Penetrationstests für Behörden: Leitfaden

Letzte Aktualisierung: Juli 2026 | Lesezeit: ca. 10 Min.

Die öffentliche Verwaltung in Deutschland steht unter wachsendem Druck, ihre IT-Infrastruktur gegen Cyberangriffe abzusichern. Penetrationstests, also die kontrollierte Simulation von Angriffen auf IT-Systeme, gehören dabei zu den wichtigsten Werkzeugen. Für IT-Beratungsunternehmen, die in diesem Segment aktiv sind oder es werden wollen, bietet der öffentliche Sektor große Chancen. Gleichzeitig unterscheiden sich die Anforderungen deutlich von dem, was Sie aus dem privaten Sektor kennen.

In diesem Artikel zeigen wir Ihnen, was Sie über Penetrationstests im Behördenumfeld wissen müssen: von den regulatorischen Treibern über die konkreten Anforderungen bis hin zu Strategien, wie Sie die passenden Ausschreibungen finden und gewinnen.

Warum wächst die Nachfrage nach Penetrationstests im öffentlichen Sektor?

Drei regulatorische Entwicklungen treiben den Markt, die eng mit dem Thema IT-Sicherheitsausschreibungen und BSI-Grundschutz verknüpft sind:

NIS2-Umsetzung: Das deutsche NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Das BSI informiert zu Registrierung und Meldepflichten für erfasste Unternehmen und Behörden. Welche technischen Prüfmaßnahmen erforderlich sind, folgt jedoch nicht pauschal aus dem Schlagwort NIS2, sondern aus Betroffenheit, Risikomanagement und dem konkreten Sicherheitskonzept.

KRITIS-Regulierung: Das IT-Sicherheitsgesetz 2.0 hat die Anforderungen an Betreiber kritischer Infrastrukturen verschärft. Viele dieser Betreiber (Stadtwerke, Krankenhäuser, Verkehrsverbünde) sind öffentliche oder halböffentliche Einrichtungen. Eine detaillierte Analyse dieses Segments finden Sie in unserem Artikel zu KRITIS und IT-Sicherheitsausschreibungen. Sie müssen dem BSI regelmäßig nachweisen, dass ihre Systeme auf dem aktuellen Stand der Technik sind. Pentests sind ein anerkannter Nachweis.

BSI-Grundschutz und IT-Konsolidierung: Die fortschreitende IT-Konsolidierung des Bundes und der Länder bringt neue, komplexe Systemlandschaften hervor, die systematisch getestet werden müssen. Der BSI-Grundschutz-Katalog empfiehlt Penetrationstests explizit als Maßnahme zur Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen.

In der Praxis bedeutet das: Auftraggeber müssen Sicherheitsmaßnahmen nachvollziehbar planen, prüfen und dokumentieren. Ob daraus mehr Pentest-Ausschreibungen entstehen und in welchem Umfang, sollte anhand aktueller Bekanntmachungsdaten geprüft werden; dieser Artikel behauptet dafür keine ungemessene Wachstumsrate.

Was erwartet der öffentliche Sektor beim Pentest im Vergleich zur Privatwirtschaft?

Wenn Sie bisher primär für private Unternehmen Pentests durchgeführt haben, werden Sie im öffentlichen Sektor einige Unterschiede feststellen:

Formalisierte Methodik: Während private Auftraggeber oft ein pragmatisches „Findet unsere Schwachstellen" erwarten, verlangen Behörden eine dokumentierte, nachvollziehbare Vorgehensweise. Der BSI-Leitfaden „Durchführung von Penetrationstests" ist dabei häufig die verbindliche Grundlage. Achten Sie darauf, dass Ihre Nachweise die typischen Eignungskriterien bei IT-Ausschreibungen erfüllen. Sie müssen in Ihrem Angebot darlegen, dass Sie nach diesem Leitfaden arbeiten und welche der sechs Klassifikationsmerkmale (Informationsbasis, Aggressivität, Umfang, Vorgehensweise, Technik, Ausgangspunkt) Sie wie umsetzen.

Nachvollziehbare Dokumentation: Behördliche Auftraggeber können detaillierte Ergebnisberichte verlangen, die technische Schwachstellen, Risikoeinstufung, Nachweise und Maßnahmenempfehlungen zusammenführen. Umfang und Zuordnung zu BSI-Grundschutz-Bausteinen ergeben sich aus der Leistungsbeschreibung; eine pauschale Seitenzahl ist kein belastbarer Qualitätsmaßstab.

Sicherheitsüberprüfung der Tester: Wenn Tester auf besonders schützenswerte Informationen zugreifen, kann die Ausschreibung eine Sicherheitsüberprüfung verlangen. Prüfen Sie früh, ob SÜ1, SÜ2 oder eine andere Freigabe tatsächlich gefordert ist und wer das Verfahren anstoßen kann. Beantragen Sie keine pauschale Überprüfung ohne konkreten Bedarf.

Strengere Scope-Definitionen: Im öffentlichen Sektor ist der Testumfang in der Leistungsbeschreibung häufig sehr genau definiert. Eigeninitiative außerhalb des vereinbarten Scopes, im privaten Sektor oft geschätzt, kann hier zu rechtlichen Problemen führen.

Einbindung des ISB: Der Informationssicherheitsbeauftragte (ISB) der Behörde ist typischerweise eng in den Prozess eingebunden. Sie kommunizieren nicht nur mit der IT-Abteilung, sondern auch mit dem ISB und müssen Ihre Ergebnisse vor diesem Gremium präsentieren.

Welche BSI-Zertifizierungen brauchen Pentester für Behörden?

Eine der häufigsten Fragen lautet: „Brauche ich eine BSI-Zertifizierung, um Pentests für Behörden durchzuführen?" Die Antwort ist differenziert:

BSI-zertifizierte IT-Sicherheitsdienstleister: Das BSI führt eine Liste zertifizierter IT-Sicherheitsdienstleister. Ob diese Zertifizierung eine Mindestanforderung, ein Wertungskriterium oder gar nicht gefordert ist, steht ausschließlich in der konkreten Bekanntmachung und den Vergabeunterlagen.

ISO 27001 auf Basis von IT-Grundschutz: Diese Zertifizierung Ihres eigenen Unternehmens zeigt, dass Sie die BSI-Standards nicht nur kennen, sondern auch selbst leben. Sie ist zwar nicht immer eine zwingende Voraussetzung, verschafft Ihnen aber einen erheblichen Bewertungsvorteil.

Persönliche Zertifizierungen: Viele Ausschreibungen fordern, dass die eingesetzten Tester bestimmte Zertifizierungen vorweisen können. Am häufigsten gefragt sind: OSCP (Offensive Security Certified Professional), GPEN (GIAC Penetration Tester) und CEH (Certified Ethical Hacker). Zunehmend werden auch BSI-spezifische Qualifikationen verlangt.

Was kostet ein Penetrationstest für Behörden?

Öffentliche Pentest-Ausschreibungen lassen sich nach Leistungsumfang strukturieren. Statt vermeintlich typischer Marktpreise zeigt die folgende Tabelle die Kostentreiber, die Sie aus den Unterlagen ableiten sollten:

Einzelne Pentests (Projektbasis): Hierbei geht es um den Test eines bestimmten Systems oder einer Anwendung. Typische Beispiele sind ein Bürgerportal, eine E-Akte-Lösung oder ein Fachverfahren. Kalkulieren Sie die Zahl der Angriffsflächen, Testarten, Abstimmungen, Berichtsschleifen und einen möglichen Retest.

Rahmenverträge für Penetrationstests: Größere Behörden und IT-Dienstleistungszentren können Leistungen über Rahmenverträge abrufen. Eine Höchstabnahmemenge ist dabei nicht automatisch garantierter Umsatz. Prüfen Sie Laufzeit, Mindestabnahme, Losstruktur, Reaktionszeiten und Abrufmechanik.

Umfassende Sicherheitsüberprüfungen: Im KRITIS-Umfeld kann ein Pentest Teil einer größeren Sicherheitsprüfung sein. Neben klassischen Tests können Code-Reviews, Architekturanalysen und organisatorische Prüfungen gefordert werden. Trennen Sie die Arbeitspakete in Ihrer Kalkulation.

Welche Normen müssen Pentest-Berichte für Behörden erfüllen?

Wenn Sie sich an einer Pentest-Ausschreibung im öffentlichen Sektor beteiligen, sollten Sie die folgenden Normen und Richtlinien kennen:

BSI TR-02102 (Kryptographische Verfahren): Diese technische Richtlinie BSI TR-02102 definiert, welche kryptographischen Verfahren als sicher gelten. In Ihren Pentest-Berichten müssen Sie Schwachstellen in der Kryptographie an dieser Richtlinie messen, nicht an allgemeinen Best Practices.

BSI-Penetrationstest-Leitfaden: Wie bereits erwähnt, ist dieser Leitfaden die methodische Grundlage. Er definiert sechs Klassifikationsmerkmale für Pentests und beschreibt eine fünfphasige Vorgehensweise: Vorbereitung, Informationsbeschaffung, Bewertung der Informationen, Aktive Eindringversuche und Abschlussanalyse.

BSI IT-Grundschutz-Kompendium: Die Ergebnisse Ihrer Pentests müssen in den Kontext der relevanten Grundschutz-Bausteine eingeordnet werden. Wenn Sie beispielsweise eine SQL-Injection-Schwachstelle finden, reicht es nicht, diese als „kritisch" einzustufen. Sie müssen sie dem Baustein APP.3.1 (Webanwendungen und Webservices) des IT-Grundschutz-Kompendiums zuordnen und die betroffenen Anforderungen benennen.

OWASP Testing Guide: Für Web-Anwendungen wird häufig die Durchführung gemäß OWASP Testing Guide gefordert. Dies ergänzt den BSI-Leitfaden um spezifische Testfälle für Webanwendungen.

Datenschutz (DSGVO/BDSG): Bei Pentests in Behörden kommen Sie zwangsläufig mit personenbezogenen Daten in Berührung. Ihre Vorgehensweise muss datenschutzkonform sein, und Sie benötigen typischerweise eine Vereinbarung zur Auftragsverarbeitung mit dem Auftraggeber. In regulierten Branchen wie dem Finanzsektor gelten mit der BAIT vergleichbare Prüf- und Nachweispflichten.

Wie finden Sie passende Pentest-Ausschreibungen?

Die Suche nach relevanten Pentest-Ausschreibungen ist eine der größten Herausforderungen. Die Ausschreibungen verteilen sich über zahlreiche Plattformen:

TED (Tenders Electronic Daily): Alle EU-weiten Ausschreibungen oberhalb der Schwellenwerte. Über TED (Tenders Electronic Daily) finden Sie die großen Rahmenverträge auf Bundes- und Landesebene. Suchbegriffe: „Penetrationstest", „IT-Sicherheitsüberprüfung", „Schwachstellenanalyse".

Vergabeplattformen der Länder: Jedes Bundesland hat eigene Vergabeplattformen (z. B. Vergabe.Bayern, Vergabe.NRW, eVergabe Berlin). Besonders Landes-IT-Dienstleister wie Dataport, AKDB oder IT.NRW schreiben regelmäßig Pentests aus.

Bund.de / service.bund.de: Für Bundesausschreibungen. Über service.bund.de finden Sie Ausschreibungen des ITZBund, des BSI selbst und anderer Bundesbehörden.

Die manuelle Suche über all diese Plattformen ist sehr zeitaufwendig. Ein typischer Vertriebsmitarbeiter verbringt mehrere Stunden pro Woche damit, relevante Ausschreibungen zu identifizieren, und verpasst trotzdem regelmäßig Chancen, weil eine Plattform nicht abgedeckt wurde oder der Suchbegriff nicht passte. Genau hier setzt eine KI-basierte Ausschreibungssuche an, die alle relevanten Plattformen kontinuierlich überwacht und automatisch die für Ihr Profil passenden Ausschreibungen herausfiltert. Wie viele passende Pentest-Ausschreibungen Sie in den letzten Monaten verpasst haben, zeigt Ihnen unsere kostenlose Ausschreibungssuche in unter 60 Sekunden.

Fazit: Ein wachsender Markt mit klaren Spielregeln

NIS2, KRITIS-Regulierung und ein höheres Sicherheitsbewusstsein erhöhen den Handlungsdruck in Verwaltung und regulierten Einrichtungen. Für IT-Beratungsunternehmen entsteht daraus eine Chance, wenn sie die konkrete Nachfrage datenbasiert prüfen und die spezifischen Anforderungen eines Verfahrens erfüllen.

Der Schlüssel zum Erfolg liegt in der Vorbereitung: Investieren Sie in BSI-Zertifizierungen, bauen Sie ein Team mit Sicherheitsüberprüfungen auf, machen Sie sich mit dem BSI-Penetrationstest-Leitfaden vertraut und entwickeln Sie Berichtsvorlagen, die den Anforderungen der öffentlichen Hand entsprechen.

Und vor allem: Verpassen Sie keine relevante Ausschreibung. Der Markt ist groß genug für spezialisierte Anbieter, aber nur, wenn Sie die Ausschreibungen rechtzeitig finden.

---

Testen Sie Tendit 4 Wochen kostenlos — und verpassen Sie keine relevante Ausschreibung mehr. usetendit.com