Da Pentester zumeist erfolgreich in die IT-Systeme einer Organisation eindringen, werden eine Reihe von rechtlichen Fragen aufgeworfen. Zu erörtern sind zunächst die wesentlichen Anforderungen aus dem Datenschutz wie etwa die datenschutzrechtliche Ermächtigungsgrundlage oder ob ein Vertrag zur Auftragsverarbeitung erforderlich ist. Eine besondere Bedrohung für den Pentester stellen die Regelungen zum Hacker-Strafrecht dar. Hier wird dargelegt, wie Strafbarkeit beim Pentesting vermieden werden kann. Behandelt werden zentrale Aspekte der Vertragsgestaltung und Haftung, etwa und in welchem Umfang Haftung beschränkt werden kann. Im Online-Material zum Buch ist ein Vertragsmuster enthalten, dass die wesentlichen Regelungen eines Pentest-Vertrages darstellt.