Penetrationstest Kosten in der Schweiz: was ein Pentest 2026 kostet

01 Preise nach Testtyp

Die Tabelle zeigt die typischen Preisbereiche für die gängigen Testtypen in der Schweiz, mit Dauer und üblichem Umfang. Wir nutzen sie als Richtwerte. Einen Festpreis nennen wir erst, wenn wir Ihre Angriffsfläche in einem Scoping-Gespräch gesehen haben.

Wer kleiner einsteigen will, beginnt mit der Threat Map, ab CHF 5'000, in 14 Tagen. Sie zeigt, welche Ihrer Systeme ein Angreifer von aussen sieht, und gibt Ihnen die Grundlage, um den Umfang eines vollen Tests sauber festzulegen.

02 Was den Preis treibt

Sie können jede Pentest-Offerte an sechs Grössen messen. Kennen Sie diese, sehen Sie auch, wo ein Anbieter gespart hat.

1. Umfang und Komplexität

Eine statische Firmenwebsite braucht einen Bruchteil der Testtage einer SaaS-Plattform mit Dutzenden API-Endpunkten, Rollenrechten und Anbindungen an Drittsysteme. Jede Funktion gibt einem Angreifer einen weiteren Weg hinein: Bezahlung, Benutzerverwaltung, Datei-Uploads. Mehr Wege heissen mehr Tage für den Operator, der sie gehen muss.

2. Testmethodik

Wie viel der Tester im Voraus weiss, verändert den Aufwand erheblich.

Für die meisten Betriebe lohnt sich der Grey-Box-Test: Der Operator verbringt keine Tage damit, Wissen nachzubauen, das Sie ihm in einer Stunde geben können, und steckt die Zeit in die eigentliche Ausnutzung.

3. Qualifikation der Tester

Fragen Sie, wer konkret testet. Anbieter mit CREST-Akkreditierung auf Firmenebene und OSCP auf Personenebene durchlaufen regelmässige Prüfungen und müssen Qualitätsstandards einhalten [ CREST ] . Sie bezahlen damit Operatoren, die einen Angriff auch dann finden, wenn kein Scanner ihn meldet. Bei Red Team Partners testen CREST-zertifizierte Operatoren, mit über 1'000 gelieferten Tests. Apple nannte einen unserer Sicherheitsforscher im August 2026 in seinen Security Acknowledgements.

4. Regulierung und Nachweis

Arbeiten Sie in einer regulierten Branche, braucht Ihr Bericht mehr Dokumentation. Banken und Wertpapierhäuser lassen nach FINMA-Rundschreiben 2023/1 regelmässig Verwundbarkeitsanalysen und Penetrationstests durch qualifiziertes Personal durchführen, für alle aus dem Internet erreichbaren Systeme und für interne Systeme mit kritischen Prozessen oder Daten [ FINMA-RS 2023/1, Rz 69 ] . Ähnliches gilt für Nachweise nach ISO 27001 oder dem revidierten Datenschutzgesetz. Mehr Systeme im Umfang und ein prüffähiger Bericht bedeuten mehr Testtage. Was das für Banken konkret heisst, lesen Sie in unserem Beitrag zu Penetrationstests nach FINMA-Rundschreiben 2023/1.

5. Nachtest und Behebung

Mit dem Bericht wissen Sie, welche Türen offen waren. Erst der Nachtest zeigt Ihnen, dass Ihr Team sie geschlossen hat. Viele Anbieter verrechnen ihn separat, typischerweise mit CHF 1'500 bis 4'000. Bei uns enthält jeder Test ein Jahr unbegrenzte Retests über RTP Robin.

6. Zeitfenster und Betrieb

Müssen Operatoren nachts oder am Wochenende testen, weil ein System tagsüber nicht gestört werden darf, oder braucht es Tage vor Ort für WLAN und physischen Zugang, steigt der Aufwand. Sagen Sie das im Scoping-Gespräch, dann steht es im Angebot und nicht auf der Nachrechnung.

03 Ablauf und Dauer

Sie bezahlen für sechs Schritte. Bei jedem wissen Sie, was passiert, und Sie geben frei, bevor etwas beginnt.

1. Umfang und Autorisierung. Sie sagen uns, was zählt. Wir legen fest, was im Umfang liegt, was tabu ist und in welchem Zeitfenster wir testen. Danach unterschreiben Sie die Autorisierung. Das dauert ein Gespräch.
2. Aufklärung. Wir kartieren Ihre Angriffsfläche so, wie ein Angreifer es tut, von aussen und ohne Informationen von Ihnen.
3. Ausnutzung. Wir greifen an, was wir gefunden haben, und beweisen, welche Schwachstellen eine Tür öffnen. Wo wir nicht durchkamen, sagen wir es und zeigen, warum.
4. Rechteausweitung und laterale Bewegung. Wir zeigen, wie weit ein erster Zugang reicht und welche Ihrer kritischen Daten er berührt.
5. Menschliche Verifikation. Ein CREST-zertifizierter Operator bestätigt jeden Befund von Hand, bevor Sie ihn sehen.
6. Bericht und Retest. Sie erhalten den Angriffspfad, priorisierte Befunde und die Massnahme je Befund. RTP Robin wiederholt den Angriff danach ein Jahr lang.

Für die Testphase rechnen Sie mit 3 bis 15 Tagen je nach Testtyp, dazu einige Tage für Bericht und Besprechung. Ein Red-Teaming-Engagement läuft über zwei bis sechs Wochen. Den Zeitplan halten wir vor dem Start schriftlich fest, damit Sie wissen, wann wir testen und wann der Bericht kommt.

Was im Bericht stehen muss

04 Zwei Angebote fair vergleichen

Legen Sie zwei Offerten nebeneinander, vergleichen Sie zuerst die Arbeit und erst dann den Preis. Stellen Sie jedem Anbieter dieselben Fragen.

Festpreis, Aufwand oder laufende Tests

Anbieter rechnen auf drei Arten ab. Beim Festpreis nach Scoping kennen Sie die Summe vorab und tragen kein Mehrkostenrisiko, sofern der Umfang sauber festgehalten ist. Nach Aufwand zahlen Sie die geleisteten Tage, was bei unklarem Umfang flexibel ist und schwerer zu budgetieren. Bei laufenden Tests verteilen Sie das Budget über das Jahr und testen nach jeder Änderung. Wir legen den Umfang mit Ihnen in einem Gespräch fest, Sie zahlen für die Arbeit in genau diesem Umfang, und RTP Robin wiederholt den Angriff danach ein Jahr lang, damit Ihr Bericht nicht am Tag nach der Übergabe veraltet.

05 Scan oder Pentest

Manche Anbieter verkaufen einen automatisierten Vulnerability Scan unter dem Namen «Penetrationstest». Prüfen Sie darum, was Sie bekommen, bevor Sie die Preise vergleichen.

Ein Scanner meldet eine veraltete Software-Version als roten Balken. Ein Operator zeigt Ihnen, wie ein Angreifer genau diese Lücke nutzt, um an Ihre Kundendatenbank zu kommen, Administratorrechte zu erlangen und sich durch Ihr Netz zu bewegen. Sie erhalten im ersten Fall eine Liste, im zweiten den Beweis und die Reihenfolge der Behebung. Den Unterschied im Detail erklärt unser Beitrag Schwachstellenanalyse oder Penetrationstest.

06 Budget planen und sparen

Sie verteilen das Testbudget am besten über das Jahr, statt alles in einen einzigen Test zu stecken. Der folgende Rhythmus zeigt, wo das Geld wirkt.

So senken Sie die Kosten, ohne Testtiefe zu verlieren

• Geben Sie Testkonten und eine Architekturübersicht mit. Ein Grey-Box-Test spart Aufklärungstage.
• Starten Sie mit dem, was ein Angreifer zuerst erreicht: externe Infrastruktur und die wichtigste Webanwendung. Den Rest ergänzen Sie, sobald Sie die ersten Befunde gesehen haben.
• Bereiten Sie Zugänge, Ansprechpartner und Freigaben vor dem Start vor. Jeder Tag, an dem ein Operator auf einen Login wartet, kostet Sie Geld.
• Verlangen Sie den Retest im Angebot. Ein zweiter Auftrag für den Nachtest kostet mehr als ein enthaltener.
• Lassen Sie ein Testfenster nach grossen Releases einplanen, statt jedes Release einzeln zu bestellen.

Ein Angreifer rechnet anders als Ihr Budgetplan. Laut IBM kostete eine Datenpanne Unternehmen 2024 weltweit im Schnitt USD 4,88 Millionen [ IBM 2024 ] . Das BACS berichtet laufend über Angriffe auf Schweizer Betriebe jeder Grösse [ BACS ] . Wer vor dem Angreifer testet, kennt die offenen Türen zuerst.

Sie wollen wissen, was ein Pentest für Ihren Betrieb kostet? In einem Scoping-Gespräch klären wir, welche Systeme in den Test gehören, und Sie erhalten danach ein Angebot für genau diesen Umfang. Was im Test steckt, sehen Sie auf unserer Seite zum Penetrationstest in der Schweiz. Wer zuerst einen kostenlosen Blick auf die eigene Angriffsfläche will, startet mit dem Erst-Audit.