Code-Audit oder Penetrationstest? Unterschiede, Kosten und die richtige Wahl

Die kurze Antwort

Ein Code-Audit prüft Ihre Software von innen: Es liest den Quellcode und findet die Ursache einer Lücke, mit Datei und Zeile. Ein Penetrationstest prüft von außen: Er greift die laufende Anwendung an und zeigt, was ein Angreifer tatsächlich erreicht.

Beide Verfahren finden Sicherheitslücken. Sie sehen nur jeweils einen anderen Teil des Problems.

Was ein Code-Audit prüft

Beim Code-Audit bekommt der Prüfer lesenden Zugriff auf das Repository. Er sieht alles, was ein Angreifer von außen nur erahnen kann:

• Secrets in Code und Git-Historie, etwa API-Keys und Passwörter
• Abhängigkeiten mit bekannten Schwachstellen (CVE) und veraltete Pakete
• Logikfehler in Berechtigungen, die nur im Code sichtbar sind
• Unsichere Muster wie zusammengesetzte SQL-Abfragen oder fehlende Validierung
• Code-Qualität: Komplexität, toter Code, fehlende Tests, technische Schulden

Der Vorteil: Ein Code-Audit findet auch Lücken in Pfaden, die ein Tester von außen nie erreicht. Und jeder Befund zeigt direkt auf die Stelle, an der Ihr Team ansetzen muss.

Was ein Penetrationstest prüft

Beim Penetrationstest greift ein Tester die laufende Anwendung an, mit Ihrer schriftlichen Freigabe und in einem vereinbarten Umfang. Er sieht, was der Code allein nicht verrät:

• Konfiguration von Server, TLS, Headern und Cloud-Diensten
• Netzwerk und Infrastruktur rund um die Anwendung
• Verkettete Angriffe, bei denen mehrere kleine Schwächen zusammen eine große ergeben
• Laufzeitverhalten, etwa Fehlermeldungen, Timing und Session-Verhalten

Der Vorteil: Ein Pentest belegt, dass eine Lücke wirklich ausnutzbar ist, und zeigt die Wirkung. Was in der Testzeit nicht erreicht wird, bleibt aber unentdeckt.

Im direkten Vergleich

Wann Sie was brauchen

Zuerst ein Code-Audit, wenn Sie Software selbst entwickeln oder entwickeln lassen und wissen wollen, wo Sie stehen. Typisch sind diese Fälle: Sie haben Code von einer Agentur übernommen, ein großer Teil ist mit KI entstanden, der Cyber Resilience Act verlangt ab Dezember 2027 eine Stückliste Ihrer Komponenten (SBOM), oder das Budget ist begrenzt und Sie wollen die größten Risiken zuerst beheben.

Ein Penetrationstest, wenn ein Kunde oder Auditor ihn verlangt, etwa im Rahmen von ISO 27001 oder TISAX, wo Pentests als Nachweis üblich sind, wenn Infrastruktur und Konfiguration im Fokus stehen oder wenn ein besonders kritisches System live geht.

Beides, wenn die Anwendung kritisch ist. Die sinnvolle Reihenfolge: erst das Code-Audit, das die Ursachen günstig findet. Danach der Pentest, der prüft, ob von außen noch etwas durchkommt. So zahlen Sie den teureren Test nicht dafür, Fehler zu finden, die im Code offensichtlich waren.

Drei häufige Missverständnisse

• „Wir haben einen Scanner, das ist doch ein Pentest.“ Ein automatischer Schwachstellen-Scan ist ein guter Anfang. Ein Pentest geht weiter: Er verkettet Schwächen und denkt wie ein Angreifer.
• „Der Pentest war sauber, also ist der Code sicher.“ Der Pentest zeigt nur, was er in der Testzeit erreicht hat. Lücken hinter einem Login, den der Tester nicht hatte, bleiben unsichtbar.
• „Ein Code-Audit ersetzt den Pentest.“ Nein. Es findet andere Dinge und viele davon früher und günstiger. Wenn ein Kunde ausdrücklich einen Pentest verlangt, ersetzt ein Code-Audit ihn nicht.

Was wir anbieten

Wir machen keine manuellen Penetrationstests und keine Lasttests. Wir prüfen automatisiert und KI-gestützt, jeder Befund ist mit Fundstelle belegt:

• Security-Check: kostenlos, passiv von außen, Ergebnis werktags in 2 Stunden
• App-Audit: automatisierte Tests mit zwei Testzugängen, 490 € netto
• Code-Audit: der Quellcode von innen, 890 € netto
• Full Audit: App und Code, jeder Befund zusätzlich von einem Experten freigegeben, 1.690 € netto

Wie wir dabei vorgehen, zeigt unsere Methodik.

Dieser Artikel entstand mit Unterstützung automatisierter Recherche und KI. David Kreutzer hat ihn fachlich geprüft und am 1. November 2026 freigegeben.