Wie Sie einen guten Pentest-Anbieter von einem schlechten unterscheiden

Der Pentest-Markt ist undurchsichtig. Denselben Begriff verwendet ein Hobbyist mit automatischem Scanner wie ein Team zertifizierter Spezialisten — beide nennen es „Penetrationstest". So unterscheiden Sie sie, bevor Sie unterschreiben.

Warum die Anbieterauswahl so schwer ist

Penetrationstests sind ein Feld, in dem ein Laie die Qualität vorab praktisch nicht beurteilen kann. Der Anbieter präsentiert Zertifikate und eine schöne Website, die echte Arbeit sehen Sie aber erst im Output — und da haben Sie bereits bezahlt. Zudem ist die Einstiegshürde niedrig: Jeder kann einen Open-Source-Scanner herunterladen und dessen Output weiterleiten. Der Abstand zu ehrlicher Handarbeit ist riesig.

Die gute Nachricht: Es gibt mehrere Signale, die Profis von reinen Tool-Weiterverkäufern zuverlässig trennen. Gehen wir sie durch.

Signal 1: Sie fragen mehr, als sie versprechen

Der beste Filter zeigt sich sofort. Ein guter Anbieter fragt nach: welche Systeme, warum testen Sie, was ist kritisch, welche Umgebung, welche Tiefe erwarten Sie. Er will den Scope schärfen, bevor er einen Preis nennt.

Ein schlechter Anbieter schickt postwendend ein pauschales „Web-Pentest für X €" ohne eine einzige Frage. Das heißt: Er verkauft ein vorgefertigtes Paket, keine auf Ihr Risiko zugeschnittene Leistung. In der Sicherheit ist das generische Paket ein Warnsignal.

Signal 2: Er erklärt die Methodik

Fragen Sie direkt: „Nach welcher Methodik gehen Sie vor?" Ein Profi nennt ohne Zögern etablierte Frameworks wie OWASP (für Web und API), PTES, OSSTMM oder MITRE ATT&CK und erklärt, was das praktisch bedeutet.

Antwortet der Anbieter vage, spricht nur von „fortschrittlichen Tools" und kann keine Methodik benennen, läuft sein Prozess wahrscheinlich auf „Scanner starten und Output weiterleiten" hinaus.

Signal 3: Verhältnis von manueller zu automatischer Arbeit

Fragen Sie, wie viel des Tests manuell ist. Automatische Scanner sind nützlich zur Erstkartierung, echten Wert bringt aber der Tester, der Schwachstellen manuell verifiziert, verkettet und Logikfehler findet, die kein Tool sieht.

Ist die Antwort überwiegend automatisches Scannen mit wenig Handarbeit, zahlen Sie für etwas, das Sie selbst für einen Bruchteil betreiben könnten. Ein Anbieter, der erklärt, wie er Findings manuell verifiziert und False Positives eliminiert, weiß, was er tut.

Signal 4: Qualität des Beispielreports

Das ist der stärkste Einzeltest. Fordern Sie einen anonymisierten Beispielreport an. Ein guter Report:

• hat ein verständliches Management Summary und einen detaillierten technischen Teil,
• zeigt zu jedem Finding einen Nachweis der Ausnutzbarkeit — nicht nur eine Behauptung,
• priorisiert nach realem Risiko in Ihrem Kontext, nicht nur nach Roh-Score,
• enthält konkrete, umsetzbare Maßnahmen — keine Floskeln wie „Software aktualisieren".

Verweigert der Anbieter ein Beispiel oder schickt ein paar aus dem Scanner exportierte Seiten, haben Sie Ihre Antwort.

Signal 5: Zertifikate und Qualifikation des Teams

Zertifikate sind nicht alles, aber ein nützlicher Indikator. Bei Personen: OSCP, OSWE, CRTO, GPEN oder CEH. Bei Firmen kann eine Akkreditierung wie CREST relevant sein — besonders für anspruchsvolle Regulierungen.

Entscheidend ist, wer den Test tatsächlich macht. Fragen Sie konkret nach den Personen, die Ihrem Projekt zugeordnet sind, nicht nur „die Firma hat zertifizierte Spezialisten". Erfahrung und Zertifikate des Seniors, der wirklich Ihre Arbeit macht, zählen.

Signal 6: Klarer Vertrag, Versicherung und NDA

Sie geben dem Anbieter die Erlaubnis, Ihre Systeme anzugreifen, und Zugang zu sensiblen Informationen. Ein Profi nimmt das ernst:

• Vertrag und ausdrückliche schriftliche Testfreigabe (Authorization Letter), die beide Seiten schützt,
• NDA als Selbstverständlichkeit,
• Haftpflichtversicherung für den Fall, dass während des Tests etwas beschädigt wird,
• klar vereinbarter Eskalationsprozess für kritische Findings — wer informiert wen wie schnell, schon vor Erstellung des Reports.

Ein Anbieter, der die Vertragsseite wegwischt, ist selbst ein Risiko.

Signal 7: Was nach dem Test passiert

Der Test endet nicht mit der Übergabe des Reports. Fragen Sie:

• Ist ein Retest inklusive, der prüft, ob Sie die Findings behoben haben? (Oft separat — vorab klären.)
• Bietet er eine Konsultation zum Output mit Erläuterung der Findings und Priorisierung?
• Ist er bereit, mit Ihren Entwicklern zu sprechen während der Behebung?

Ein Anbieter mit Langfristblick bietet das. Wer nur fakturieren und weiterziehen will, übergibt das PDF und ist fertig.

Warnsignale auf einen Blick

Vorsicht, wenn der Anbieter:

• einen Preis nennt ohne jede Scope-Frage,
• deutlich billiger ist als andere (fast sicher flacherer Scope),
• keine Methodik benennen kann,
• keinen Beispielreport zeigen will,
• garantiert, „alles zu finden" oder „100% Sicherheit" verspricht (kein seriöser Tester tut das),
• Vertrag, Authorization Letter und NDA scheut,
• nicht sagen kann, wer konkret den Test macht.

Die fünf Fragen, die entscheiden

Wenn keine Zeit für mehr ist, stellen Sie diese fünf Fragen und hören Sie genau hin:

1. Welche Methodik nutzen Sie und wie viel davon ist manuell?
2. Kann ich einen anonymisierten Beispielreport sehen?
3. Wer konkret führt unseren Test durch und welche Qualifikation hat er?
4. Was passiert, wenn Sie während des Tests eine kritische Schwachstelle finden?
5. Sind Retest und Nachbesprechung im Preis enthalten?

Wie selbstbewusst, konkret und klar der Anbieter antwortet, sagt mehr als seine gesamte Website.

Anbieter zu vergleichen ist schwer, wenn jeder ein anderes Angebotsformat schickt. TrustScope lässt Sie Anbieter mit einem einzigen strukturierten Briefing ansprechen und vergleichbare Angebote zurückbekommen — Sie entscheiden nach Inhalt, nicht nach Verpackung.