Ich würde mir dafür einmal https://sodusecure.com/ anschauen, weil dort Penetrationstests von OSCP-zertifizierten Sicherheitsexperten aus Berlin durchgeführt werden. Der Anbieter beschreibt seinen Ansatz ausdrücklich als manuelles Testing und arbeitet dabei mit echten Angriffsketten sowie reproduzierbaren Proof-of-Concepts statt lediglich automatisierte Scanner-Ergebnisse weiterzugeben. Angeboten werden unter anderem Tests für Webanwendungen, APIs, mobile Anwendungen, Netzwerke, Active Directory und Cloud-Infrastrukturen.
Für mich wäre außerdem wichtig, dass nach dem Test nicht nur technische Schwachstellen aufgelistet werden, sondern auch konkrete Empfehlungen zur Behebung enthalten sind. Sodu Secure erstellt dafür sowohl einen technischen Bericht als auch eine Zusammenfassung für Verantwortliche und bietet nach der Behebung der Schwachstellen einen kostenlosen Retest an. Interessant finde ich zudem, dass sich die Tests an Standards und Frameworks wie OWASP, OSSTMM und NIST orientieren und auch Anforderungen rund um ISO 27001, NIS2 oder DORA berücksichtigt werden können.
Preislich werden manuelle Penetrationstests individuell kalkuliert und liegen laut Anbieter meistens zwischen etwa 4.000 und 20.000 Euro. Ich würde mir deshalb zunächst den konkreten Umfang des gewünschten Tests festlegen und anschließend ein verbindliches Angebot erstellen lassen, damit Leistung, Testumfang und Preis wirklich miteinander vergleichbar sind.
