Automatisierte Penetrationstests: Verfahren, Anbieter in Deutschland, Kosten und Nachweiswert

Ein automatisierter Penetrationstest greift ein Zielsystem mit realen Exploits an, belegt jeden Befund mit dem Nachweis der Ausnutzbarkeit und lässt sich beliebig oft wiederholen. Darin liegt der Unterschied zum Schwachstellenscan, der Verdachtsfälle listet, und zum jährlichen manuellen Pentest, der eine Momentaufnahme liefert. Diese Seite ordnet die Verfahren, nennt die Anbieter in Deutschland, erklärt die Kostenmodelle und zeigt, welchen Nachweis NIS2, TISAX, ISO/IEC 27001 und DORA daraus ziehen.

Was ein automatisierter Penetrationstest ist, und was nicht

Das BSI beschreibt einen Penetrationstest als beauftragten Angriff auf ein IT-System, bei dem Schwachstellen nicht nur gefunden, sondern ausgenutzt werden, um ihre Tragweite zu belegen. Das Durchführungskonzept des BSI ordnet jeden Test nach sechs Kriterien: Informationsbasis, Aggressivität, Umfang, Vorgehensweise, Technik und Ausgangspunkt. Ein automatisierter Penetrationstest übernimmt diese Methode und entfernt den Engpass Personentag: Software, inzwischen meist agentenbasiert, erkundet das Ziel, wählt Angriffspfade, führt die Exploits aus und dokumentiert jeden Schritt.

Im Markt werden drei Werkzeugklassen regelmäßig vermischt. Ein Schwachstellenscanner gleicht Versionsstände und Konfigurationen mit Datenbanken bekannter Schwachstellen ab; er nutzt nichts aus und liefert deshalb eine Verdachtsliste mit Fehlalarmen. Breach and Attack Simulation spielt bekannte Angriffstechniken gegen die vorhandenen Schutzmaßnahmen durch und misst, ob Erkennung und Abwehr reagieren; die Kompromittierung wird dabei angenommen, nicht erarbeitet. Der automatisierte Penetrationstest, auch Automated Security Validation genannt, nutzt Schwachstellen tatsächlich aus, verkettet Befunde zu Angriffspfaden und belegt die Auswirkung. Zwei weitere Begriffe bezeichnen keine Werkzeugklasse, sondern ein Liefermodell und ein Prozessmodell: Pentest as a Service steht für die laufende Bereitstellung über eine Plattform, Continuous Threat Exposure Management für einen Zyklus aus Scoping, Erkennung, Priorisierung, Validierung und Mobilisierung, in dem der automatisierte Pentest den Schritt Validierung übernimmt.

Kontinuierlich statt punktuell: was sich im Risikomanagement ändert

Ein klassischer Pentest wird einmal im Jahr beauftragt, braucht fünf bis fünfzehn Personentage und liefert den Bericht zwei bis sechs Wochen nach Testende. In den übrigen Monaten ändert sich das Zielsystem täglich: Deployments, neue Benutzer, Patches, geänderte Firewall-Regeln. Der Sicherheitsstand zwischen zwei Tests ist unbekannt, und genau dort finden die meisten Vorfälle statt. Ein kontinuierlicher Test prüft nach jeder Änderung erneut, auf Abruf, nach Zeitplan oder ausgelöst aus der CI/CD-Pipeline. Der Zyklus aus Befund, Behebung und Re-Test schließt sich in Stunden, nicht in Quartalen.

Für das Risikomanagement entsteht damit eine Zeitreihe statt einer Momentaufnahme. Wie viele Angriffspfade führen heute zu einem kritischen System, wie viele vor vier Wochen, wie lange bleibt ein kritischer Befund offen: Diese Kennzahlen verlangt § 30 Abs. 2 Satz 2 Nr. 6 BSIG sinngemäß, wenn er Konzepte und Verfahren zur Bewertung der Wirksamkeit fordert, und das BSI liest die Wirksamkeitsbewertung ausdrücklich als fortlaufenden Prozess. Welche Zuordnung sich daraus für die einzelnen Maßnahmen ergibt, steht auf der Seite NIS2: Wirksamkeit der Sicherheitsmaßnahmen belegen.

Was beim Menschen bleibt: die Entscheidung über den Scope, die Bewertung eines Befunds im Geschäftskontext, Social Engineering, physische Zugänge, Architekturreviews und Red-Team-Übungen mit eigenem Angriffsziel. Die Automation liefert Breite, Frequenz und Nachweis; der manuelle Test bleibt das Werkzeug für die Tiefe an einzelnen Stellen, etwa vor dem Go-live einer neuen Anwendung.

Betrieb in der Produktion ohne Unterbrechung

Ein Test gegen die Staging-Umgebung prüft eine Kopie, die sich von der Produktion in Konfiguration, Daten und Berechtigungen unterscheidet. Aussagekräftig ist nur der Test gegen das System, das Angreifer tatsächlich erreichen. Dass er dort ohne Unterbrechung läuft, ist eine Frage der Regeln, nicht des Mutes: keine Denial-of-Service-Verfahren, keine destruktiven Exploits, keine Veränderung von Nutzdaten, Rate-Limits je Zielsystem, abgestimmte Zeitfenster, Ausschlusslisten für Systeme mit Verfügbarkeitsanforderung, ein Notstopp mit Ansprechpartner und ein Protokoll jeder einzelnen Aktion.

Das BSI stuft die Aggressivität eines Penetrationstests in vier Stufen von passiv scannend bis aggressiv ein. Produktionssichere Plattformen arbeiten in den mittleren Stufen: Sie weisen die Ausnutzbarkeit nach, ohne das System zu stören, und dokumentieren, welche Verfahren bewusst ausgelassen wurden. Auditoren fragen genau danach, weil ein Report ohne diese Angaben nicht erkennen lässt, ob ein Befund fehlt oder nicht gesucht wurde.

Welchen Nachweis Auditoren daraus ziehen: NIS2, TISAX, ISO/IEC 27001, DORA

Keines der vier Regelwerke schreibt den Penetrationstest namentlich vor, und keines schreibt ein Werkzeug vor. Alle vier verlangen den Beleg, dass Schwachstellen erkannt, bewertet und behoben werden und dass die Maßnahmen wirksam sind. Der Report eines automatisierten Tests liefert diesen Beleg je Testlauf: Datum und Scope, Vorgehen, jeder Befund mit Reproduktionsschritten und Nachweis der Ausnutzbarkeit, Bewertung, Behebung und Re-Test.

Für Banken und Versicherer in Deutschland kommen die Anforderungen der BaFin aus VAIT und BAIT hinzu, die regelmäßige Sicherheitsüberprüfungen verlangen und seit Januar 2025 durch DORA überlagert werden. Bedrohungsgeleitete Penetrationstests nach Art. 26 DORA folgen dem TIBER-EU-Rahmen und sind kein Fall für Automation; sie prüfen das ganze Institut einschließlich der Erkennung, nicht ein einzelnes Zielsystem.

Anbieter in Deutschland: Marktübersicht nach Ansatz

Die Frage nach einem für den deutschen Markt zertifizierten Werkzeug lässt sich nur umgeformt beantworten. Das BSI zertifiziert Dienstleister für IS-Penetrationstests, also Unternehmen und ihre Prozesse; eine Zertifizierung von Software für Penetrationstests existiert nicht. Prüfbar sind Sitz und Rechtsform des Anbieters, der Ort von Betrieb und Datenhaltung, eine ISO/IEC-27001-Zertifizierung des Anbieters selbst, die Qualifikation der Tester und Mitgliedschaften wie TeleTrusT mit dem Zeichen IT Security made in Germany oder die Partnerschaft in der Allianz für Cyber-Sicherheit des BSI.

Für die Auswahl zählt weniger die Klasse als die Frage, welche Lücke im eigenen Prüfzyklus geschlossen werden soll. Wer einmal im Jahr tief prüfen lässt und dazwischen nichts weiß, braucht die kontinuierliche Validierung. Wer bereits kontinuierlich scannt, aber nur Verdachtslisten erhält, braucht den Exploit-Nachweis. Wer seine Erkennung testen will, braucht Breach and Attack Simulation.

Was ein automatisierter Penetrationstest kostet

Ein manueller Pentest wird in Personentagen kalkuliert. Marktübliche Tagessätze liegen bei 1.200 bis 2.000 Euro; eine Web-Anwendung mit fünf bis zehn Personentagen kostet damit 8.000 bis 20.000 Euro, eine interne Infrastruktur ähnlich, jeweils einmal im Jahr und ohne Re-Test nach der Behebung. Automatisierte Plattformen rechnen im Jahresabonnement ab, entweder je Zielsystem oder nach der Zahl der Assets im Scope. Öffentlich einsehbare Angebote reichen von niedrigen fünfstelligen Beträgen je Zielsystem und Jahr bis zu sechsstelligen Beträgen für unternehmensweite Lizenzen. Diese Spannen sind eine Einschätzung der VORNAC GmbH auf Basis öffentlicher Preisangaben, Stand Oktober 2026.

Vergleichbar werden Angebote erst über den Preis je Zielsystem und Jahr einschließlich aller Testläufe und Re-Tests. Dazu gehören die Fragen, ob Onboarding und ein fester Ansprechpartner enthalten sind, ob der Report ohne Nachbearbeitung in ein Audit passt und wo die Daten des Tests liegen. VORNAC rechnet im Jahresmodell je Zielsystem ab: beliebig viele Testläufe, Re-Tests eingeschlossen, zum Preis in der Größenordnung eines einzelnen klassischen Pentests. Das konkrete Angebot hängt vom Zielsystem ab und kommt nach einem Erstgespräch.

Auswahlkriterien: acht Fragen an jeden Anbieter

1. Belegt jeder Befund die Ausnutzbarkeit mit funktionierendem Exploit und reproduzierbarem Proof-of-Concept, oder listet der Report Verdachtsfälle?
2. Wo laufen Betrieb und Datenhaltung, wer ist der Betreiber des Rechenzentrums, und steht ein US-Anbieter in der Verarbeitungskette?
3. Wie ist der Scope definiert: je Zielsystem, je Asset oder je IP-Bereich, und was passiert, wenn das Zielsystem wächst?
4. Welche Verfahren schließt die Plattform in der Produktion aus, und wie wird das im Report dokumentiert?
5. Enthält der Report die Zuordnung zu NIS2, ISO/IEC 27001, TISAX und DORA, oder entsteht diese Zuordnung erst beim Kunden?
6. Sind Re-Tests nach der Behebung enthalten, und wie schnell liegt das Ergebnis vor?
7. Wer ist Ansprechpartner, mit welcher Qualifikation, und bespricht er die Befunde mit dem Team?
8. Ist der Preis je Zielsystem und Jahr vor dem Vertrag bekannt, einschließlich aller Läufe?

Was VORNAC dazu beiträgt

Die VORNAC GmbH, Heidelberg, betreibt eine Plattform für kontinuierliche, autonome Penetrationstests. Je Zielsystem läuft der Test auf Abruf, nach Zeitplan oder ausgelöst aus der CI/CD-Pipeline in der produktiven Umgebung, mit realen Exploits und ohne destruktive Schritte; vom Start bis zum auditfähigen Report vergehen zwei bis fünf Stunden. Jeder Befund kommt mit reproduzierbarem Proof-of-Concept, Business-Impact und Maßnahmenplan, nach der Behebung folgt der Re-Test. Die Abdeckung der Angriffsfläche eines Zielsystems liegt bei mehr als 95 Prozent; die Methodik dazu ist dokumentiert. Die Reports ordnen die Befunde NIS2 (§ 30 BSIG), DORA, KRITIS, TISAX, VAIT/BAIT und ISO/IEC 27001 zu.

Betrieb und Datenhaltung liegen ausschließlich in deutschen Rechenzentren deutscher Betreiber; es gibt keinen US-Cloud-Anbieter in der Verarbeitungskette. Fester Ansprechpartner ist ein Pentester mit OSCP- und CISSP-Zertifizierung, der die Ergebnisse mit dem Team bespricht. VORNAC ist Mitglied im TeleTrusT mit dem Zeichen IT Security made in Germany und Partner der Allianz für Cyber-Sicherheit. Abgerechnet wird im Jahresmodell je Zielsystem. Mehr zum Ablauf steht auf der Seite Pentesting, zu OT-Umgebungen auf der Seite OT-Pentesting.

Häufige Fragen