Pentest und Vulnerability-Scans: Was ein KMU jährlich prüfen muss

Was ist ein Pentest und wo grenzt sich der Scan ab?

Ein Penetrationstest ist ein vereinbartes, ethisches Hacking-Engagement: Eine externe Spezialistin versucht mit den gleichen Techniken wie ein Angreifer, in Ihre Systeme einzudringen, Daten abzuziehen oder Berechtigungen zu eskalieren – innerhalb eines fest umrissenen Scopes und mit schriftlicher Erlaubnis. Am Ende steht ein Bericht mit gefundenen Schwachstellen, Reproduktions-Schritten, Auswirkungs-Bewertung (CVSS) und Empfehlungen.

Ein Vulnerability-Scan ist die automatisierte Variante: Ein Tool wie Nessus, OpenVAS, Trivy oder nuclei scannt Ihre Systeme gegen eine Datenbank bekannter Schwachstellen (CVE-Liste). Das Tool läuft in Minuten bis Stunden, liefert eine Liste mit Hinweisen, aber ohne menschliche Bewertung der Ausnutzbarkeit. Ein Vulnerability-Scan findet die einfachen Probleme, der Pentest findet die komplexen Geschäfts-Logik-Fehler.

Der dritte Baustein ist Bug Bounty: Ein offen ausgeschriebenes Programm, bei dem externe Forschende gefundene Schwachstellen gegen Honorar melden. HackerOne und Bugcrowd sind die Mai-2026-Standard-Plattformen, Intigriti ist die EU-residente Alternative mit Schweizer Kunden. Bug Bounty läuft kontinuierlich, ist günstig pro Finding (CHF 200 bis CHF 5000), erfordert aber laufende Triage-Kapazität.

Mai 2026 zeigen Verizon DBIR und ENISA-Threat-Landscape übereinstimmend, dass Web-Anwendungs-Angriffe der mit Abstand grösste Vektor sind. Wer eine Web-App ohne externe Prüfung betreibt, hat in einem von drei Jahren statistisch eine ausgenutzte Schwachstelle.

Warum es wichtig ist

Drei Anker zwingen zu regelmässiger externer Prüfung. Erstens regulatorisch: Das revFADP / revDSG verlangt nach Art. 8 angemessene technische und organisatorische Massnahmen. „Angemessen" bedeutet im Stand der Technik – Mai 2026 ist der Stand der Technik für Anwendungen mit Personendaten ein jährlicher Pentest. Ohne diesen Nachweis ist im Schadensfall die Sorgfalts-Pflicht schwer zu belegen.

Zweitens ISO 27001 und SOC 2: Beide Standards verlangen periodische Pentests als Pflicht-Bestandteil des ISMS. Wer eine Zertifizierung anstrebt, kommt um Pentests nicht herum. Auch Versicherungen für Cyber-Schäden verlangen Mai 2026 zunehmend Pentests als Voraussetzung – ohne den Nachweis steigt die Prämie oder die Police wird verweigert.

Drittens EU AI Act: Wer ein AI-System mit hohem Risiko betreibt (Art. 6, Annex III), muss nach Art. 15 angemessene Robustheit, Genauigkeit und Cybersicherheit nachweisen. Mai 2026 hat die EU-AI-Office eine konkrete Auslegung publiziert, die jährliche Red-Team-Übungen für Hochrisiko-Systeme verlangt – inklusive Prüfung gegen die OWASP LLM Top 10.

Viertens praktisch: Ein Pentest deckt typisch 5 bis 15 ausnutzbare Findings auf, davon 1 bis 3 kritisch. Wer sie kennt, kann sie patchen. Wer sie nicht kennt, betreibt seine Anwendung mit offenem Front-Tor. Der Schaden bei Ausnutzung – Datenverlust, Erpressung, Reputations-Verlust, regulatorische Sanktionen – geht typisch in den fünf- bis sechs-stelligen Bereich, der Pentest in den vier- bis fünf-stelligen. Die Rechnung ist eindeutig.

Wie ein Pentest- und Scan-Programm aufgebaut ist

Ein wirksames Sicherheits-Prüfungs-Programm hat drei Frequenz-Ebenen.

Monatlich automatisierte Scans: Trivy für Container-Images im CI/CD-Pipeline, OWASP ZAP oder Nuclei gegen die Web-Anwendung, Nessus oder OpenVAS gegen die Netzwerk-Infrastruktur. Alle drei laufen automatisiert über Cron oder GitHub Actions, der Bericht geht in ein Issue-Tracking-System. Aufwand pro Monat: 1 bis 4 Stunden zum Triagieren.

Jährlicher manueller Pentest: Ein externer Anbieter testet die Anwendung mit definiertem Scope. Der Scope umfasst typisch Web-App (alle öffentlichen Endpunkte plus authentisierte Bereiche), API (REST oder GraphQL), Authentisierungs-Logik, RBAC-Trennung, Session-Management, File-Upload, Daten-Validierung. Typische Engagement-Länge 5 bis 15 Personen-Tage je nach Anwendungs-Grösse. Preisspanne Mai 2026: CHF 5000 für eine kleine Web-App, CHF 15 000 bis CHF 30 000 für eine mittlere Anwendung mit API, CHF 50 000 plus für komplexe Plattformen.

Bei jedem Major-Release: Vor jedem grösseren Versions-Sprung (neue Authentisierung, neue Daten-Flows, neue Drittsystem-Integration) ein zusätzlicher Pentest des geänderten Bereichs. Ein klassischer Fehler: Die Anwendung wird im März getestet, im April kommt ein Major-Release mit neuer Bezahl-Integration – die Sicherheit der neuen Integration wurde nie geprüft.

Tools OSS Mai 2026: nuclei (Templates-basiert, ProjectDiscovery, schnell und gut für CI/CD), Nikto (Web-Server-Scanner, alt aber effektiv), Burp Suite Community Edition (Web-App-Prüfung, Standard-Tool für manuelle Tester), OWASP ZAP (kostenlose Burp-Alternative mit guter API), Trivy (Container und Code-Scanning), sqlmap (SQL-Injection-Tester), Metasploit Framework (Exploit-Datenbank und Test-Plattform).

LLM-spezifisch – OWASP LLM Top 10 v2.0: Mai 2026 ist die zweite Ausgabe der OWASP-LLM-Top-10 finalisiert. Die Hauptrisiken: (1) Prompt Injection (eingeschleuste Instruktionen aus User-Inputs oder externen Quellen), (2) Insecure Output Handling (Modell-Output wird ohne Prüfung in Shell, SQL, JS eingebettet), (3) Training Data Poisoning (kontaminierte Trainings- oder Embedding-Daten), (4) Model Denial of Service (lange oder rekursive Prompts), (5) Supply Chain Vulnerabilities (kompromittierte Modell-Gewichte, schlechte Tokenizer), (6) Sensitive Information Disclosure (Modell gibt Trainings-Inhalt preis), (7) Insecure Plugin Design, (8) Excessive Agency (Modell hat zu weite Tool-Rechte), (9) Overreliance, (10) Model Theft. Jede LLM-Anwendung mit Kunden-Kontakt sollte gegen diese 10 Kategorien systematisch getestet werden.

Anbieter in der Schweiz: Compass Security in Bern und Rapperswil ist Mai 2026 der bekannteste Pentest-Anbieter mit OSCP/OSCE-zertifizierten Testern. scip AG in Zürich ist die zweite grosse Adresse mit langjähriger Erfahrung. Oneconsult in Thalwil und Bern ist ebenfalls etabliert. Hacknowledge in Pully (Waadt) ist die Romandie-Adresse. Für KMU mit kleinerem Budget: ProtonMail-CTF-Veteranen oder Freelancer über HackerOne. Bei sensiblen Mandaten (Anwaltskanzleien, Treuhand mit Bank-Kunden) lohnt sich der Mehrpreis für einen etablierten Schweizer Anbieter wegen Vertraulichkeits-Vereinbarungen und Schweizer Gerichtsstand.

Pentest-Programm in 5 Schritten

1. 01Scope und Threat-Modell: Welche Komponenten gehören in den Test (Web, API, Auth, RBAC, Upload, LLM)? Welche Angreifer-Typen werden simuliert (anonym, authentisiert, Insider)?
2. 02Anbieter wählen: Compass Security, scip AG, Oneconsult für etablierte Schweizer Adressen mit OSCP/OSCE-Zertifizierung; HackerOne-Freelancer für kleinere Budgets. Schreiben Sie eine NDA und einen Letter of Authorisation.
3. 03Test-Durchführung: 5 bis 15 Personen-Tage je nach Scope. Regelmässige Status-Updates, sofortige Eskalation bei kritischen Findings (Daten-Leck, Privilegien-Eskalation).
4. 04Fix-Sprint: Pro Severity-Klasse Frist setzen. Kritisch innert 7 Tagen, hoch innert 30 Tagen, mittel innert 90 Tagen, niedrig in den nächsten Release-Zyklus.
5. 05Re-Test und Dokumentation: Nach Fix-Sprint die Findings nachprüfen, Bericht und Re-Test zur Sorgfalts-Akte legen, nächsten jährlichen Termin einplanen, OWASP-Top-10-Coverage dokumentieren.

Wann welche Prüfung angemessen ist

Drei Trigger-Kategorien für einen vollen jährlichen Pentest: Erstens regulatorisch erzwungen – ISO 27001, SOC 2, PCI-DSS, EU AI Act bei Hochrisiko. Zweitens Geschäfts-kritisch – eine Anwendung, deren Ausfall oder Datenpanne sechs-stellige Schäden verursacht. Drittens externe Forderung – Versicherer oder Grosskunde verlangt einen Nachweis.

Für alle anderen Web-Anwendungen, die Personen-Daten verarbeiten, ist mindestens ein jährlicher Scan plus Bug Bounty angemessen. Bei einer 5-Personen-Treuhand mit eigener Mandanten-App: einmaliger Initial-Pentest beim Go-Live (CHF 8000 bis CHF 15 000), danach automatisierte Monats-Scans und ein verkürzter Re-Test alle 2 bis 3 Jahre.

LLM-Anwendungen brauchen Mai 2026 zusätzlich einen spezifischen LLM-Pentest. Ein klassischer Web-App-Pentest deckt die LLM-Risiken nicht ab – er prüft HTTP-Endpunkte, nicht Prompt-Injection oder Model-Theft. Anbieter wie Compass Security und scip AG haben Mai 2026 erste LLM-Pentest-Pakete im Programm, typisch CHF 8000 bis CHF 20 000 für eine RAG-basierte Anwendung mit OpenAI- oder Anthropic-Backend.

Für kleine Hobby- oder Lern-Projekte ohne Kunden-Daten reicht ein einmaliger ZAP-Scan und eine OWASP-Cheat-Sheet-Prüfung. Hier ist der Aufwand eines vollen Pentests nicht gerechtfertigt – sobald aber echte Kunden-Daten verarbeitet werden, gilt der Treuhand-Standard.

Wo Prüfungen Theater werden

Erstens: Pentest ohne Fix-Budget. Wer einen Test in Auftrag gibt, ohne die Ressourcen zum Beheben der Findings einzuplanen, hat das Geld verschwendet. Ein Pentest-Bericht mit 15 ungeschlossenen Findings, der 6 Monate auf dem Tisch liegt, ist im Schadensfall sogar nachteilig – Sie wussten von den Lücken und haben nichts getan, das macht den Vorsatz schärfer.

Zweitens: Scan ohne Triage. Ein automatischer Scanner produziert leicht 200 bis 500 Findings, davon 80 Prozent False Positives oder Low-Severity. Wer das ungesichtet als „wir haben Sicherheit" verkauft, betreibt Compliance-Theater. Triage muss durch eine Person mit Web-App-Sicherheits-Wissen erfolgen, die echte Risiken von Rauschen trennt.

Drittens: Pentest mit zu engem Scope. Ein Test der nur „Login-Seite" prüft, sagt nichts über RBAC-Trennung, API-Sicherheit oder File-Upload. Der Scope muss die ganze Angriffsfläche abdecken; wer nur „die Hauptseite" prüfen lässt, kauft ein Etikett.

Viertens: Wiederholungs-Tests mit derselben Firma ohne Anbieter-Wechsel. Tester haben Blind-Flecken – was sie beim ersten Mal nicht gefunden haben, finden sie auch beim dritten Mal nicht. Alle 3 bis 4 Jahre den Anbieter wechseln deckt unterschiedliche Klassen von Findings auf.

Fünftens: Bug-Bounty ohne Triage-Kapazität. Wer ein Bug-Bounty-Programm aufmacht ohne Bereitschaft, täglich Reports zu sichten, bekommt einen Berg Spam und verzögerte Antworten – das schadet dem Ruf bei der Security-Community, die das mitnimmt.

Vor- und Nachteile

Häufige Fragen

Verwandte Themen

Quellen

1. OWASP Top 10 for Large Language Model Applications v2.0 · 2026-04
2. OWASP Web Security Testing Guide v4.2 · 2026-03
3. NIST SP 800-115 – Technical Guide to Information Security Testing and Assessment · 2026-02
4. ENISA – Threat Landscape 2026 · 2026-04
5. Verizon Data Breach Investigations Report 2026 · 2026-04
6. Compass Security – Penetration Testing service overview · 2026-05
7. scip AG – Security Testing reference · 2026-05