bericht und ein inkludierter Nachtest sind nicht verhandelbar.
• Führen Sie Scoping-Gespräche mit mindestens drei Anbietern.

Sie möchten den Anbietervergleich mit einem konkreten Angebot starten? Buchen Sie eine kostenlose Bedrohungsanalyse bei RedTeam Partners – innerhalb von 24 Stunden erhalten Sie eine Ersteinschätzung inkl. Scope-Empfehlung und Budgetrahmen. So haben Sie einen soliden Vergleichswert für Ihre Anbieterevaluation.

Häufig gestellte Fragen (FAQ)

Wie viele Pentest-Anbieter gibt es in der Schweiz?

In der Schweiz sind über 300 Unternehmen im Bereich Cybersicherheit aktiv, von denen schätzungsweise 40–60 Penetration Testing als Kerndienstleistung oder wichtigen Geschäftsbereich anbieten. Die Bandbreite reicht von internationalen Beratungshäusern mit lokaler Präsenz über spezialisierte Schweizer Boutique-Firmen bis hin zu Einzelunternehmern und Freelancern. Für die meisten Unternehmen empfiehlt es sich, aus den etablierten Anbietern mit nachweisbaren Zertifizierungen und Referenzen auszuwählen.

Welche Zertifizierungen sollte ein Schweizer Pentest-Anbieter haben?

Auf Unternehmensebene ist CREST (Council of Registered Ethical Security Testers) der internationale Goldstandard. Für TIBER-CH-konforme Tests und viele FINMA-regulierte Organisationen ist eine CREST-Akkreditierung Voraussetzung. Auf Personenebene sind OSCP (Offensive Security Certified Professional), OSCE, CREST CRT/CCT und GPEN anerkannte Qualifikationen. Achten Sie darauf, dass die Tester, die tatsächlich an Ihrem Projekt arbeiten, über relevante Zertifizierungen verfügen – nicht nur das Unternehmen als Ganzes.

Was kostet ein Penetrationstest bei einem Schweizer Anbieter?

Die Kosten variieren je nach Umfang und Komplexität. Ein Web-Application-Pentest liegt typischerweise bei CHF 8.000 bis 15.000, ein externer Infrastruktur-Test bei CHF 10.000 bis 18.000 und ein umfassendes Engagement (extern + intern + Applikationen) bei CHF 18.000 bis 35.000. Red-Teaming-Engagements beginnen ab CHF 30.000. Detaillierte Informationen finden Sie in unserem Artikel über Penetrationstest-Kosten in der Schweiz.

Sollte ich einen Schweizer oder einen internationalen Anbieter wählen?

Für die meisten Schweizer Unternehmen bietet ein Anbieter mit Schweizer Präsenz klare Vorteile: Kenntnis der lokalen Regulierungen (nDSG, FINMA, ISG), Datenhaltung in der Schweiz, Kommunikation in der Landessprache und die Möglichkeit für persönliche Treffen. Internationale Anbieter können eine sinnvolle Ergänzung sein, wenn Sie eine spezifische Nischenkompetenz benötigen (z.B. SAP-Security, OT/ICS) oder Tests in mehreren Ländern koordinieren müssen. Idealerweise kombinieren Sie die Vorteile: ein international akkreditierter Anbieter mit starker Schweizer Präsenz.

Wie oft sollte ich den Pentest-Anbieter wechseln?

Es gibt keine pauschale Regel, aber Experten empfehlen, den Anbieter alle 2–3 Jahre zu rotieren oder zumindest einen zweiten Anbieter für bestimmte Testbereiche hinzuzuziehen. Der Grund: Jedes Pentest-Team hat eigene Stärken, Perspektiven und Erfahrungen. Ein Anbieterwechsel bringt frische Augen und kann Schwachstellen aufdecken, die dem bisherigen Team entgangen sind. Gleichzeitig hat ein langfristiger Partner den Vorteil, Ihr Unternehmen und Ihre Systeme gut zu kennen. Ein pragmatischer Ansatz: Behalten Sie einen Hauptanbieter und beauftragen Sie alle 2–3 Jahre einen Zweitanbieter für einen unabhängigen Vergleichstest.