Kaum ein Beruf hat so widersprüchliche Gehaltsangaben wie der Penetration Tester: StepStone nennt rund 49.600 € im Durchschnitt, GEHALT.de einen Median von 84.100 € — für dieselbe Berufsbezeichnung. Beide Zahlen stimmen, sie messen nur Verschiedenes. Und in den Daten steckt ein Befund, der für die Karriereplanung wichtiger ist als jede Durchschnittszahl: Bei Pentestern hebt der Arbeitgeber das Gehalt stärker als die Berufserfahrung. Dieser Artikel löst die Widersprüche auf und zeigt, welche Stellschrauben wirklich zählen.
Zwei Zahlen, 34.500 € Unterschied — und beide sind richtig
Wer „Pentester Gehalt“ sucht, bekommt je nach Portal ein anderes Berufsbild vorgesetzt. Die Erklärung liegt nicht in der Qualität der Daten, sondern in dem, was gezählt wird:
| StepStone | GEHALT.de | |
|---|---|---|
| Wert | ca. 49.600 € Durchschnitt | 84.100 € Median |
| Spanne | 42.400–60.000 € | 73.128–96.718 € (Quartile) |
| Datenbasis | stark aus ausgeschriebenen Stellen und Selbstauskünften | stärker aus Unternehmens- und Vergütungsdaten |
| Wer dominiert | Einstiegs- und Junior-Ausschreibungen | erfahrene Vollzeitkräfte in größeren Häusern |
| Bezugsbasis | gemischt | hochgerechnet auf 40 Wochenstunden |
Anders gesagt: StepStone zeigt eher, womit du anfängst. GEHALT.de zeigt eher, wo du landest. Wer beide Zahlen nebeneinanderlegt, bekommt kein Chaos, sondern eine Karrierekurve — vom Einstieg bei rund 42.000–55.000 € bis in die 80er und 90er als erfahrene Kraft in einem größeren Haus.
Für die Gehaltsverhandlung heißt das: Nie mit einer einzelnen Portalzahl argumentieren. Nimm die Quelle, deren Grundgesamtheit zu deiner Situation passt — als Einsteiger die Ausschreibungsdaten, als Erfahrene:r in einem Konzern die Vergütungsdaten. Alle Angaben hier sind Bruttojahresgehälter für Deutschland, Stand 07/2026: Spannen und Mediane, keine Zusagen.
Was Erfahrung bringt — weniger, als alle denken
Hier wird es interessant. In den meisten IT-Berufen ist Erfahrung der stärkste Gehaltsfaktor. Beim Penetration Tester ist die Spreizung erstaunlich flach:
| Berufserfahrung | Bruttojahresgehalt | Abstand zum Einstieg |
|---|---|---|
| unter 3 Jahre | 72.682 € | — |
| 3–6 Jahre | 74.943 € | + 3 % |
| 7–9 Jahre | 78.032 € | + 7 % |
| über 9 Jahre | 89.760 € | + 23 % |
Zwischen „unter 3 Jahre“ und „7–9 Jahre“ liegen gerade einmal 7 %. Erst jenseits der neun Jahre gibt es einen echten Sprung. Der Grund liegt in der Natur der Arbeit: Pentesting ist stark projektgetrieben und wird häufig nach Auftrag und Skill-Level abgerechnet, nicht nach Dienstjahren. Wer in Jahr drei dieselben Tests fährt wie in Jahr sieben, verdient auch ungefähr dasselbe.
Die praktische Konsequenz: Warten bringt in dieser Rolle wenig. Was den Sprung bringt, ist eine Veränderung — Spezialisierung auf ein knappes Feld, ein Wechsel in ein größeres Haus, ein anspruchsvolleres Zertifikat oder der Schritt in Richtung Red Team, Lead oder Beratung.
Was der Arbeitgeber bringt — mehr als die Erfahrung
Der stärkste einzelne Hebel in den Daten ist nicht dein Lebenslauf, sondern die Größe deines Arbeitgebers:
Zwischen dem kleinsten und dem größten Segment liegen rund 24 % — mehr als die gesamte Erfahrungskurve bis neun Jahre hergibt. Wer also die Wahl hat zwischen „drei weitere Jahre in der kleinen Boutique“ und „Wechsel in ein Konzern-Red-Team“, entscheidet damit über einen größeren Gehaltseffekt als über die Zeit.
Das ist keine Empfehlung für Konzerne — kleine Häuser bieten oft mehr Abwechslung, direktere Kundenarbeit und schnelleren Kompetenzaufbau. Es ist eine Empfehlung, den Effekt zu kennen, statt ihn zufällig mitzunehmen.
Region: Süden und Finanzplatz vorn
Die regionale Spreizung liegt bei rund 16.000 € zwischen dem stärksten und dem schwächsten Bundesland:
| Bundesland | Bruttojahresgehalt |
|---|---|
| Baden-Württemberg | ca. 88.100 € |
| Hessen | ca. 87.500 € |
| Hamburg | ca. 86.700 € |
| Sachsen-Anhalt | ca. 73.400 € |
| Mecklenburg-Vorpommern | ca. 72.300 € |
Hinter Hessen steht der Finanzplatz Frankfurt mit seinen regulatorischen Prüfpflichten, hinter Baden-Württemberg die Industrie- und Automotive-Dichte. Beides erzeugt planbare, wiederkehrende Testaufträge — und damit feste Stellen statt Projektspitzen. Da Pentesting oft remote erbracht wird, ist der Sitz des Arbeitgebers hier wichtiger als der eigene Wohnort.
Der Zertifikats-Effekt: warum OSCP so oft genannt wird
In fast jeder Pentesting-Ausschreibung steht dasselbe Kürzel: OSCP. Der Grund ist das Prüfungsformat — knapp 24 Stunden praktisches Hacken an echten Zielsystemen plus 24 Stunden für den Bericht. Ein bestandenes OSCP belegt damit etwas, das ein Multiple-Choice-Zertifikat nicht kann: dass jemand unter Zeitdruck tatsächlich in Systeme kommt und das Ergebnis sauber dokumentiert.
Für die Vergütung wirkt das als Verstärker, nicht als Ersatz: Es öffnet Türen und stützt die Verhandlung, hebt aber niemanden ohne Praxis in eine höhere Gehaltsklasse. Ein realistischer Weg ist deshalb, das Zertifikat aus einer bestehenden Security-Rolle heraus zu machen — nicht als Eintrittskarte von außen.
Wie man überhaupt hineinkommt
Der Direkteinstieg als Pentester ist selten — und das ist der ehrlichste Satz dieses Artikels. Die Rolle setzt voraus, dass man versteht, was man angreift: Netzwerke, Betriebssysteme, Webanwendungen, Active Directory. Dieses Verständnis entsteht in der Regel in einer vorgelagerten Rolle.
Die üblichen Wege führen über zwei bis vier Jahre als SOC-Analyst, in der Systemadministration oder in der Anwendungsentwicklung — dort lernt man die Systeme von innen. Parallel dazu ein öffentlich dokumentiertes Home-Lab, gelöste Übungsmaschinen und irgendwann die praktische Zertifizierung. Wer diesen Weg über eine geförderte Umschulung startet, findet die Rahmenbedingungen unter Umschulung in die IT-Security.
Häufige Fragen
Wie viel verdient ein Penetration Tester in Deutschland?
Der Median liegt bei rund 84.100 € brutto im Jahr (40 Wochenstunden), das mittlere Feld zwischen 73.128 € und 96.718 €. Einstiegsausschreibungen liegen deutlich darunter, meist zwischen 42.400 € und 60.000 € (Stand 07/2026).
Warum nennen Gehaltsportale so unterschiedliche Werte für Pentester?
Weil sie unterschiedliche Gruppen messen. StepStone stützt sich stark auf ausgeschriebene Stellen, in denen Einstiegspositionen dominieren, GEHALT.de stärker auf Vergütungsdaten erfahrener Vollzeitkräfte in größeren Unternehmen, hochgerechnet auf 40 Wochenstunden. Zusätzlich wird teils der Durchschnitt, teils der Median ausgewiesen.
Was verdient ein Junior-Pentester?
Einstiegspositionen liegen typischerweise zwischen 42.400 € und 60.000 € brutto im Jahr. Der Direkteinstieg ist selten; die meisten kommen nach zwei bis vier Jahren aus einer angrenzenden Rolle wie SOC-Analyst, Systemadministration oder Entwicklung.
Wie stark steigt das Gehalt mit der Berufserfahrung?
Überraschend flach: von unter drei Jahren (72.682 €) bis sieben bis neun Jahre (78.032 €) sind es nur rund 7 %. Erst jenseits von neun Jahren folgt ein deutlicher Sprung auf etwa 89.760 €. Spezialisierung und Arbeitgeberwechsel wirken in dieser Rolle stärker als reine Dienstjahre.
Zahlen große Unternehmen wirklich mehr?
Ja, deutlich. Zwischen Betrieben unter 100 Mitarbeitenden (rund 72.500 €) und Häusern über 20.000 Mitarbeitenden (rund 90.100 €) liegen etwa 24 % — mehr, als die Erfahrungskurve bis neun Jahre hergibt.
Lohnt sich das OSCP fürs Gehalt?
Es wirkt als Verstärker vorhandener Praxis, nicht als Ersatz. Das Format mit rund 24 Stunden praktischer Prüfung und anschließendem Bericht gilt als belastbarer Nachweis und wird in Ausschreibungen häufig verlangt. Ohne Berufserfahrung hebt es das Gehalt jedoch kaum.