Blog Post

Das Wichtigste in Kürze

• Ein Penetrationstest (Pentest) ist ein autorisierter, simulierter Cyberangriff, der die tatsächlich ausnutzbaren Schwachstellen eines IT-Systems aufdeckt.
• Der BSI-Lagebericht 2025 verzeichnet 950 angezeigte Ransomware-Angriffe und 24 % mehr neue Schwachstellen; KMU sind besonders betroffen.
• Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft; Bußgelder reichen bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
• Wichtige Pentest-Arten: Netzwerk, Applikation (Web, Mobile, API), Social Engineering, Cloud und OT/ICS.
• Bei Feel IT beginnt ein Applikationspentest ab ca. 3.000 €; ein umfassender Test für den Mittelstand liegt meist bei 8.000 bis 25.000 €.

Ein Penetrationstest ist für deutsche Unternehmen das wirksamste Mittel, um das tatsächliche, nicht das angenommene Sicherheitsniveau zu kennen. Dieser Leitfaden richtet sich an Geschäftsführer, IT-Leiter und Informationssicherheitsbeauftragte in KMU und Mittelstand: Definition, Pentest-Arten, Ablauf, Kosten und rechtliche Anforderungen.

Inhalt

• Was ist ein Penetrationstest?
• Warum Pentests 2026 notwendig sind
• Arten von Penetrationstests
• Ablauf in 6 Phasen
• Kosten
• Warum Feel IT
• Häufige Fragen

Was ist ein Penetrationstest?

Ein Penetrationstest, auch Pentest, Sicherheitstest oder ethisches Hacking genannt, ist eine kontrollierte, autorisierte Simulation eines echten Cyberangriffs auf die IT eines Unternehmens, durchgeführt von beauftragten Sicherheitsexperten. Ziel ist es, ausnutzbare Schwachstellen zu finden, bevor ein Angreifer sie entdeckt.

Im Unterschied zu einem Compliance-Audit nimmt der Pentest die Perspektive eines echten Angreifers ein und beantwortet eine einfache Frage: Würde es jemandem gelingen, in unsere Systeme einzudringen?

Kriterium	Sicherheitsaudit	Penetrationstest
Ziel	Einhaltung eines Standards prüfen	Zeigen, was ein Angreifer tatsächlich erreichen kann
Methode	Dokumentenprüfung, Interviews, Kontrollen	Simulierter, kontrollierter Angriff
Ergebnis	Abweichungen von Normen	Ausgenutzte Schwachstellen, Nachweise, Maßnahmenplan
Referenzen	ISO 27001, BSI IT-Grundschutz, DSGVO	PTES, OWASP, BSI-Empfehlungen

Warum Penetrationstests 2026 notwendig sind

Eine angespannte Bedrohungslage

Der BSI-Lagebericht 2025 (Berichtszeitraum Juli 2024 bis Juni 2025) verzeichnet 950 angezeigte Ransomware-Angriffe, wobei das Dunkelfeld deutlich größer sein dürfte, sowie einen Anstieg neuer Schwachstellen um 24 %. Kleine und mittlere Unternehmen gelten als besonders betroffen, weil häufig Ressourcen, Fachwissen und klare Zuständigkeiten fehlen.

Der Irrglaube „Wir sind zu klein für Hacker“

Viele Mittelständler halten sich für kein lohnendes Ziel. Automatisierte Angriffe suchen jedoch nach Schwachstellen, nicht nach Unternehmensgröße. Ein Pentest zeigt objektiv, wo die tatsächlichen Lücken liegen.

NIS2 und DSGVO machen Pentests zur Pflichtaufgabe

Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten und setzt die NIS2-Richtlinie (EU) 2022/2555 um. Wichtige und besonders wichtige Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren und müssen Risikomanagementmaßnahmen umsetzen und Sicherheitsvorfälle melden. Bei Verstößen drohen Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes; die Geschäftsleitung trägt besondere Verantwortung.

Unabhängig von NIS2 verlangt die DSGVO geeignete technische Schutzmaßnahmen und die Meldung von Datenschutzverletzungen innerhalb von 72 Stunden. Pentests unterstützen zudem ISO/IEC 27001, BSI IT-Grundschutz und PCI DSS.

Arten von Penetrationstests

Pentest-Art	Was geprüft wird	Für wen
Netzwerk und Infrastruktur	Firewalls, VPN-Gateways, Server, Remote-Zugänge, Internet-Exposition	Alle Organisationen
Applikation (Web, Mobile, API)	Injektionen, XSS, Authentifizierung, Datenexposition	Unternehmen mit Webanwendungen oder Onlineshops
Social Engineering	Phishing, Spear-Phishing, Vishing, Smishing, physischer Zutritt	Alle Organisationen
Cloud und hybride Umgebungen	Microsoft 365, Entra ID, Azure, AWS, Google Cloud, IAM, CI/CD	Unternehmen mit Cloud-Diensten
OT/ICS	Steuerungssysteme, Industrienetze, IT/OT-Schnittstellen	Automotive, Maschinenbau, Chemie, Pharma, Energie

Netzwerk- und Infrastrukturpentest

Er bewertet Firewalls, VPN-Gateways, Server, Netzwerkkomponenten und Remote-Zugänge. Geräte am Netzwerkrand werden oft wenige Tage nach Veröffentlichung einer Lücke angegriffen. Die Phasen: Reconnaissance, Schwachstellenscan, kontrollierte Ausnutzung, Privilegienerweiterung und Lateral Movement, Bericht mit Maßnahmenplan.

Applikationspentest (Web und Mobile)

Er prüft Webanwendungen, APIs und mobile Apps auf Basis der OWASP Top 10. Feel IT führt Applikationspentests als Black-Box- (ohne Vorabinformationen), Grey-Box- (mit Nutzerzugängen) oder White-Box-Test (mit Quellcode) durch.

Social Engineering und Phishing-Tests

Der Mensch bleibt eines der häufigsten Einfallstore. Simulierte Phishing-, Vishing- und Smishing-Kampagnen sowie physische Zutrittstests messen, ob Mitarbeitende Angriffe erkennen und melden. Kombiniert mit gezielter Schulung gehören sie zu den kosteneffizientesten Maßnahmen.

Cloud- und Hybrid-Pentest

Fehlkonfigurierte Cloud-Umgebungen, überprivilegierte IAM-Rollen, unsichere API-Endpunkte und schlecht gesicherte Entwicklungsumgebungen sind typische Ziele. Feel IT prüft u. a. Microsoft 365, Microsoft Entra ID, AWS-S3-Buckets und CI/CD-Pipelines.

OT/ICS-Pentest für Industrieunternehmen

Die Vernetzung von IT und OT ist ein zentrales Risiko vieler Produktionsbetriebe: Ransomware im Verwaltungsnetz kann auf Steuerungssysteme übergreifen und die Produktion stilllegen. Für die Industrie ist der OT-Pentest eine Frage der Betriebskontinuität.

Ablauf eines Penetrationstests bei Feel IT in 6 Phasen

Unsere Methodik folgt dem PTES (Penetration Testing Execution Standard) und den Empfehlungen des BSI.

Phase 1: Scoping und Auftragsvereinbarung

Prüfumfang, Ziele, Einschränkungen (Zeitfenster, ausgeschlossene Systeme) und Einsatzregeln werden in einem Pentest-Vertrag festgehalten, der beide Seiten rechtlich absichert.

Phase 2: Informationserhebung

Erfassung exponierter Assets wie Domains, IP-Adressen, Technologien und öffentlich verfügbarer Informationen (OSINT), um die Angriffsfläche abzubilden.

Phase 3: Schwachstellenanalyse

Automatisierte Werkzeuge und manuelle Prüfung identifizieren Lücken und Fehlkonfigurationen und eliminieren Falsch-Positive.

Phase 4: Kontrollierte Ausnutzung

Die gefundenen Schwachstellen werden im vereinbarten Umfang ausgenutzt, um die tatsächliche Auswirkung nachzuweisen.

Phase 5: Priorisierter Abschlussbericht

• Management Summary für die Geschäftsführung: Risikobewertung und Gesamtbild.
• Technischer Detailbericht für die IT: Ausnutzungsnachweise und konkrete Empfehlungen.
• Priorisierter Maßnahmenplan: kritisch, hoch, mittel, niedrig.

Phase 6: Retest

Nach der Behebung prüfen wir, ob die Korrekturen wirksam umgesetzt wurden. Der Retest ist bei Feel IT fester Bestandteil jedes Pentests.

Was kostet ein Penetrationstest?

Leistung bei Feel IT	Richtpreis
Gezielter Applikationspentest (eine Webanwendung)	ab ca. 3.000 €
Umfassender Pentest für den Mittelstand (Infrastruktur, Anwendungen, menschlicher Faktor)	typischerweise 8.000 bis 25.000 €
Retest	inklusive

Die Kosten hängen von Umfang, Testart und Prüftiefe ab. Ein genaues Angebot erhalten Sie nach einem kostenlosen Erstgespräch.

Warum Feel IT für Ihren Penetrationstest

• Zertifizierte Tester mit anerkannten Zertifizierungen (OSCP, CEH) und ISO-27001-Expertise.
• Praxisnahe Berichte: klare Handlungsempfehlungen statt unverständlicher CVE-Listen.
• Nachweise für DSGVO und NIS2: Dokumentation für Ihre regulatorischen Pflichten.
• 30 bis 50 % günstiger als spezialisierte deutsche IT-Sicherheitshäuser dank unseres europäischen Nearshore-Modells.
• Retest inklusive und Berichte vollständig auf Deutsch.

Mehr zu unseren Penetrationstests, Managed IT Services und dem 24/7 Service Desk.

Häufige Fragen zu Penetrationstests

Was ist ein Penetrationstest und wozu dient er?

Ein Penetrationstest (Pentest) ist eine autorisierte, simulierte Cyberattacke auf Ihr IT-System, durchgeführt von Sicherheitsexperten, um ausnutzbare Schwachstellen zu finden. Er zeigt Ihr tatsächliches Sicherheitsniveau, priorisiert Korrekturen und dient als Nachweis technischer Schutzmaßnahmen, etwa nach DSGVO und NIS2.

Was ist der Unterschied zwischen Penetrationstest und Sicherheitsaudit?

Ein Sicherheitsaudit prüft die Einhaltung von Normen und Best Practices wie ISO 27001, BSI IT-Grundschutz oder DSGVO. Ein Penetrationstest simuliert einen echten Angriff und zeigt, ob Schwachstellen tatsächlich ausnutzbar sind und welche Folgen eine Kompromittierung hätte. Beide Maßnahmen ergänzen sich.

Ist NIS2 in Deutschland bereits in Kraft?

Ja. Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Betroffene wichtige und besonders wichtige Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren und müssen Risikomanagement- und Meldepflichten erfüllen. Geschäftsleitungen tragen dabei eine besondere Verantwortung.

Brauchen auch KMU einen Penetrationstest?

Ja. Laut BSI sind kleine und mittlere Unternehmen besonders betroffen, weil oft Ressourcen, Fachwissen und klare Zuständigkeiten fehlen. Zudem erfasst NIS2 viele mittelständische Unternehmen in kritischen Sektoren. Ein gezielter Pentest auf die wichtigsten Systeme ist auch für KMU bezahlbar.

Wie oft sollte ein Penetrationstest durchgeführt werden?

Empfohlen ist mindestens ein Pentest pro Jahr sowie nach jeder wesentlichen Änderung der IT, etwa einer Cloud-Migration, einer neuen Anwendung, einer Netzwerkumstrukturierung oder einer Unternehmensübernahme. Phishing-Simulationen können quartalsweise erfolgen.

Was kostet ein Penetrationstest bei Feel IT?

Die Kosten hängen von Umfang, Testart und Prüftiefe ab. Ein gezielter Applikationspentest für eine Webanwendung beginnt bei Feel IT ab ca. 3.000 Euro. Ein umfassender Pentest für ein mittelständisches Unternehmen mit Infrastruktur, Anwendungen und menschlicher Komponente liegt typischerweise zwischen 8.000 und 25.000 Euro. Nach einem kostenlosen Erstgespräch erhalten Sie ein genaues Angebot.

Fazit

Penetrationstests sind 2026 keine Kür mehr: Angesichts der Bedrohungslage, des seit Dezember 2025 geltenden NIS2-Umsetzungsgesetzes und der DSGVO sind sie das zentrale Instrument, um IT-Sicherheit objektiv zu bewerten und gezielt zu verbessern. Feel IT liefert dafür eine strukturierte Methodik, praxisnahe Berichte und einen inklusiven Retest.

Sie möchten wissen, wie sicher Ihre IT wirklich ist? Vereinbaren Sie ein kostenloses Erstgespräch.