Penetration Testing Anbieter Schweiz: Auswahl-Leitfaden 2026

01 Warum die Wahl über Ihr Risiko entscheidet

Die Nachfrage hat einen realen Hintergrund. Der globale Pentest-Markt wächst laut Mordor Intelligence bis 2027 auf über USD 4,5 Milliarden, und die Schweiz zählt zu den wichtigsten europäischen Cybersicherheitsstandorten [ Mordor Intelligence 2025 ] . Das Bundesamt für Cybersicherheit meldete für 2025 über 63'000 Cybervorfälle, ein Anstieg von 35 Prozent gegenüber dem Vorjahr [ BACS 2024 ] . Rund 40 Prozent dieser Vorfälle beginnen mit Phishing als Einstiegsvektor.

Was Sie aus einem Test herausholen, hängt an der Testtiefe. Ein Pentest, der hauptsächlich aus automatisiertem Scanning besteht, übersieht Business- Logic-Fehler und verkettete Angriffspfade. Das sind die Lücken, durch die ein echter Angreifer geht. Ein Anbieter, der proaktiv und manuell testet, senkt Ihr Risiko messbar. Ein Anbieter, der nur einen Scanner laufen lässt, verkauft Ihnen ein falsches Gefühl von Sicherheit.

02 Die acht Kriterien

Bevor Sie Angebote einholen, brauchen Sie eigene Anforderungen. Die folgenden acht Kriterien machen Angebote vergleichbar und trennen den Partner, der Lücken findet, vom Anbieter, der einen Report abliefert.

1. Zertifizierungen und Akkreditierungen

Zertifizierungen sind der objektivste Qualitätsindikator. CREST ist auf Unternehmensebene der internationale Goldstandard, CREST-akkreditierte Firmen durchlaufen regelmässige Audits und erfüllen strenge Prozess- Standards. Für TIBER-CH-konforme Tests ist CREST oft Voraussetzung. Auf Personenebene belegen OSCP, OSCE, CREST CRT/CCT, GPEN und GXPN praktische Fähigkeiten. Fragen Sie nach den Zertifikaten der Tester, die Ihr Projekt führen, nicht nur nach der Firmenakkreditierung.

2. Methodik und Testtiefe

Seriöse Anbieter arbeiten nach anerkannten Frameworks wie dem OWASP Testing Guide, PTES oder NIST SP 800-115. Entscheidend ist die Balance zwischen automatisiertem Scanning und manueller Analyse. Ein professioneller Pentest umfasst mindestens 60 bis 70 Prozent manuelle Arbeit. Nur so findet das Team Business-Logic-Fehler und verkettete Angriffspfade, die kein Werkzeug kennt.

3. Schweizer Präsenz und Datenhaltung

In regulierten Branchen ist eine Schweizer Präsenz oft unverzichtbar. Prüfen Sie, ob der Anbieter ein Büro in der Schweiz betreibt, in der Schweiz ansässige Tester einsetzt, Testdaten und Berichte auf Schweizer Infrastruktur speichert und das revidierte Datenschutzgesetz sowie branchenspezifische Regulierungen kennt.

4. Branchenerfahrung

Branchenkenntnis verändert das Scoping. Ein Anbieter, der die FINMA- Anforderungen kennt, testet einen Finanzdienstleister anders als ein Team ohne diese Erfahrung. Tests im Gesundheitswesen, in der Industrie mit OT/ICS oder im öffentlichen Sektor brauchen jeweils spezifisches Know-how.

5. Reporting-Qualität

Der Bericht ist Ihr Ergebnis. Ein guter Bericht liefert eine verständliche Executive Summary, technische Details mit Reproduktionsschritten, CVSS- basierte Risikobewertungen und priorisierte Massnahmen, die Ihre IT direkt umsetzt. Fragen Sie nach einem anonymisierten Beispielbericht, bevor Sie unterschreiben.

6. Kommunikation und Projektmanagement

Ein guter Anbieter meldet kritische Schwachstellen sofort, nicht erst im Abschlussbericht. Achten Sie auf einen dedizierten Ansprechpartner, klare Meilensteine und eine transparente Planung.

7. Nachtest und Remediation Support

Ein professioneller Pentest endet nicht mit dem Bericht. Ein Nachtest verifiziert, dass die identifizierten Lücken tatsächlich geschlossen sind. Fragen Sie, ob der Retest im Angebot enthalten ist und ob der Anbieter bei der Behebung beratend unterstützt.

8. Preismodell und Transparenz

Seriöse Anbieter kalkulieren individuell nach einem strukturierten Scoping- Gespräch. Misstrauen Sie pauschalen Festpreisen ohne Bedarfsanalyse. Typische Preise liegen in der Schweiz für einen Web-Application-Pentest bei CHF 8'000 bis 15'000, für umfassende Infrastruktur-Tests bei CHF 12'000 bis 25'000.

Die folgende Tabelle fasst die Kriterien zusammen und zeigt, was die Mindestanforderung ist und woran Sie den Idealzustand erkennen.

03 Marktübersicht 2026

Die Schweiz hat ein reifes Ökosystem an Cybersicherheitsfirmen. Laut der Swiss Cybersecurity Startup Map von digitalswitzerland sind über 300 Unternehmen im Bereich aktiv, viele davon mit Penetration Testing als Kerndienstleistung [ digitalswitzerland 2025 ] . Der Fachkräftemangel treibt die Nachfrage zusätzlich: Laut (ISC)² fehlen in der Schweiz über 12'000 Sicherheitsfachkräfte, deshalb lagern immer mehr Betriebe an spezialisierte Anbieter aus [ (ISC)² 2025 ] . Die folgenden Firmen gehören zu den bekanntesten auf dem Markt.

InfoGuard

InfoGuard mit Hauptsitz in Baar zählt zu den grössten Schweizer Anbietern. Das Portfolio reicht von Penetration Testing über Security Operations bis zu Consulting und Compliance-Beratung, betrieben aus einem eigenen Cyber Defence Center. InfoGuard passt zu Unternehmen, die ein umfassendes Servicepaket aus einer Hand suchen.

Compass Security

Compass Security aus Rapperswil-Jona gehört zu den Pionieren des Penetration Testing in der Schweiz, seit über 25 Jahren am Markt und bekannt für technische Tiefe. Die Firma betreibt das Hacking Lab und hat einen starken Fokus auf Forschung und Ausbildung. Eine gute Wahl für technisch anspruchsvolle Infrastruktur- und Application-Tests.

scip AG

scip AG aus Zürich ist Spezialist für Vulnerability Intelligence und Penetration Testing, unter anderem Betreiber der Schwachstellen-Datenbank VulDB. Der Anbieter eignet sich für Unternehmen, die Wert auf tiefe technische Analysen und Vulnerability Research legen.

Codepurple

Codepurple ist ein jüngerer, spezialisierter Anbieter mit Fokus auf offensive Sicherheitstests. Als Boutique bietet die Firma kurze Entscheidungswege und direkten Zugang zu den Testern. Passt gut zu KMU und Startups, die einen schlanken, fokussierten Pentest brauchen.

Wizlynx

Die Wizlynx Group mit Sitz in der Schweiz und Präsenz in mehreren Ländern ist international ausgerichtet. Die Firma ist CREST-akkreditiert und PCI-DSS-QSA-zertifiziert, eine solide Wahl für Organisationen mit internationaler Präsenz und PCI-DSS-Anforderungen.

Red Team Partners

Red Team Partners ist ein CREST-akkreditiertes Unternehmen mit Sitz in Zürich und Fokus auf offensive Sicherheitstests: Penetration Testing, Red Teaming und Bedrohungsanalysen. Das Team hält OSCP-, OSCE- und CREST- Zertifikate und hat Erfahrung in regulierten Branchen wie Finanzdienstleistung, Pharma und kritischer Infrastruktur. Retest und Remediation Support sind Standard, nicht Aufpreis. Der Anspruch: Enterprise-grade, nicht enterprise- priced.

04 Fehler, die einen Test wertlos machen

Aus über 200 Sicherheitstests für Schweizer Unternehmen sehen wir bei der Anbieterwahl immer wieder dieselben fünf Fehler. Jeder davon kostet nichts beim Einkauf und viel im Ernstfall.

Der günstigste Anbieter ist selten die beste Wahl. Der vermeintlich gesparte Betrag wird schnell zum Vielfachen, wenn eine übersehene Schwachstelle im nächsten Vorfall landet. Fragen Sie konkret nach den Zertifikaten der Tester, die an Ihrem Projekt arbeiten, nicht nur nach der Firmenakkreditierung. Und bestehen Sie auf einem Beispielbericht, bevor Sie sich festlegen.

05 So wählen Sie aus

Ein strukturiertes Vorgehen führt zu vergleichbaren Angeboten und einer Entscheidung, die Sie begründen können. Die folgenden Schritte haben sich in der Praxis bewährt.

Drei Fragen entlarven im Erstgespräch schnell, wer liefert. Erstens: Welche Zertifikate haben die Tester, die mein Projekt führen? Ohne konkrete Namen und Zertifikate ist Vorsicht angebracht. Zweitens: Wie viel Prozent des Tests ist manuell? Die Antwort sollte bei mindestens 60 bis 70 Prozent liegen. Drittens: Was passiert, wenn Sie während des Tests eine kritische Lücke finden? Die richtige Antwort ist Sofortmeldung, nicht steht im Abschlussbericht.

Ein Test bei Red Team Partners bleibt nicht bei einer Momentaufnahme. RTP Robin ist das Dashboard, in dem ein Engagement ein Jahr unbegrenzter Nachtests kauft: Ihre Operatoren wiederholen den Angriff, sobald sich Ihre Angriffsfläche ändert, und ein Mensch prüft jeden Befund, bevor er Sie erreicht. So bleibt der Nachweis aktuell, statt zwölf Monate alt zu werden.

Sie wollen den Anbietervergleich mit einem echten Vergleichswert starten? Ein kostenloses Erst-Audit von Red Team Partners liefert Ihnen die Angriffsfläche, den wahrscheinlichsten Weg hinein und eine priorisierte Fix-Liste, geschrieben für Ihre Technik und Ihren Vorstand. Damit gehen Sie mit einer belegten Ersteinschätzung in jedes weitere Gespräch. Enterprise-grade. Nicht enterprise-priced.