> Penetrationstest richtig beauftragen: Arten, Unterschied zum Schwachstellenscan, Vertragsinhalte nach BSI-Leitfaden, Scope-Vorlage und die Zeit danach. # Penetrationstest beauftragen: Scope, Vertrag und was danach kommt Ein Penetrationstest ist ein bestellter Einbruch. Wie bei jedem Einbruch, den man bestellt, entscheidet die Vorbereitung, ob danach etwas Nützliches auf dem Tisch liegt oder nur ein teurer Bericht. Wir machen keine Pentests selbst. Wir sorgen dafür, dass deiner sich lohnt. [Pentest vorbereiten lassen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Zur Scope-Vorlage](https://mediabrandcast.com/leistungen/cybersecurity/penetrationstest/#scope) Kurz gesagt Ein Penetrationstest ist ein autorisierter, simulierter Angriff auf Systeme, Anwendungen oder Prozesse, mit dem Fachleute Schwachstellen finden, bevor es echte Angreifer tun. Er braucht einen schriftlichen Auftrag mit klarem Umfang, Zeitraum und Prüftiefe. Das BSI empfiehlt grundsätzlich Whitebox-Tests mit offenen Informationen. mediabrandcast führt keine Pentests durch, bereitet sie aber vor, hilft bei der Auswahl und behebt die Befunde danach. ## Was ist ein Penetrationstest? Ein Penetrationstest, kurz Pentest, ist eine Sicherheitsprüfung, bei der Fachleute mit den Methoden echter Angreifer versuchen, in ein System einzudringen, aber mit Erlaubnis, nach festen Regeln und mit einem Bericht am Ende. Geprüft werden können Websites und Webanwendungen, Netzwerke und Server, mobile Apps oder auch Menschen, etwa mit Phishing-Tests. Das BSI unterscheidet in seinem Praxis-Leitfaden zwei Grundformen. Beim Blackbox-Test kennen die Prüfenden nur die Adressen des Ziels und spielen einen Außentäter. Beim Whitebox-Test bekommen sie umfangreiche Informationen. Das BSI empfiehlt grundsätzlich Whitebox-Tests, weil Blackbox-Tests aufwendiger sind, ein höheres Risiko unbeabsichtigter Schäden haben und Szenarien wie Innentäter nicht abdecken. ## Schwachstellenscan, Pentest, Sicherheitscheck: der Unterschied Drei Begriffe, drei Werkzeuge. Wer sie verwechselt, zahlt zu viel oder bekommt zu wenig. Arten der Sicherheitsprüfung im Vergleich, Einordnung von mediabrandcast, Stand 14.11.2026 | Frage | Schwachstellenscan | Penetrationstest | Sicherheitscheck, Audit | |---|---|---|---| | Was passiert? | automatisierte Suche nach bekannten Lücken | Fachleute versuchen gezielt einzudringen und Lücken zu verketten | Prüfung von Maßnahmen, Dokumenten, Abläufen | | Findet | bekannte, typische Schwachstellen | auch Logikfehler und Kombinationen | organisatorische Lücken | | Dauer | Stunden | Tage bis Wochen, je nach Umfang | Tage | | Wie oft sinnvoll? | laufend, etwa monatlich | vor großen Starts, nach großen Änderungen, regelmäßig | jährlich oder nach Vorgabe | | Wer? | IT oder Dienstleister mit Werkzeug | spezialisierte Prüfende | Auditorinnen, Beratung | Für kleine Unternehmen ist oft ein Grundcheck der bessere erste Schritt. Was der umfasst, steht unter [Cybersecurity für KMU](https://mediabrandcast.com/leistungen/cybersecurity/). ## Wann ein Pentest sinnvoll ist - Vor dem Start einer Anwendung, die Kundendaten verarbeitet: Kundenportal, Shop, App, Schnittstelle. - Nach großen Änderungen an Netzwerk, Anmeldung oder Rechten. - Wenn Kundschaft oder Versicherer es verlangen, etwa in Fragebögen zur Informationssicherheit. - Als Teil der Wirksamkeitsprüfung: Das BSI-Gesetz verlangt von NIS2-Einrichtungen unter anderem Konzepte, mit denen die Wirksamkeit der Maßnahmen bewertet wird (§ 30 BSIG). Ein Pentest kann ein Baustein davon sein, ist dort aber nicht ausdrücklich vorgeschrieben. Mehr zur Umsetzung von NIS2 steht unter [NIS2 umsetzen](https://mediabrandcast.com/leistungen/cybersecurity/nis2/nis2-umsetzung/). Orientierung, keine Rechtsberatung. Fakten - Prüfende sollten nie ohne schriftlichen Auftrag testen; sind Dienste bei einem Hoster, muss dieser in den Vertrag einbezogen werden. Quelle: BSI, Praxis-Leitfaden IS-Penetrationstests, Version 1.2, November 2016 - Das BSI empfiehlt grundsätzlich Whitebox-Tests. Quelle: ebenda - Wer sich unbefugt Zugang zu besonders gesicherten Daten verschafft, macht sich strafbar. Quelle: [§ 202a StGB](https://www.gesetze-im-internet.de/stgb/__202a.html), abgerufen am 14.11.2026 ## Was in den Vertrag gehört Nach dem Praxis-Leitfaden des BSI. Neun Punkte, die du vor dem ersten Testpaket klärst. ### Schriftlicher Auftrag Ohne ihn ist ein Angriffstest kein Test. Alle Beteiligten unterschreiben, auch der Hoster, wenn Systeme dort laufen. ### Prüfobjekt Welche Adressen, Anwendungen, Netze genau. Und was ausdrücklich nicht. ### Prüfzeitraum Datum, Uhrzeiten, Wartungsfenster. Wer darf in dieser Zeit Alarm schlagen, und wer weiß Bescheid? ### Prüftiefe Nur finden oder auch ausnutzen? Destruktive Tests ja oder nein? ### Kosten und Leistungen Was ist neben dem Test enthalten: Bericht, Präsentation für die Geschäftsleitung, Nachtest? ### Mitwirkungspflichten Zugänge, Testkonten, Ansprechpartner, Dokumentation, die du bereitstellst. ### Haftung und Verschwiegenheit Wer haftet für Schäden, und dass weder Befunde noch Strukturen an Dritte gehen. ### Daten und Datenschutz Welche Daten gespeichert werden dürfen, wann sie gelöscht werden, mit Nachweis. Datenschutzbeauftragte und gegebenenfalls Personalvertretung vorher einbeziehen. ### Gültigkeit der Ergebnisse Der Bericht gilt für den Testzeitpunkt. Es ist nicht gewährleistet, dass alle Fehler gefunden werden. ## Vorlage: Scope-Beschreibung für die Anfrage Damit Angebote vergleichbar werden, schickst du allen Anbietern dieselbe Beschreibung. Ausfüllen, intern abstimmen, dann anfragen. ``` SCOPE PENETRATIONSTEST [UNTERNEHMEN] Stand: [DATUM] 1. ANLASS UND ZIEL Warum testen wir? [Start Kundenportal / Fragebogen Kunde / Wirksamkeit] Was soll am Ende feststehen? [z. B. kritische Lücken vor Go-live geschlossen] 2. PRÜFOBJEKTE Webanwendung: [URL], Rollen: [Gast, Kunde, Admin], Testkonten: [ja] Schnittstellen:[API-Endpunkte / Dokumentation vorhanden: ja/nein] Netzwerk: [extern: IP-Bereiche] [intern: ja/nein] Ausgeschlossen:[Systeme, die NICHT getestet werden dürfen] 3. ART DES TESTS [ ] Whitebox (Informationen werden bereitgestellt, Empfehlung BSI) [ ] Greybox (Testkonten, eingeschränkte Informationen) [ ] Blackbox (nur Adressen) Destruktive Tests: [nein / nur nach Absprache] 4. ZEITRAUM UND BETRIEB Testfenster: [Datum, Uhrzeit] Produktivsystem: [ja / Testsystem] Hoster / Dienstleister einbezogen: [Name, Zustimmung liegt vor] 5. ANSPRECHPARTNER Fachlich: [NAME] Technisch: [NAME] Notfall während des Tests: [NAME] Informiert: IT-Sicherheit [NAME], Datenschutz [NAME] 6. ERGEBNIS Bericht mit Bewertung je Befund, Nachweis, Empfehlung zur Behebung Präsentation für die Geschäftsleitung: [ja/nein] Nachtest nach Behebung: [ja, innerhalb von ... Wochen] 7. VERTRAULICHKEIT UND DATEN Verschwiegenheit, Speicherdauer der Testdaten, Löschnachweis ``` ### So nutzt du die Vorlage 1. Erst intern klären, was du wirklich wissen willst. „Alles testen“ ist kein Ziel, sondern ein Budgetproblem. 2. Ausschlüsse ernst nehmen: Systeme Dritter, empfindliche Produktionsanlagen, geteilte Server. 3. Dieselbe Beschreibung an mehrere Anbieter schicken und Angebote nach Methode, Tagen, Bericht und Nachtest vergleichen, nicht nur nach Preis. 4. Nach Referenzen für ähnliche Prüfobjekte fragen und nach einem Musterbericht. Der Bericht ist nur so viel wert wie das, was danach passiert. Plane deshalb Zeit und Budget für die Behebung gleich mit ein. ## Was wir übernehmen Wir machen keine Penetrationstests, weil Prüfen und Bauen in getrennte Hände gehören. Was wir machen: den Scope mit dir schreiben, bei der Auswahl der Prüfenden helfen, Zugänge und Testsysteme vorbereiten, während des Tests erreichbar sein und danach die Befunde beheben, bei Websites, Servern und Anwendungen, die wir betreuen oder übernehmen. Danach der Nachtest, damit das Häkchen im Bericht auch stimmt. Abgerechnet wird nach Aufwand: 150 € pro Stunde, für Unternehmen, zzgl. USt. Was Websites und Server von Anfang an sicherer macht, steht unter [Hosting](https://mediabrandcast.com/leistungen/hosting/) und [Statische Website](https://mediabrandcast.com/leistungen/statische-website/). ## Wann du uns nicht brauchst Wenn du eine eigene IT-Sicherheit hast, die Pentests regelmäßig beauftragt und Befunde selbst behebt, brauchst du keine Agentur dazwischen. Dann geh direkt zu einem spezialisierten Prüfdienstleister. Und wenn es um einen formalen Nachweis nach einem Standard geht, frag, welche Prüfungen der Standard konkret verlangt. ## Häufige Fragen zum Penetrationstest ### Was ist ein Penetrationstest einfach erklärt? Ein Penetrationstest ist ein bestellter Angriff: Fachleute versuchen mit Erlaubnis und nach festen Regeln, in deine Systeme einzudringen, und schreiben auf, wie es ging und wie du die Lücken schließt. Das Ziel ist, Schwachstellen zu finden, bevor es echte Angreifer tun. ### Was kostet ein Penetrationstest? Das hängt am Umfang: Zahl und Art der Prüfobjekte, Prüftiefe, Whitebox oder Blackbox, Bericht und Nachtest. Anbieter rechnen meist in Prüftagen. Mit einer klaren Scope-Beschreibung bekommst du vergleichbare Angebote. Plane zusätzlich Zeit und Budget für das Beheben der Befunde ein, das wird oft vergessen. ### Was ist der Unterschied zwischen Schwachstellenscan und Penetrationstest? Ein Schwachstellenscan sucht automatisiert nach bekannten Lücken und lässt sich regelmäßig wiederholen. Ein Penetrationstest geht weiter: Menschen versuchen gezielt einzudringen, verketten Schwachstellen und finden auch Logikfehler. Der Scan ist der Rauchmelder, der Pentest die Brandschutzbegehung. ### Ist ein Penetrationstest für NIS2 Pflicht? Das BSI-Gesetz schreibt Pentests nicht ausdrücklich vor. Es verlangt aber in § 30 unter anderem Konzepte und Verfahren, mit denen die Wirksamkeit der Sicherheitsmaßnahmen bewertet wird. Ein Penetrationstest kann dafür ein sinnvoller Baustein sein. Orientierung, keine Rechtsberatung. ### Darf ich meine eigene Website selbst angreifen? Die eigenen Systeme zu prüfen, ist erlaubt, solange sie wirklich dir gehören. Liegt die Website bei einem Hoster oder nutzt sie Dienste Dritter, brauchst du deren Zustimmung. Das BSI rät, nie ohne schriftlichen Auftrag zu testen und den Hoster in den Vertrag einzubeziehen. Orientierung, keine Rechtsberatung. ## Quellen 1. [BSI: Ein Praxis-Leitfaden für IS-Penetrationstests](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Sicherheitsberatung/Pentest_Webcheck/Leitfaden_Penetrationstest.pdf?__blob=publicationFile&v=1), Version 1.2, Stand November 2016, abgerufen am 14.11.2026. 2. [BSI: IS-Penetrationstest und IS-Webcheck](https://www.bsi.bund.de/DE/Themen/Oeffentliche-Verwaltung/Sicherheitspruefungen/Pen_Test_und_IS_Webcheck/pent-tests-und-is-webcheck_node.html), abgerufen am 14.11.2026. 3. [§ 202a StGB: Ausspähen von Daten](https://www.gesetze-im-internet.de/stgb/__202a.html), abgerufen am 14.11.2026. 4. [§ 30 BSIG: Risikomanagementmaßnahmen](https://www.gesetze-im-internet.de/bsig_2025/__30.html), abgerufen am 14.11.2026. Geschrieben von [Alexander Scharff](https://mediabrandcast.com/team/alexander-scharff/) Mitgründer von Juice 9, Marketing, IT und KI Marketing-Master (KI-Studie, Note 1,0), IT-Ausbildung, KI-Manager. Baut Websites, Software und KI-Automatisierungen, die im Live-Betrieb laufen. [Alexander Scharff auf LinkedIn](https://www.linkedin.com/in/alexander-scharff-de/) [Pentest vorbereiten](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Cybersecurity](https://mediabrandcast.com/leistungen/cybersecurity/)