Pentest Anbieter Schweiz 2026 im Überblick
Pentesting in der Schweiz
Die Schweiz stellt als internationaler Finanzplatz hohe Anforderungen an Penetration Testing. Die FINMA und internationale Standards wie DORA fordern regelmäßige Sicherheitsüberprüfungen. Banken, Versicherungen, der wachsende FinTech- und Krypto-Sektor sowie eine exportorientierte Industrie verarbeiten besonders schützenswerte Daten – entsprechend zentral ist ein technisch fundierter Penetrationstest, der reale Angriffe nachstellt, statt nur einen automatisierten Schwachstellenscan abzubilden.
Regulatorischer Kontext für Pentests in der Schweiz
Im Gegensatz zum reinen Compliance-Häkchen sollte ein Pentest in der Schweiz die tatsächliche Widerstandsfähigkeit deiner Systeme nachweisen. Mehrere Vorgaben prägen den Rahmen:
- FINMA-Rundschreiben 2023/01 "Operationelle Risiken und Resilienz – Banken" (in Kraft seit 1.1.2024): Beaufsichtigte Banken und Wertpapierhäuser müssen ihre operationelle Resilienz und ihr IKT-Risikomanagement nachweisen. Dazu gehört, kritische Funktionen zu identifizieren und ihre Widerstandsfähigkeit regelmäßig zu testen. Penetration Tests sind ein etabliertes Mittel, um genau diese technische Resilienz und das Schwachstellenmanagement zu belegen.
- Revidiertes Datenschutzgesetz (revDSG, in Kraft seit 1.9.2023): Wer Personendaten bearbeitet, muss angemessene technische und organisatorische Maßnahmen zur Datensicherheit treffen. Regelmäßige Sicherheitstests und das Schließen identifizierter Lücken sind ein praktischer Nachweis dieser Sorgfaltspflicht – besonders relevant für Web-Anwendungen, Kundenportale und APIs.
- Verhältnis zu EU/DORA und TIBER-EU: Die Schweiz ist nicht Teil der EU, weshalb DORA und TIBER-EU hier nicht direkt gelten. Schweizer Finanzinstitute orientieren sich jedoch zunehmend an gleichwertigen, bedrohungsgeführten Testansätzen (Threat-Led Penetration Testing), und die FINMA erwartet das Testen der operationellen Resilienz. Wer grenzüberschreitend mit EU-Gegenparteien arbeitet oder eine EU-Tochter betreibt, gerät ohnehin in den DORA-Geltungsbereich – ein an diesen Standards ausgerichtetes Testprogramm ist daher auch in der Schweiz vorausschauend.
Praktisch heißt das: Lege vorab fest, welche Vorgabe der Test adressiert, und stelle sicher, dass Scope, Methodik und Berichtsform dazu passen. Ein Web-App-Pentest für eine revDSG-Nachweisführung sieht anders aus als ein infrastrukturweiter Test zur Untermauerung der operationellen Resilienz nach FINMA 2023/01.
Pentesting Anbieter in der Schweiz
- Compass Security - Penetration Testing, Rapperswil-Jona
- CRYPTRON Security GmbH - Penetration Testing und Red/Purple Teaming
- InfoGuard AG - Cyber Security und Penetration Testing, Baar
- modzero AG - Security Research und Applikationssicherheit, Zürich
- Oneconsult - Cybersecurity-Dienstleister, Zürich
- Red Team Partners - Red Teaming und Pentesting, CREST-zertifiziert
- Redguard - Penetration Testing, Bern
- scip AG - Security Research und Penetration Testing, Zürich
- Terreactive AG - Managed Security und Penetration Testing, Aarau
Worauf du bei der Auswahl achten solltest
Die Anbieterlandschaft in der Schweiz ist dicht – von etablierten, größeren Häusern bis zu hochspezialisierten Teams. Diese Kriterien helfen dir, den passenden Partner zu finden:
- Nachgewiesene technische Tiefe. Achte auf anerkannte, praktische Zertifizierungen der eingesetzten Fachleute (z. B. OSCP, OSEP, OSWE für Offensive-Security; CREST auf Unternehmensebene) statt nur auf reine Management-Zertifikate. Entscheidend ist, dass tatsächlich manuell und exploitationsorientiert getestet wird – nicht nur ein Tool-Scan abgeliefert wird.
- Passung von Scope und Methodik. Ein guter Anbieter fragt zuerst nach deinem Ziel (Web-App, API, interne Infrastruktur, Active Directory, Cloud, Red Teaming) und richtet Vorgehen und Test-Tiefe (Black-, Grey- oder White-Box) daran aus. Anerkannte Methodiken wie OWASP, OSSTMM oder das PTES geben Orientierung.
- Verständlicher, handlungsorientierter Bericht. Der Mehrwert eines Pentests entsteht durch den Report: nachvollziehbare Reproduktionsschritte, eine belastbare Risikobewertung und konkrete, priorisierte Empfehlungen. Frag nach einem anonymisierten Musterbericht, bevor du beauftragst.
- Regulatorische Anschlussfähigkeit. Wenn der Test FINMA 2023/01, das revDSG oder DORA-gleichwertige Anforderungen adressieren soll, muss der Anbieter diese Bezüge kennen und die Berichtsform entsprechend aufbereiten können.
- Unabhängigkeit und Re-Test. Bevorzuge Anbieter, die selbst testen (keine reinen Reseller), Interessenkonflikte offenlegen und einen Nachtest nach der Behebung anbieten – nur so lässt sich belegen, dass die Lücken wirklich geschlossen sind.
Diese Übersicht an Pentesting Anbietern in der Schweiz ist nach bestem Wissen und Gewissen zusammengetragen. Wir garantieren nicht für die Richtigkeit und Aktualität der Angaben.
Wir freuen uns über Tipps zu weiteren Anbietern. Wir nehmen ausschließlich Firmen auf, die selbst Penetration Testing Leistungen anbieten (keine reinen Reseller).
Für Anfragen und Tipps schreibt uns eine kurze Nachricht an E-Mail.
→ Alle Pentesting Anbieter im DACH-Raum
→ Alle Red Teaming Anbieter im DACH-Raum
→ Alle Physical Security Anbieter im DACH-Raum