Die kurze Antwort
Für manuelle Code-Audits gibt es kaum veröffentlichte Marktpreise. Weil sie wie Penetrationstests überwiegend nach Beratertagen abgerechnet werden, landen sie nach unserer Einschätzung meist bei einem vier- bis fünfstelligen Betrag. Der Preis ergibt sich aus Tagen mal Tagessatz.
Wie hoch diese Tagessätze sind, zeigen Zahlen zu Penetrationstests: Die Fachpresse nannte 2025 typische Tagessätze von 1.000 bis 1.800 Euro und eine Dauer von zwei bis zehn Tagen, also Gesamtkosten von etwa 2.000 bis 18.000 Euro (ChannelPartner, Juni 2025). Ein Rechenbeispiel, fiktiv: Fünf Prüftage zu 1.200 Euro ergeben 6.000 Euro netto, bevor ein einziger Befund behoben ist.
Unser Code-Audit kostet 890 € netto zum Festpreis, für Anwendungen bis etwa 300.000 Zeilen Code, Lieferung in 2 Werktagen. Das ist kein Lockangebot, sondern eine andere Arbeitsweise: Scanner und KI-Agenten prüfen den Code parallel, ein zweiter Agent versucht jeden Befund zu widerlegen, und nur was diese Gegenprüfung besteht, kommt in den Report. Die Routinearbeit, die bei klassischen Audits viele Tage frisst, erledigt die Automatisierung. So entsteht ein Preis, den Sie vorher kennen.
Ehrlich gesagt heißt das auch: Unser Code-Audit ist kein Penetrationstest und keine wochenlange Handprüfung jeder Zeile. Was es leistet und was nicht, steht weiter unten.
Wovon der Preis abhängt
Fünf Faktoren bestimmen, was ein Code-Audit kostet. Wer sie kennt, versteht auch, warum zwei Angebote für dieselbe Anwendung deutlich auseinanderliegen können.
Umfang des Codes
Der wichtigste Preistreiber ist die Menge an Code. Mehr Zeilen bedeuten mehr Dateien, mehr Abhängigkeiten und mehr mögliche Pfade. Bei Tagessätzen wächst der Preis fast linear mit dem Umfang. Unser Festpreis gilt für Anwendungen bis etwa 300.000 Zeilen Code. Ist Ihre Anwendung größer, sagen wir Ihnen das vor der Buchung und machen ein eigenes Angebot.
Sprachen und Repositories
Ein einzelnes Repository in einer Sprache ist schneller geprüft als ein Verbund aus Frontend, Backend, mobiler App und mehreren Microservices. Jede zusätzliche Sprache bringt eigene Werkzeuge, eigene Frameworks und eigene typische Fehler mit. Fragen Sie bei jedem Angebot, welche Repositories und Sprachen eingeschlossen sind.
Prüftiefe
Hier liegt der größte Unterschied zwischen Angeboten. Ein reiner Werkzeuglauf liefert eine lange Liste ohne Einordnung. Ein manuelles Review durch erfahrene Prüfer ist gründlich, aber teuer. Dazwischen liegen Mischformen. Wir kombinieren Werkzeuge mit KI-Agenten und einer Gegenprüfung. Im Full Audit gibt zusätzlich ein Experte jeden Befund frei.
Report-Format
Ein Export aus einem Scanner ist kein Report. Ein brauchbarer Report bewertet jeden Befund (zum Beispiel nach CVSS), zeigt die Fundstelle mit Datei und Zeile, empfiehlt eine konkrete Maßnahme und priorisiert. Eine Management-Zusammenfassung macht ihn auch für Geschäftsführung, Kunden oder Investoren lesbar. Das kostet Zeit und gehört deshalb in den Preis.
Re-Check
Nach dem Report beheben Sie die Befunde. Danach wollen Sie wissen, ob die Fixes wirken. Manche Anbieter rechnen diesen Re-Check als neuen Auftrag ab, andere schließen ihn ein. Bei uns ist er im Full Audit enthalten und für die anderen Pakete als Zusatzoption buchbar.
Code-Audit, App-Audit, Pentest: was was kostet
Die drei Verfahren werden oft verwechselt, prüfen aber Unterschiedliches. Die Übersicht zeigt, was Sie jeweils bekommen.
| Code-Audit | App-Audit | Penetrationstest | |
|---|---|---|---|
| Was geprüft wird | Der Quellcode von innen | Die laufende Anwendung mit Login | Die laufende Anwendung und Infrastruktur |
| Zugang | Lesezugriff auf den Code | Adresse und zwei Testzugänge | Erreichbare Umgebung und schriftliche Freigabe |
| Arbeitsweise bei uns | Automatisiert und KI-gestützt | Automatisierte Tests | Bieten wir nicht an |
| Preis | Bei uns 890 € netto | Bei uns 490 € netto | Im Markt etwa 2.000 bis 18.000 Euro (Fachpresse, 2025) |
| Lieferzeit (Werktage) | 2 | 1 | Oft ein bis drei Wochen inklusive Planung |
Ein Pentest ist überwiegend Handarbeit. Ein erfahrener Tester greift die Anwendung gezielt an, verkettet kleine Schwächen und belegt, was ein Angreifer tatsächlich erreicht. Das ist wertvoll und hat seinen Preis. Wir machen keine Pentests. Wenn ein Kunde oder Auditor ausdrücklich einen verlangt, ersetzt ihn keines unserer Pakete. Den ausführlichen Vergleich lesen Sie in Code-Audit oder Penetrationstest?
Was der Festpreis leistet und was nicht
Ein niedriger Preis wirft zu Recht Fragen auf. Deshalb hier offen, was im Code-Audit steckt:
- Secrets: API-Schlüssel, Passwörter und Tokens im Code und in der Git-Historie
- Abhängigkeiten: Pakete mit bekannten Schwachstellen (CVE) und veraltete Komponenten
- Unsichere Muster entlang der OWASP Top 10:2025, etwa zusammengesetzte Datenbankabfragen, fehlende Rechteprüfungen oder schwache Kryptografie
- Build und Supply Chain: CI/CD-Konfiguration, Lockfiles, Herkunft der Pakete
- Code-Qualität: Komplexität, toter Code, fehlende Tests
- Report mit Fundstelle, CVSS-Bewertung und priorisiertem Maßnahmenplan, dazu die Rohdaten aller Werkzeuge
Was es nicht leistet: Es greift Ihre laufende Anwendung nicht an, prüft keine Server- und Netzwerkkonfiguration und ist kein Lasttest. Fachliche Logik, die nur Ihr Team kennt, erkennen wir nur so weit, wie sie im Code sichtbar ist. Dafür gibt es das App-Audit mit Testzugängen, die Kombination im Full Audit oder eben einen klassischen Pentest bei einem darauf spezialisierten Anbieter.
Festpreis oder Tagessatz?
Beide Modelle haben ihre Berechtigung. Tagessätze passen, wenn der Umfang unklar ist, etwa bei sehr großen oder ungewöhnlichen Systemen. Ein Festpreis passt, wenn der Umfang klar ist, und gibt Ihnen Planungssicherheit: Sie kennen den Betrag, bevor Sie unterschreiben.
Ein Festpreis ist aber nur so gut wie das, was er enthält. Achten Sie auf diese vier Punkte:
- Umfang: Welche Repositories, Sprachen und wie viele Zeilen Code sind eingeschlossen? Was passiert, wenn es mehr ist?
- Lieferzeit: Ab wann läuft sie, und bis wann liegt der Report vor? Bei uns 2 Werktage ab Zahlung und vollständiger Übergabe des Codes.
- Report: Wie umfangreich ist er, wie werden Befunde bewertet, gibt es einen Maßnahmenplan? Der Report im Full Audit hat rund 25–30 Seiten, jeder Befund ist nach CVSS bewertet.
- Re-Check: Ist die Nachprüfung Ihrer Fixes enthalten oder ein neuer Auftrag?
Ein Festpreis ohne diese Angaben ist ein Tagessatz mit anderem Etikett.
Versteckte Kosten
Der Preis des Audits ist selten der größte Posten. Planen Sie diese drei Kosten mit ein:
- Behebung der Befunde: Ein Audit findet Probleme, es löst sie nicht. Die Behebung kostet Entwicklerzeit, je nach Befund Stunden oder Tage. Ein guter Maßnahmenplan hilft, mit dem Wichtigsten anzufangen.
- Re-Tests: Wenn die Nachprüfung nicht enthalten ist, zahlen Sie sie zusätzlich. Bei Tagessätzen kann das schnell ein weiterer Prüftag sein.
- Interne Zeit: Ihr Team muss Zugang einrichten, Fragen beantworten, den Report lesen und Prioritäten setzen. Je klarer der Report, desto weniger Zeit kostet das.
Ein billiges Audit mit einem unverständlichen Report kann am Ende teurer sein als ein gutes mit klarem Maßnahmenplan.
Gibt es Förderung?
Stand: November 2026. Wir nennen hier nur Programme, die wir auf der offiziellen Seite geprüft haben.
- Digitalbonus Bayern: Der Freistaat fördert kleine Unternehmen der gewerblichen Wirtschaft mit Betriebsstätte in Bayern, unter anderem bei der Einführung oder Verbesserung der IT-Sicherheit. Der Zuschuss beträgt bis zu 50 Prozent der förderfähigen Ausgaben, in der Standardvariante höchstens 7.500 Euro; das Programm läuft bis Ende 2027. Beratung wird nur zusammen mit der Umsetzung einer Lösung gefördert, ein Audit allein ist daher in der Regel nicht förderfähig. Ob Ihr Vorhaben förderfähig ist, entscheidet die Bewilligungsstelle. Wichtig: Der Antrag muss vor der Beauftragung gestellt werden. Quelle: digitalbonus.bayern
- Frankreich, Diag Cybersécurité: Für Unternehmen in Frankreich bezuschusst die Förderbank Bpifrance eine Cyber-Diagnose durch einen zugelassenen Berater zu 50 Prozent, vorbehaltlich der Förderfähigkeit, für unabhängige KMU mit mehr als zehn Beschäftigten. Das ist eine eigene Beratungsleistung, keine Förderung für ein Code-Audit. Quelle: diag.bpifrance.fr
Förderprogramme ändern sich. Prüfen Sie die Bedingungen vor dem Antrag auf der offiziellen Seite.
Checkliste: Angebote vergleichen
Legen Sie diese acht Fragen neben jedes Angebot. Was nicht beantwortet ist, fragen Sie nach.
- Was genau wird geprüft? Welche Repositories, Sprachen und wie viele Zeilen Code?
- Wie wird geprüft? Nur Werkzeuge, KI-gestützt, manuell oder eine Mischung? Wer prüft die Ergebnisse gegen?
- Wonach wird geprüft? Etwa entlang der OWASP Top 10, mit Prüfung der Abhängigkeiten und Secrets?
- Wie sieht der Report aus? Gibt es einen Beispielreport? Mit Fundstelle, Bewertung und Maßnahme je Befund?
- Was kostet es insgesamt? Festpreis oder Tagessatz, und wie viele Tage sind geplant?
- Wann liegt der Report vor? Ab wann läuft die Frist?
- Ist ein Re-Check enthalten? Wenn nicht: Was kostet er?
- Was passiert mit Ihrem Code? Wo wird er verarbeitet, wann gelöscht, gibt es NDA und Auftragsverarbeitungsvertrag?
Was wir anbieten
Vier Pakete mit festen Preisen, vom kostenlosen Blick von außen bis zum vollständigen Audit:
- Security-Check: kostenlos, passiv von außen, Ergebnis in der Regel werktags innerhalb von 2 Stunden
- App-Audit: automatisierte Tests mit zwei Testzugängen, 490 € netto
- Code-Audit: der Quellcode von innen, 890 € netto, für Anwendungen bis etwa 300.000 Zeilen
- Full Audit: App und Code, jeder Befund zusätzlich von einem Experten freigegeben, Report mit rund 25–30 Seiten und Re-Check, 1.690 € netto
Für Code-Audit und Full Audit gibt es die Option Express: Report in 24 Stunden an Werktagen, für 230 € netto Aufpreis. Der Re-Check ist für die anderen Pakete als Zusatzoption buchbar.
Alle Preise netto zuzüglich Umsatzsteuer. Unsere Angebote richten sich ausschließlich an Unternehmen.
Ihre Anwendung ist größer oder Sie sind unsicher, welches Paket passt? Starten Sie mit dem kostenlosen Security-Check. Er zeigt, was von außen sichtbar ist, und wir sagen Ihnen danach, welches Audit sich für Sie lohnt.