Das Wichtigste in Kürze
- Klassische Tagessätze: Etablierte Schweizer Beratungsfirmen verrechnen im Schnitt CHF 2'200 bis CHF 3'500 pro Personentag. Typische Projekte dauern 4 bis 10 Tage (CHF 8'800 bis CHF 35'000).
- Moderne Bedrohungsanalyse: Durch KI-gestützte Voranalyse und fokussierte Expertenverifikation bietet Suisse Guard die vollumfängliche Prüfung der Aussenfläche als Festpreis für CHF 2'800 an.
- Ablauf: Ein professioneller Pentest gliedert sich immer in Vorgespräch, Scoping, Aufklärung (Reconnaissance), Ausnutzung (Exploitation), Dokumentation mit Behebungsanleitung und zwingend eine Nachprüfung.
- Entscheidendes Kriterium: Ein reiner Scanbericht mit 80 Seiten CVSS-Aufzählung hilft niemandem. Was zählt, ist ein priorisiertes Dossier mit konkreten Behebungsanleitungen und anschliessender Verifikation.
1. Warum die Preisunterschiede bei Schweizer Pentests so gross sind
Wer in Zürich, Bern oder Basel nach einem Penetrationstest anfragt, erhält häufig Offerten, die sich um den Faktor vier oder fünf unterscheiden. Ein Anbieter veranschlagt CHF 18'000 für ein zweiwöchiges Projekt, ein anderer bietet einen «Security Scan» für CHF 1'200 an. Worin liegt der Unterschied?
Die Preisbildung im Schweizer Markt basiert traditionell auf dem klassischen Consulting-Modell: Ein oder zwei Senior Security Consultants reservieren feste Kalendertage, führen manuelle und semi-automatisierte Tests durch und verfassen manuell einen Bericht. Bei marktüblichen Tagessätzen zwischen CHF 2'200 und CHF 3'500 exkl. MwSt. summiert sich dies rasch auf erhebliche Beträge. Für Grosskonzerne und systemrelevante Banken ist das Standard; für Schweizer KMU, Gemeinden oder Kanzleien sprengt es oft das Budget.
Auf der anderen Seite stehen rein automatisierte Schwachstellenscanner. Diese werfen hunderte Fehlalarme («False Positives») aus, verstehen den geschäftlichen Kontext nicht und prüfen keine komplexen Angriffsketten wie Multi-Faktor-Bypässe oder Rechteausweitungen.
| Prüfmodell | Typischer Preis (CHF) | Aufwand & Dauer | Prüftiefe & Mehrwert |
|---|---|---|---|
| Reiner Schwachstellenscan (z. B. Nessus, Qualys) |
CHF 500 – 1'500 | 1 – 2 Tage | Nur Versionsabgleich bekannter CVEs. Hohe Falschalarmquote, keine manuelle Ausnutzung, keine Kontextualisierung. |
| Klassischer externer Pentest (Grossberatung / Consulting) |
CHF 9'000 – 22'000 | 2 – 4 Wochen Vorlauf, 5 – 10 Projekttage | Tiefgehend, jedoch zeitaufwendig und teuer. Nachprüfung oft kostenpflichtig nachberechnet. |
| Suisse Guard Bedrohungsanalyse (Pauschalangebot) |
CHF 2'800 (Fixpreis) | Start innert 48h, 5 – 10 Arbeitstage | Ganze Angriffsfläche (12 Prüfbereiche), KI-gestützte Voranalyse kombiniert mit manueller Expertenprüfung, Dossier, Nachprüfung & ISO 27001-Zertifikat. |
2. Versteckte Kosten und Fallen bei klassischen Pentest-Offerten
Viele Entscheidungsträger erleben nach Unterzeichnung einer scheinbar günstigen Offerte böse Überraschungen. Achten Sie bei der Ausschreibung und Offertprüfung genau auf folgende Positionen:
- Kostenpflichtige Nachprüfung (Re-Testing): Wenn Ihr IT-Team oder Ihr Dienstleister die Schwachstellen behoben hat, müssen Sie nachweisen, dass der Einstieg wirklich geschlossen ist. Bei vielen Beratungshäusern ist die Nachprüfung nicht inbegriffen und wird mit weiteren 1 bis 3 Tagessätzen (CHF 2'500 bis CHF 7'500) fakturiert. Bei Suisse Guard ist die Nachprüfung im Pauschalpreis von CHF 2'800 inbegriffen.
- Projektmanagement- und Spesen-Zuschläge: Prüfen Sie, ob Vorgespräche, Scoping-Calls, Kick-off-Meetings und Reisezeiten gesondert verrechnet werden. Bei Suisse Guard gibt es keine Zusatzpauschalen: Der genannte Preis deckt das gesamte Projekt ab.
- Scope-Begrenzung auf wenige IP-Adressen: Wenn eine Offerte nur «bis zu 5 IP-Adressen» umfasst, jede weitere IP aber extra kostet, wird es teuer. Reale Angreifer halten sich nicht an IP-Grenzen. Sie suchen nach vergessenen Subdomains, Cloud-Instanzen und Mailservern. Suisse Guard erfasst daher Ihre gesamte Aussenfläche ohne künstliche IP-Deckel.
- Auslieferung unbrauchbarer Scan-Dumps: Hüten Sie sich vor Berichten, die 90 Seiten unbereinigte Ausgaben von Schwachstellenscannern enthalten. Ihre IT braucht konkrete Behebungsanleitungen und priorisierte Handlungsempfehlungen, keine theoretischen Abhandlungen.
3. Die typischen Phasen eines fundierten Penetrationstests
Ein seriöser Penetrationstest folgt in der Schweiz anerkannten Standards wie dem Open Source Security Testing Methodology Manual (OSSTMM), dem Penetration Testing Execution Standard (PTES) und dem BSI-Leitfaden. Die Ausführung unterteilt sich in sechs klare Schritte:
Schritt 1: Scoping und Vereinbarung (Rules of Engagement)
Bevor ein einziges Paket gesendet wird, werden die Zielsysteme (IP-Adressen, Domainnamen, Webanwendungen) genau definiert. Seriöse Anbieter verlangen eine schriftliche Einverständniserklärung des Eigentümers («Rules of Engagement»). Bei Suisse Guard wird das Scoping vereinfacht: Wir prüfen alles, was von aussen auffindbar ist und Ihrer Organisation zugeordnet werden kann – genau so, wie es ein Angreifer tut.
Schritt 2: Reconnaissance & Angriffsflächenerfassung (OSINT)
Der Prüfer sammelt alle öffentlich zugänglichen Informationen über das Zielunternehmen: Subdomains, DNS-Zoneneinträge, exponierte Ports, E-Mail-Adressen, Leaks in Code-Repositories (GitHub, GitLab) und gehandelte Zugangsdaten in Darknet-Foren. In 88 % aller Erstprüfungen finden wir hier bereits die ersten kritischen Hebel.
Schritt 3: Schwachstellenanalyse & Hypothesenbildung
Gefundene Dienste werden auf bekannte Sicherheitslücken (CVEs), veraltete Protokolle, unsichere Konfigurationen und logische Schwächen analysiert. Moderne Prüfer nutzen hier KI-Agenten, um Datenmengen in Minuten abzugleichen, für die ein Mensch Tage bräuchte.
Schritt 4: Verifikation & Proof-of-Concept (PoC)
Entscheidender Unterschied zum Scan: Die gefundenen Schwachstellen werden kontrolliert nachgewiesen, ohne den Betrieb zu stören. So wird sichergestellt, dass kein Phantom gemeldet wird. Ist das VPN-Portal tatsächlich ohne zweiten Faktor überlistbar? Lässt sich die Datenbank über den exponierten Port ansprechen?
Schritt 5: Dossier mit Behebungsanleitung
Der Auftraggeber erhält einen nach Kritikalität (CVSS v3.1 / v4.0) gegliederten Bericht. Zu jedem Befund gibt es einen Screenshot/Beweis sowie eine exakte technische Behebungsanweisung (z. B. konkrete Firewall-Regel oder Konfigurationszeile).
Schritt 6: Nachprüfung und Zertifizierung
Ein Pentest ist erst dann abgeschlossen, wenn verifiziert wurde, dass die Lücken auch wirksam geschlossen wurden. Bei Suisse Guard ist die Nachprüfung im Pauschalpreis von CHF 2'800 inbegriffen. Sobald keine kritischen oder hohen Risiken mehr offen sind, stellt die Suisse IT GmbH das offizielle Sicherheitszertifikat mit 12 Monaten Gültigkeit aus.
4. Checkliste: 7 Fragen, die Sie Ihrem Pentest-Anbieter stellen sollten
- «Ist die Nachprüfung nach Behebung im Festpreis inbegriffen?» – Verlangen Sie dies schriftlich in der Offerte.
- «Wer führt die Prüfung durch?» – Handelt es sich um festangestellte, zertifizierte Schweizer Spezialisten oder wird der Auftrag an Subunternehmer im Ausland weitergereicht?
- «Wo werden meine vertraulichen Befunde gespeichert?» – Prüfdaten müssen auf Schweizer Servern verbleiben (ISO 27001).
- «Erhalten wir eine konkrete technische Behebungsanleitung?» – Nicht nur die Beschreibung des Fehlers, sondern die Lösung muss geliefert werden.
- «Wird auch nach kompromittierten Zugangsdaten im Darknet gesucht?» – Über 80 % der Einbrüche starten mit gestohlenen Identitäten.
- «Stellen Sie nach erfolgreicher Schliessung ein auditfähiges Zertifikat aus?» – Entscheidend für Wirtschaftsprüfer, Kunden und Cyberversicherungen.
- «Sind Sie selbst nach ISO/IEC 27001 zertifiziert?» – Die Suisse IT GmbH ist von der Swiss Safety Center AG akkreditiert zertifiziert.
Möchten Sie den Sicherheitsstatus Ihrer Organisation prüfen?
Wir prüfen Ihre gesamte Aussenfläche zum Festpreis von CHF 2'800 exkl. MwSt. – inklusive 12 Prüfbereichen, persönlicher Ergebnisbesprechung, Nachprüfung und Sicherheitszertifikat.
