Was kostet ein Penetrationstest in der Schweiz? Preise 2026

Die kurze Antwort: Ein professioneller Penetrationstest in der Schweiz kostet zwischen CHF 6.000 und CHF 25.000 – je nach Umfang, Komplexität und Testtyp. Ein Standard-Web-Application-Pentest liegt typischerweise bei CHF 8.000 bis 15.000, während umfangreiche Infrastruktur-Tests CHF 12.000 bis 25.000 kosten.

Wer zum ersten Mal einen Penetrationstest beauftragt, steht vor einer unübersichtlichen Preislandschaft. Die Angebote reichen von wenigen Tausend Franken bis hin zu sechsstelligen Beträgen. Dieser Leitfaden erklärt, welche Faktoren den Preis bestimmen, welche Leistungen enthalten sein sollten und warum der günstigste Anbieter selten die beste Wahl ist.

Penetrationstest Kosten nach Testtyp – Übersicht 2026

Die folgende Tabelle zeigt die typischen Preisbereiche für verschiedene Pentest-Typen in der Schweiz. Die Angaben basieren auf Marktdaten und unserer Erfahrung aus über 200 durchgeführten Tests für Schweizer Unternehmen.

Wichtig: Diese Zahlen sind Richtwerte. Ein seriöser Anbieter erstellt immer ein individuelles Angebot auf Basis eines Scoping-Gesprächs. Misstrauen Sie pauschalen Festpreisen ohne vorherige Bedarfsanalyse.

Welche Faktoren beeinflussen die Kosten eines Penetrationstests?

Der Preis eines Pentests hängt von zahlreichen Variablen ab. Die wichtigsten Kostentreiber im Überblick:

1. Umfang und Komplexität

Der grösste Kostenfaktor ist der Testumfang. Eine einfache Unternehmenswebsite mit statischen Seiten erfordert deutlich weniger Aufwand als eine komplexe SaaS-Plattform mit Dutzenden von API-Endpunkten, rollenbasierter Zugriffskontrolle und Integrationen zu Drittsystemen. Jede zusätzliche Funktionalität – Zahlungsabwicklung, Benutzerverwaltung, Datei-Uploads – erhöht die Angriffsfläche und damit den Testaufwand.

2. Testmethodik

Es gibt verschiedene Ansätze, die sich im Aufwand erheblich unterscheiden:

• Black-Box-Test: Der Tester erhält keine Vorabinformationen und simuliert einen externen Angreifer. Erfordert zusätzliche Reconnaissance-Zeit.
• Grey-Box-Test: Teilweise Informationen (z.B. Testkonten, Architekturübersicht) werden bereitgestellt. Die effizienteste Methode für die meisten Unternehmen.
• White-Box-Test: Vollständiger Zugang zu Quellcode und Dokumentation. Am gründlichsten, aber auch am aufwendigsten.

3. Zertifizierungen des Anbieters

Anbieter mit anerkannten Zertifizierungen wie CREST, OSCP oder OSCE verfügen über nachweislich qualifizierte Tester. Diese Expertise hat ihren Preis – und ihren Wert. CREST-zertifizierte Unternehmen durchlaufen regelmässige Audits und müssen strenge Qualitätsstandards einhalten.

4. Branchenspezifische Anforderungen

Regulierte Branchen wie Finanzdienstleistungen (FINMA), Gesundheitswesen oder kritische Infrastruktur erfordern erweiterte Testszenarien und eine detailliertere Dokumentation. Compliance-Anforderungen nach PCI DSS, ISO 27001 oder dem neuen Schweizer Datenschutzgesetz (nDSG) können den Aufwand um 20 – 40 % erhöhen.

5. Nachtest und Remediation Support

Ein professioneller Pentest endet nicht mit dem Bericht. Qualitätsanbieter bieten einen Nachtest (Retest) an, um die Behebung der gefundenen Schwachstellen zu verifizieren. Dieser Service ist entweder im Preis enthalten oder kostet zusätzlich CHF 1.500 bis 4.000.

Warum die günstigste Option selten die beste ist

Der Schweizer Markt wird zunehmend von Billiganbietern überflutet, die automatisierte Vulnerability Scans als «Penetrationstests» verkaufen. Der Unterschied ist erheblich:

Ein automatisierter Scan findet möglicherweise eine veraltete Software-Version. Ein erfahrener Penetrationstester zeigt Ihnen, wie ein Angreifer diese Schwachstelle ausnutzt, um auf Ihre Kundendatenbank zuzugreifen, Administratorrechte zu erlangen oder sich lateral durch Ihr Netzwerk zu bewegen.

Was beinhaltet ein professioneller Pentest-Bericht?

Der Bericht ist das zentrale Ergebnis jedes Penetrationstests. Ein qualitativ hochwertiger Bericht enthält:

• Executive Summary: Nicht-technische Zusammenfassung für die Geschäftsleitung mit Risikobewertung und strategischen Empfehlungen.
• Technische Details: Jede Schwachstelle mit Beschreibung, Reproduktionsschritten, Screenshots und Proof-of-Concept-Code.
• Risiko-Klassifizierung: Bewertung nach CVSS-Score und tatsächlichem Business Impact.
• Priorisierte Massnahmen: Konkrete Handlungsempfehlungen, sortiert nach Dringlichkeit und Aufwand.
• Nachtest-Möglichkeit: Verifizierung der umgesetzten Massnahmen innerhalb eines definierten Zeitraums.

Wie Sie Ihr Pentest-Budget sinnvoll planen

Cybersecurity-Experten empfehlen, 5 – 10 % des IT-Sicherheitsbudgets für regelmässige Sicherheitstests einzuplanen. Für die meisten mittelständischen Schweizer Unternehmen bedeutet das:

Damit ergibt sich ein jährliches Budget von CHF 20.000 bis 40.000 für ein mittelständisches Unternehmen – ein Bruchteil der potenziellen Schadenssumme bei einem erfolgreichen Cyberangriff.

So finden Sie den richtigen Pentest-Anbieter

Achten Sie bei der Auswahl eines Anbieters auf folgende Kriterien:

• Akkreditierungen: CREST, CHECK oder vergleichbare Zertifizierungen gewährleisten Qualitätsstandards.
• Transparentes Scoping: Ein seriöser Anbieter führt ein ausführliches Scoping-Gespräch, bevor er ein Angebot erstellt.
• Erfahrung in Ihrer Branche: Branchenkenntnisse sind entscheidend, besonders in regulierten Sektoren.
• Referenzen und Fallstudien: Fragen Sie nach konkreten Beispielen ähnlicher Projekte.
• Nachtest inklusive: Der Retest sollte im Angebot enthalten sein.

Nächste Schritte

Ein Penetrationstest ist keine Ausgabe – er ist eine Investition in die Widerstandsfähigkeit Ihres Unternehmens. RedTeam Partners bietet CREST-zertifizierte Penetrationstests für Schweizer Unternehmen aller Grössen an.

Sie möchten wissen, was ein Pentest für Ihr Unternehmen kosten würde? Fordern Sie eine kostenlose Bedrohungsanalyse an – innerhalb von 24 Stunden erhalten Sie eine Ersteinschätzung inkl. Budgetrahmen. Oder erfahren Sie mehr über unseren Penetrationstest-Ansatz.