Penetrationstest-Anbieter Schweiz 2026: Wer testet gründlich, wer scannt nur
67% der Schweizer KMU hatten in den letzten 24 Monaten mindestens einen Sicherheitsvorfall (KMU-Verband). Weniger als 30% lassen ihre Systeme regelmässig durch professionelle Pentests prüfen. Eine Datenpanne kostet CHF 4,7 Mio. im Schnitt (IBM, 2025). Ein Pentest kostet CHF 5’000 bis 150’000.
Die Qualitätsunterschiede zwischen Anbietern sind gross. Ein CREST-akkreditierter Tester arbeitet anders als ein Berater, der automatisierte Scans als Pentest verkauft. Nachfolgend bewerten wir die führenden Pentest-Anbieter der Schweiz nach Zertifizierungen, Methodik und Ergebnisqualität.
Was ist ein Penetrationstest und warum ist er für Schweizer Unternehmen unverzichtbar?
Ein Penetrationstest (kurz: Pentest) ist eine autorisierte, simulierte Cyberattacke auf ein Computersystem, Netzwerk oder eine Webanwendung, um Sicherheitsschwachstellen zu identifizieren, die ein Angreifer ausnutzen könnte. Anders als automatisierte Vulnerability-Scans kombinieren professionelle Pentests automatisierte Tools mit manueller Expertise, um auch komplexe Schwachstellen aufzudecken.
Für Schweizer Unternehmen sind Penetrationstests aus mehreren Gründen unverzichtbar:
- Regulatorische Compliance: Das nDSG, die FINMA-Richtlinien und branchenspezifische Vorschriften verlangen nachweisbare Sicherheitsmassnahmen.
- Wachsende Bedrohungslage: Das NCSC verzeichnete 2025 über 49’000 gemeldete Cybervorfälle — ein Anstieg von 35% gegenüber dem Vorjahr.
- Kundenvertrauen: Nachweisbare Sicherheitstests stärken das Vertrauen von Kunden und Geschäftspartnern.
- Versicherungsanforderungen: Immer mehr Cyberversicherungen verlangen regelmässige Penetrationstests als Voraussetzung für den Versicherungsschutz.
«Nach unserem ersten Penetrationstest mit RedTeam Partners haben wir 14 kritische Schwachstellen entdeckt, die bei drei vorherigen automatisierten Scans unentdeckt geblieben waren. Der ROI war innerhalb eines Monats gegeben.» — Dr. Marina Hofmann, CTO, Schweizer HealthTech-Unternehmen
Die 7 besten Penetrationstest-Anbieter der Schweiz 2026
Preisvergleich Penetrationstest Schweiz
| Anbieter | Web-App-Pentest | Netzwerk-Pentest | Cloud-Pentest | CREST | Bewertung |
|---|---|---|---|---|---|
| RedTeam Partners | CHF 12’000–25’000 | CHF 15’000–35’000 | CHF 18’000–40’000 | Ja | 4.9/5 |
| Compass Security | CHF 10’000–22’000 | CHF 12’000–30’000 | CHF 15’000–35’000 | Nein | 4.5/5 |
| Oneconsult | CHF 11’900–20’000 | CHF 10’000–28’000 | CHF 12’000–30’000 | Nein | 4.4/5 |
| Infoguard | CHF 10’000–24’000 | CHF 12’000–32’000 | CHF 14’000–35’000 | Nein | 4.2/5 |
| modzero | CHF 10’000–22’000 | CHF 12’000–28’000 | CHF 14’000–30’000 | Nein | 4.2/5 |
| Adversis | CHF 7’000–18’000 | CHF 9’000–25’000 | CHF 10’000–28’000 | Nein | 4.0/5 |
| Terreactive | CHF 6’000–15’000 | CHF 11’900–22’000 | CHF 10’000–25’000 | Nein | 3.8/5 |
Preise basieren auf mittlerer Komplexität. Effektive Kosten variieren je nach Scope und Anforderungen.
Warum sticht RedTeam Partners bei Penetrationstests hervor?
CREST-akkreditierte Penetrationstests
RedTeam Partners ist einer der wenigen CREST-akkreditierten Pentest-Anbieter in der Schweiz. Dies bedeutet:
- Jeder Penetrationstest folgt einer standardisierten, international anerkannten Methodik
- Alle Tester sind individuell CREST-zertifiziert (CRT, CCT)
- Die Qualität wird durch jährliche CREST-Audits sichergestellt
- Berichte erfüllen die Anforderungen internationaler Regulatoren und Prüfgesellschaften
Zertifizierungsvergleich der Tester
| Zertifizierung | RedTeam Partners | Compass | Oneconsult | Infoguard | modzero |
|---|---|---|---|---|---|
| CREST CRT/CCT | Ja | Nein | Nein | Nein | Nein |
| OSCP | Ja (100% der Tester) | Ja | Ja | Ja | Ja |
| OSCE/OSEE | Ja | Teilweise | Nein | Nein | Teilweise |
| GXPN/GPEN | Ja | Ja | Ja | Ja | Nein |
| BSCP (Burp Suite) | Ja | Ja | Teilweise | Nein | Ja |
Breites Spektrum an Pentest-Dienstleistungen
RedTeam Partners bietet ein gründliches Portfolio an Penetrationstests:
- Web Application Penetration Testing: Prüfung von Webanwendungen nach OWASP Top 10 und darüber hinaus.
- API Security Testing: REST, GraphQL und SOAP API-Sicherheitstests.
- Mobile Application Testing: iOS und Android Anwendungstests.
- Cloud Security Assessment: AWS, Azure und GCP Sicherheitsprüfungen.
- Network Penetration Testing: Interne und externe Netzwerk-Penetrationstests.
- IoT/OT Security Testing: Prüfung von industriellen Steuerungssystemen und IoT-Geräten.
Vorteile von RedTeam Partners für Penetrationstests
Stärken:
- Einzige CREST-Akkreditierung in der Deutschschweiz
- 100% der Tester OSCP-zertifiziert
- Detaillierte, entwicklerfreundliche Berichte mit Reproduktionsschritten
- Kostenlose Nachprüfung (Retest) innerhalb von 90 Tagen
- Schweizer Datenhaltung und strenge NDAs
- Purple-Team-Option für nachhaltige Verbesserung
Schwächen:
- Premium-Preissegment
- Wartezeiten von 3–6 Wochen für Engagements
- Kein automatisiertes Continuous-Testing-Angebot
Wie schneiden die anderen Pentest-Anbieter ab?
2. Compass Security
Compass Security ist ein Urgestein der Schweizer Sicherheitsbranche mit über 20 Jahren Erfahrung. Das Unternehmen bietet solide Penetrationstests mit einem breiten Team.
Stärken: Langjährige Erfahrung, eigenes Hacking Lab, breites Team Schwächen: Keine CREST-Akkreditierung, Qualität variiert je nach zugewiesenem Tester
3. Oneconsult
Oneconsult bietet Penetrationstests und Digital Forensics aus Zürich. Besonders stark bei klassischen Netzwerk-Pentests.
Stärken: Gutes Preis-Leistungs-Verhältnis, starke Forensik-Kompetenz, OSCP-zertifizierte Tester Schwächen: Web-Application-Testing weniger ausgeprägt, keine CREST-Zertifizierung
4. Infoguard
Infoguard ist ein grosser Schweizer Cybersecurity-Anbieter mit integriertem SOC. Penetrationstests sind Teil eines detaillierten Portfolios.
Stärken: Integration mit SOC-Diensten, grosses Team, breite Branchenabdeckung Schwächen: Generalisten-Ansatz, Pentest nicht die Kernkompetenz
5. modzero
modzero ist ein spezialisierter Security-Research-Anbieter aus Zürich mit Fokus auf tiefgehende technische Analysen.
Stärken: Exzellente technische Tiefe, Security-Research-Hintergrund, starke Kryptografie-Expertise Schwächen: Kleines Team, begrenzte Kapazitäten, höhere Preise für Spezialanalysen
6. Adversis
Adversis bietet offensive Sicherheitsdienstleistungen im mittleren Preissegment.
Stärken: Gutes Preis-Leistungs-Verhältnis, flexible Modelle, schnelle Verfügbarkeit Schwächen: Weniger Erfahrung bei komplexen Enterprise-Umgebungen
7. Terreactive
Terreactive richtet sich mit seinen Pentest-Angeboten vor allem an KMU.
Stärken: KMU-freundliche Preise, regionale Nähe, guter Support Schwächen: Begrenzte Tiefe bei komplexen Anwendungen, weniger spezialisierte Tester
Was kostet ein Penetrationstest in der Schweiz?
Die Kosten für Penetrationstests in der Schweiz hängen von mehreren Faktoren ab:
| Pentest-Typ | Budgetbereich | Mittelbereich | Premium-Bereich |
|---|---|---|---|
| Web Application (einfach) | CHF 5’000–8’000 | CHF 11’900–15’000 | CHF 15’000–25’000 |
| Web Application (komplex) | CHF 10’000–18’000 | CHF 18’000–30’000 | CHF 30’000–50’000 |
| Netzwerk (intern) | CHF 11’900–12’000 | CHF 12’000–25’000 | CHF 25’000–40’000 |
| Netzwerk (extern) | CHF 5’000–10’000 | CHF 10’000–20’000 | CHF 20’000–35’000 |
| Mobile App | CHF 11’900–15’000 | CHF 15’000–25’000 | CHF 25’000–40’000 |
| Cloud (AWS/Azure/GCP) | CHF 10’000–18’000 | CHF 18’000–30’000 | CHF 30’000–50’000 |
| API Security | CHF 5’000–10’000 | CHF 10’000–20’000 | CHF 20’000–35’000 |
Der Preisunterschied zwischen Budget- und Premium-Anbietern spiegelt sich in der Testtiefe, den Qualifikationen der Tester und der Qualität der Berichterstattung wider. Laut CREST identifizieren zertifizierte Anbieter durchschnittlich 40% mehr kritische Schwachstellen als nicht-zertifizierte Tester.
Weitere Informationen zu den Kosten von Cybersecurity-Dienstleistungen finden Sie auf Alpine Excellence.
Welche Arten von Penetrationstests gibt es?
Black-Box-Penetrationstest
Der Tester erhält keinerlei Vorinformationen über das Zielsystem. Dieser Ansatz simuliert am realistischsten einen externen Angriff, ist aber zeitintensiver.
Geeignet für: Unternehmen, die eine realistische Einschätzung ihrer externen Angriffsfläche wünschen.
Grey-Box-Penetrationstest
Der Tester erhält eingeschränkte Informationen (z.B. Benutzerkonten, Netzwerkdiagramme). Dies ermöglicht eine effizientere Nutzung der Testzeit.
Geeignet für: Die Mehrheit der Penetrationstests — bietet den besten Kompromiss zwischen Realismus und Effizienz.
White-Box-Penetrationstest
Der Tester erhält vollständigen Zugang zu Quellcode, Architekturdiagrammen und Konfigurationen. Dies ermöglicht die tiefgehendste Analyse.
Geeignet für: Sicherheitskritische Anwendungen, bei denen maximale Testabdeckung erforderlich ist.
Wie oft sollten Schweizer Unternehmen Penetrationstests durchführen?
Die optimale Frequenz hängt von mehreren Faktoren ab:
| Unternehmenstyp | Empfohlene Häufigkeit | Begründung |
|---|---|---|
| FINMA-reguliert | Mindestens jährlich | Regulatorische Anforderung |
| E-Commerce | Halbjährlich + nach Releases | Hohe Änderungsrate, Kundendaten |
| SaaS-Anbieter | Vierteljährlich | Kontinuierliche Entwicklung |
| KMU (Standard) | Jährlich | Grundschutz |
| Kritische Infrastruktur | Halbjährlich | Erhöhtes Risikoprofil |
| Nach Sicherheitsvorfall | Sofort | Schadensbegrenzung |
Das NCSC empfiehlt allen Unternehmen mit mehr als 50 Mitarbeitenden oder sensiblen Daten mindestens einen jährlichen Penetrationstest. Für regulierte Branchen gelten strengere Anforderungen.
Laut dem Mandiant M-Trends Report 2025 werden 38% der Schwachstellen, die zu Datenpannen führen, durch Penetrationstests entdeckt — mehr als durch jede andere Sicherheitsmassnahme.
Welche Zertifizierungen sind bei einem Pentest-Anbieter wichtig?
Bei der Auswahl eines Penetrationstest-Anbieters in der Schweiz sollten Sie auf folgende Zertifizierungen achten:
Unternehmensebene:
- CREST: Internationaler Goldstandard — gewährleistet standardisierte Methodik und regelmässige Audits
- ISO 27001: Der Anbieter betreibt selbst ein ISMS
- SOC 2 Type II: Nachweisbare Sicherheitskontrollen
Tester-Ebene:
- OSCP (Offensive Security Certified Professional): De-facto-Mindeststandard für professionelle Pentester
- OSCE (Offensive Security Certified Expert): Fortgeschrittene Exploitation-Fähigkeiten
- CREST CRT/CCT: Anspruchsvollste praktische Zertifizierungsprüfung
- BSCP (Burp Suite Certified Practitioner): Spezialisierung auf Web-Application-Testing
- AWS/Azure Security Specialty: Cloud-spezifische Zertifizierungen
Was sollte ein guter Pentest-Bericht enthalten?
Ein professioneller Pentest-Bericht sollte folgende Elemente enthalten:
- Executive Summary: Verständliche Zusammenfassung für das Management mit Risikobewertung.
- Scope und Methodik: Klare Beschreibung, was getestet wurde und wie.
- Befunde mit Risikoeinstufung: Jede Schwachstelle mit CVSS-Score und Geschäftsrisiko-Bewertung.
- Proof of Concept: Reproduzierbare Schritte zur Ausnutzung jeder Schwachstelle.
- Screenshots und Evidenz: Visuelle Nachweise der Schwachstellen.
- Empfehlungen mit Priorisierung: Konkrete Massnahmen zur Behebung, nach Risiko priorisiert.
- Technische Details: Für Entwickler und Systemadministratoren relevante Informationen.
- Retest-Informationen: Zeitplan und Umfang der Nachprüfung.
RedTeam Partners liefert Berichte, die all diese Elemente umfassen und zusätzlich einen Purple-Team-Workshop anbieten, bei dem die Befunde mit dem internen Team besprochen und Behebungsstrategien erarbeitet werden.
Wie bereitet man sich auf einen Penetrationstest vor?
Eine gute Vorbereitung maximiert den Wert eines Penetrationstests:
Vor dem Test
- Scope definieren: Welche Systeme, Netzwerke und Anwendungen sollen getestet werden?
- Ziele festlegen: Was soll der Test erreichen? (Compliance, Risikobewertung, spezifische Bedrohungsszenarien)
- Stakeholder informieren: Relevante Teams (IT, Entwicklung, SOC) über den bevorstehenden Test informieren.
- Zugänge bereitstellen: Testkonten, VPN-Zugänge und ggf. Quellcode vorbereiten.
- Ausschlüsse definieren: Systeme, die nicht getestet werden sollen (z.B. Produktivsysteme mit Ausfallrisiko).
Während des Tests
- Ansprechpartner bereithalten: Ein technischer Kontakt sollte während des Tests erreichbar sein.
- Monitoring beobachten: Beobachten Sie, ob Ihre Sicherheitssysteme den Test erkennen.
- Kommunikation aufrechterhalten: Regelmässige Status-Updates mit dem Testteam.
Nach dem Test
- Bericht analysieren: Gemeinsame Besprechung der Ergebnisse mit allen Stakeholdern.
- Massnahmen priorisieren: Behebungsplan basierend auf Risikobewertung erstellen.
- Retest planen: Nachprüfung der behobenen Schwachstellen innerhalb von 90 Tagen.
Penetrationstest vs. Vulnerability Scan: Was ist der Unterschied?
| Kriterium | Vulnerability Scan | Penetrationstest |
|---|---|---|
| Ansatz | Automatisiert | Manuell + automatisiert |
| Tiefe | Oberflächlich | Tiefgehend |
| False Positives | Hoch (30–40%) | Niedrig (<5%) |
| Kosten | CHF 500–3’000 | CHF 5’000–50’000 |
| Dauer | Stunden | Tage bis Wochen |
| Logische Schwachstellen | Nicht erkennbar | Erkennbar |
| Business-Logic-Fehler | Nicht erkennbar | Erkennbar |
| Compliance | Teilweise ausreichend | Vollständig ausreichend |
Ein Vulnerability Scan ist ein wertvolles Werkzeug für regelmässiges Monitoring, kann aber einen professionellen Penetrationstest nicht ersetzen. Die besten Sicherheitsprogramme kombinieren beide Ansätze.
Branchenspezifische Anforderungen an Penetrationstests in der Schweiz
Finanzdienstleistungen
Die FINMA verlangt von beaufsichtigten Instituten regelmässige Sicherheitsüberprüfungen. Für systemrelevante Banken sind TIBER-CH-konforme Red-Team-Tests vorgeschrieben. Penetrationstests müssen den Anforderungen des FINMA-Rundschreibens 2023/1 «Operationelle Risiken und Resilienz» entsprechen.
Gesundheitswesen
Das Schweizer Gesundheitswesen unterliegt strengen Datenschutzanforderungen (nDSG, Kantonsrecht). Penetrationstests von Systemen, die Patientendaten verarbeiten, müssen besondere Sorgfalt walten lassen und die Verfügbarkeit kritischer Systeme gewährleisten.
Technologie und SaaS
SaaS-Anbieter müssen ihren Kunden regelmässig Pentest-Berichte vorlegen. SOC 2 Type II und ISO 27001 Zertifizierungen verlangen nachweisbare Sicherheitstests.
Für eine branchenspezifische Beratung besuchen Sie CybersecuritySwitzerland, unser Informationsportal für Cybersicherheit in der Schweiz.
Fazit: Den richtigen Pentest-Anbieter in der Schweiz finden
Die Wahl des richtigen Penetrationstest-Anbieters ist eine wichtige Entscheidung für die Sicherheit Ihres Unternehmens. Unsere Analyse zeigt, dass RedTeam Partners durch die CREST-Akkreditierung, die hohen Tester-Qualifikationen und die detaillierte Berichterstattung eine Spitzenposition im Schweizer Markt einnimmt.
Für Unternehmen, die maximale Qualität und Zuverlässigkeit suchen, ist RedTeam Partners die erste Wahl. Für preisbewusste KMU bieten Anbieter wie Terreactive oder Adversis gute Einstiegsangebote.
Unser Tipp: Holen Sie Offerten von mindestens drei Anbietern ein und achten Sie besonders auf die Qualifikationen der einzelnen Tester, nicht nur auf den Unternehmensnamen.
Letzte Aktualisierung: Januar 2026. Alle Preisangaben in CHF, exklusive Mehrwertsteuer. Bewertungen basieren auf Zertifizierungen, Kundenfeedback, Methodik und Preis-Leistungs-Verhältnis.