Penetrationstest
Penetrationstest für KMU: wie er abläuft, und was den Preis bestimmt.
Ein Penetrationstest ist ein Angriff, den Sie selbst in Auftrag geben. Eine Fachperson versucht, in Ihre Systeme einzudringen, in einem vertraglich festgelegten Umfang und Zeitraum, und übergibt Ihnen dann einen Bericht: die gefundenen Schwachstellen, den Nachweis, den Schweregrad und die Behebung. Bei Ryze Cyber läuft er in fünf Schritten ab, und der Preis ist veröffentlicht: 1.490 EUR (oder CHF 1'490) ohne Steuern für das Komplett-Audit.
Wie läuft ein Penetrationstest ab?
Das sind die fünf Schritte, die Ryze Cyber auf seiner Website nennt, plus ein sechster, den Sie einplanen sollten.
- Abgrenzung. Sie legen gemeinsam fest, was getestet wird und was nicht: Website, Kundenbereich, Konten, Infrastruktur, KI-Tools.
- Unterzeichnete Autorisierung. Kein Test ohne schriftlichen Vertrag. Er legt den Umfang, die Termine, die Ausschlüsse und die Person fest, die bei Ihnen im Notfall zu informieren ist.
- Tests. Der Tester sucht die Schwachstellen, ohne Ihren Betrieb zu unterbrechen. Er hört beim Nachweis auf: kein Schaden, keine mitgenommenen Daten.
- Bericht. Jede Schwachstelle wird erklärt, nach Schweregrad eingeordnet und mit ihrer Behebung versehen.
- Besprechung. Ein Gespräch, um alles durchzugehen und die Prioritäten festzulegen.
- Behebung, dann Nachtest. Sind die Schwachstellen behoben, prüft eine neue Kontrolle, ob sie wirklich geschlossen sind. Die Website von Ryze Cyber gibt nicht an, ob dieser Nachtest im Preis enthalten ist: Fragen Sie beim Angebot danach.
Was steht im Autorisierungsvertrag?
Er ist das Dokument, das den Test legal und überraschungsfrei macht. Das auf der Website gezeigte Muster hat vier Rubriken:
| Rubrik | Was sie festlegt | Warum das wichtig ist |
|---|---|---|
| Umfang | Die getesteten Systeme: Website, Kundenbereich, Zugänge. | Was nicht aufgeführt ist, wird nicht angefasst. |
| Termine | Ein mit Ihnen vereinbartes Zeitfenster. | Sie wissen, wann es stattfindet, und können Ihren Hoster informieren. |
| Ausschlüsse | Tests, die die Verfügbarkeit gefährden, standardmäßig ausgeschlossen. | Das Risiko eines Ausfalls während des Tests sinkt. |
| Notfallkontakt | Eine Person bei Ihnen. | Fällt etwas Ungewöhnliches auf, entscheidet jemand sofort. |
Ein Punkt, den Sie selbst prüfen sollten: Sie können einen Test nur für Systeme freigeben, die Ihnen gehören. Liegt Ihre Website bei einem Dritten, sehen Sie in dessen Bedingungen nach, was für Sicherheitstests gilt.
Was steht im Bericht?
Die von Ryze Cyber genannte Standardstruktur hat fünf Teile: eine Zusammenfassung für die Geschäftsleitung, ohne Fachjargon; den Umfang und seine Grenzen; die Schwachstellen nach Schweregrad, von kritisch bis gering; den Nachweis und das Szenario zu jeder Schwachstelle; einen Behebungsplan nach Priorität. Ein guter Bericht wird in zwei Durchgängen gelesen: Die Geschäftsleitung liest die erste Seite, wer behebt, liest den Rest.
Was bestimmt den Preis eines Penetrationstests?
Ryze Cyber veröffentlicht seine Preise in Euro und in Schweizer Franken, zu denselben Beträgen, ohne Steuern:
| Red-Team-Paket | Was enthalten ist | Veröffentlichter Preis |
|---|---|---|
| Externer Scan | Exponierte Website und Dienste, bekannte Leaks von Zugangsdaten, priorisierter Kurzbericht. | 490 EUR oder CHF 490 |
| Komplett-Audit | Der gesamte externe Scan, manuelle Tests von Web und Zugängen, detaillierter Bericht nach Schweregrad, Besprechung per Videocall. | 1.490 EUR oder CHF 1'490 |
| Komplett-Audit + KI | Das gesamte Komplett-Audit, Tests der KI-Tools, die an Ihre Daten angebunden sind, begleiteter Behebungsplan. | 3.900 EUR oder CHF 3'900 |
Preise am 7. Oktober 2026 von der Startseite übernommen. Einmalige Aufträge.
Der Abstand zwischen diesen drei Zeilen zeigt, was einen Preis bei jedem Anbieter verändert:
- Der Umfang: eine einfache Firmenwebsite, ein Kundenbereich, Konten, eine Infrastruktur, KI-Assistenten. Je mehr Türen, desto mehr Arbeit.
- Der Anteil manueller Arbeit: Eine automatische Erfassung kostet weniger als ein Test durch eine Person.
- Die Detailtiefe des Berichts: ein Kurzbericht oder ein detaillierter Bericht mit Nachweis und Szenario.
- Die Begleitung: Besprechung, Hilfe bei der Behebung, Nachtest.
Die sechs Pakete von Red Team und Blue Team stehen auf der Seite Was kostet ein Penetrationstest. Wenn Sie zwischen einer automatischen Erfassung und einem Test schwanken, lesen Sie Scan oder Penetrationstest.
Zehn Fragen an einen Anbieter
- Was genau wird getestet, und was nicht?
- Wird vor jedem Test ein Autorisierungsvertrag unterzeichnet?
- Welcher Teil der Arbeit ist automatisch, welcher manuell?
- Wer führt den Test durch, und wo werden meine Daten und der Bericht gespeichert?
- Sind Tests, die die Verfügbarkeit gefährden, standardmäßig ausgeschlossen?
- Kann ich einen Beispielbericht sehen?
- Wird jede Schwachstelle mit Nachweis und Behebung geliefert?
- Gibt es eine mündliche Besprechung?
- Ist ein Nachtest nach der Behebung enthalten?
- Steht der Preis fest und schriftlich, bevor es losgeht?
PASSI-qualifizierter oder unabhängiger Anbieter?
PASSI ist eine französische Qualifikation. Die nationale Cybersicherheitsbehörde ANSSI vergibt sie an Prüfdienstleister, die ihren Anforderungskatalog erfüllen, etwa für Konfigurationsaudits, Quellcode-Audits oder Penetrationstests. Für ein KMU ist sie keine allgemeine Pflicht. Prüfen Sie, ob Ihre Branche oder einer Ihrer Kunden sie verlangt. Ryze Cyber tritt nicht als PASSI-qualifizierter Anbieter auf: Steht diese Qualifikation in Ihrem Pflichtenheft, wählen Sie einen Anbieter von der Liste der ANSSI.
Häufige Fragen
Ist es legal, das eigene Unternehmen angreifen zu lassen?
Ja, sofern Sie selbst den Auftrag geben, es um Systeme geht, die Ihnen gehören, und vorher ein Autorisierungsvertrag unterzeichnet wird. Ryze Cyber testet nie ein fremdes System ohne die schriftliche Zustimmung des Eigentümers.
Was kostet ein Penetrationstest für ein KMU?
Das hängt vom Umfang und vom Anteil manueller Arbeit ab. Ryze Cyber veröffentlicht 490 EUR für einen externen Scan, 1.490 EUR für ein Komplett-Audit und 3.900 EUR für ein Komplett-Audit inklusive KI-Tools, ohne Steuern. In Schweizer Franken gelten dieselben Beträge: CHF 490, 1'490 und 3'900 (Preise vom 7. Oktober 2026).
Wie lange dauert ein Penetrationstest?
Die Dauer hängt vom Umfang ab. Sie wird mit Ihnen als Zeitfenster vereinbart und im Autorisierungsvertrag festgehalten. Fragen Sie auch, an welchem Datum der Bericht geliefert wird.
Braucht ein kleines Unternehmen wirklich einen Penetrationstest?
Nicht immer. Für eine einfache Firmenwebsite ohne sensible Daten kann ein externer Scan genügen. Ein Test wird sinnvoll, sobald es einen Kundenbereich, sensible Daten oder eine Anforderung eines Kunden oder Versicherers gibt.
Warum auch die KI-Tools testen?
Ein KI-Assistent oder KI-Agent, der an Ihre Daten angebunden ist, lässt sich manipulieren, damit er Informationen preisgibt oder in Ihrem Namen handelt. Das ist ein neuer Einstiegspunkt, den klassische Audits nicht immer abdecken.
Noch nicht bereit für einen Test?
Der Gratis-Scan von Ryze Cyber ist ein Fragebogen mit 10 Fragen. Er dauert zwei Minuten, das Ergebnis erscheint sofort und an Ihren Systemen wird nichts getestet.
Weiterlesen
Quellen
- Ryze Cyber, Methode, Autorisierungsvertrag, Berichtsstruktur und veröffentlichte Preise (Stand 6. Oktober 2026)
- ANSSI (Frankreich), CyberDico: Anforderungskatalog PASSI für Prüfdienstleister, auf Französisch
Zuletzt aktualisiert: 7. Oktober 2026