Das Wichtigste in Kürze
- Klassische Beratungshäuser: Firmen wie Compass Security, Oneconsult, Redguard oder scip bieten exzellente, tiefgehende manuelle Pentests mit Fokus auf Grosskunden und Finanzinstitute. Tagessätze ab CHF 2'400 aufwärts.
- Bug-Bounty-Programme: Plattformen wie GObugfree vermitteln ethische Hacker auf Erfolgsbasis. Sinnvoll für reife Organisationen mit bereits gehärteter Aussenfläche.
- Moderne Bedrohungsanalyse (Suisse Guard): Kombiniert KI-Automatisierung mit menschlicher Schweizer Expertenverifikation zu einem transparenten Fixpreis (CHF 2'800) – ideal für KMU, Verwaltungen, Kanzleien und Spitäler.
1. Die Anbieterlandschaft in der Schweiz
Die Schweiz verfügt über eine florierende Sicherheitsindustrie. Historisch gewachsen sind spezialisierte Ingenieurbüros und Pentest-Boutiquen, die durch akribische Handarbeit und hohe akademische Standards internationales Renommee geniessen. Gleichzeitig hat die Digitalisierung zu einer massiven Zunahme exponierter Systeme geführt, die mit rein manuellen Beratertagen kaum mehr flächendeckend abgesichert werden können.
| Anbietertyp | Bekannte Vertreter im Markt | Typische Zielgruppe | Vor- und Nachteile |
|---|---|---|---|
| Klassische Pentest-Boutiquen | Compass Security, Oneconsult, Redguard, scip AG, Dreamlab | Banken, Konzerne, Bundesbetriebe, regulierte Grossunternehmen | Vorteil: Enorme Tiefe bei spezifischen Spezialsystemen. Nachteil: Hohe Tagessätze (CHF 2'200–3'500), lange Vorlaufzeiten (oft 4–8 Wochen), Scope eng begrenzt. |
| Globale Wirtschaftsprüfer | PwC, KPMG, EY, Deloitte (Big 4) | Börsenkotierte Konzerne, multinationale Unternehmen | Vorteil: Integrierte Governance- und Compliance-Audits. Nachteil: Extrem hohe Projektbudgets, oft stark generische Checklisten. |
| Bug-Bounty-Plattformen | GObugfree, HackerOne, Bugcrowd | Softwarehersteller, Tech-Unternehmen, Bund | Vorteil: Bezahlung nach gefundenen Schwachstellen. Nachteil: Hoher interner Triage-Aufwand, setzt bereits hochentwickelte Sicherheit voraus. |
| Agile Bedrohungsanalyse | Suisse Guard (Suisse IT GmbH) | KMU, Spitäler, Gemeinden, Kanzleien, mittelgrosse Betriebe | Vorteil: Vollständige Angriffsfläche, schneller Start (48h), transparenter Festpreis (CHF 2'800), Nachprüfung & ISO 27001-Zertifikat inbegriffen. |
2. Wann ist welches Modell die richtige Wahl?
Szenario A: Eigener Quellcode und hochspezifische Applikationslogik
Wenn ein Finanzinstitut eine neue E-Banking-Applikation von Grund auf selbst programmiert hat und die kryptografische Implementierung auf Byte-Ebene prüfen lassen will, ist ein klassischer Pentest eines spezialisierten Hauses (wie Compass Security oder Redguard) die richtige Wahl. Hier sind die hohen Tagessätze gerechtfertigt, da Spezialisten wochenlang Reverse Engineering betreiben.
Szenario B: Die gesamte Organisation und Aussenfläche schützen (Der Schweizer Normalfall)
Die überwiegende Mehrheit aller Schweizer Unternehmen programmiert kein eigenes Betriebssystem, sondern nutzt Standard-Software, Firewalls, VPNs, Microsoft 365, Cloud-Speicher und branchenspezifische Fachanwendungen. Hier dringen Angreifer fast nie über exotische Zero-Day-Lücken ein, sondern über:
- Vergessene Test-Subdomains oder ungeschützte Management-Ports.
- VPN-Zugänge ohne Mehrfaktor-Authentifizierung.
- Bekannte, aber ungepatchte Schwachstellen in Firewall- und Proxy-Appliances.
- Geleakte Zugangsdaten von Mitarbeitenden.
Für dieses Bedrohungsbild ist das traditionelle Tagessatzmodell ineffizient. Hier bietet die Bedrohungsanalyse von Suisse Guard das mit Abstand beste Kosten-Nutzen-Verhältnis: Die KI übernimmt das zeitintensive Abtasten und die Korrelation der Aussenfläche; der leitende Sicherheitsanalyst konzentriert sich auf die reale Verifikation und die Behebungsanleitung.
3. Transparenz bei Zertifikaten und Nachweisen
Ein wesentlicher Unterschied liegt auch im Abschluss der Prüfung. Viele Berater liefern lediglich ein PDF ab. Die Geschäftsleitung weiss dann zwar, dass Lücken existierten, hat aber keinen Nachweis darüber, ob diese behoben wurden. Suisse Guard verlangt die Behebung kritischer Lücken vor der Ausstellung des Zertifikats. So erhalten Schweizer Organisationen einen belastbaren Nachweis für Kunden, Wirtschaftsprüfer und Cyberversicherungen.
Prüfen Sie Ihre Aussenfläche ohne Beratungs-Overhead
Erhalten Sie Gewissheit über Ihre Sicherheitslage. Schweizer Präzision zum garantierten Festpreis.
