Kurzantwort
Ein klar abgegrenzter Pentest beansprucht häufig mehrere Testtage sowie zusätzliche Zeit für Scoping, Vorbereitung und Bericht. Eine kleine Webanwendung kann technisch in wenigen Tagen prüfbar sein; mehrere Rollen, APIs, Netzsegmente oder komplexe Geschäftslogik erhöhen den Aufwand deutlich. Seriös kalkulieren lässt sich erst nach einem konkreten Scope.
Vier Zeitblöcke unterscheiden
Die oft genannten Testtage beschreiben nur einen Teil des Projekts. Auftraggeber sollten die gesamte Strecke vom Scope bis zur Ergebnisbesprechung planen.
- Scoping und Angebot: Ziele, Systeme, Rollen und Einschränkungen klären
- Vorbereitung: Freigaben, Konten, Testdaten und Kommunikationswege bereitstellen
- Technische Prüfung: vereinbarte Angriffsszenarien durchführen und Befunde validieren
- Bericht und Abschluss: Ergebnisse qualitätssichern, präsentieren und Maßnahmen abstimmen
Was die Dauer wirklich beeinflusst
Nicht die Anzahl der URLs allein bestimmt den Aufwand. Eine einzelne Anwendung mit vielen Rollen und komplexen Freigabeprozessen kann mehr Testzeit benötigen als mehrere einfache Informationsseiten.
- Anzahl der Testobjekte, Rollen und Mandanten
- Blackbox-, Greybox- oder Whitebox-Ansatz
- Dokumentationsqualität und verfügbare Testkonten
- Produktionsrisiken, Sperrzeiten und erlaubte Aktionen
- Geforderte Berichtstiefe und Qualitätssicherung
- Abstimmungsbedarf mit Hosting- oder Cloud-Partnern
Zu knappe Angebote erkennen
Eine ungewöhnlich kurze Dauer ist nicht automatisch effizient. Lassen Sie erklären, welche Funktionen, Rollen und Angriffsperspektiven innerhalb der angebotenen Zeit tatsächlich geprüft werden und welche Bereiche ausgeschlossen bleiben.
Praxis-Checkliste
Das sollten Auftraggeber festhalten
Häufig gefragt
Kann ein Pentest an einem Tag erledigt werden?
Für einen sehr kleinen, klar fokussierten Scope kann ein kurzer Test sinnvoll sein. Für komplexe Anwendungen oder Netzwerke reicht ein einzelner Tag meist nicht für belastbare Tiefe und Dokumentation.
Wie lange dauert der Bericht?
Das hängt von Anzahl und Komplexität der Befunde sowie der Qualitätssicherung ab. Der Liefertermin sollte bereits im Angebot festgehalten werden.