Was ist ein Schwachstellenscan?
Ein Schwachstellenscanner prüft Systeme automatisch gegen eine Datenbank bekannter Schwachstellen. Er erkennt offene Ports, Dienste und Versionsstände, fehlende Sicherheitsupdates, schwache Verschlüsselung, Standardpasswörter und typische Fehlkonfigurationen. Verbreitete Werkzeuge sind Greenbone OpenVAS, Tenable Nessus, Qualys oder Rapid7, für Webanwendungen etwa ZAP oder Burp Suite. Je nach Blickwinkel unterscheidet man:
- Externer Scan: aus dem Internet auf Ihre öffentlichen Adressen, so wie ein Angreifer sie sieht.
- Interner Scan: aus dem Firmennetz auf Server, Clients, Drucker und Netzwerkgeräte.
- Authentifizierter Scan: Der Scanner meldet sich mit einem Prüfkonto an und liest installierte Software und Patchstände direkt aus. Das ist deutlich genauer als ein Blick von außen.
- Agentenbasierter Scan: Ein kleiner Dienst auf jedem Gerät meldet Schwachstellen, auch bei Notebooks, die selten im Firmennetz sind.
Befunde zu bekannten Softwarelücken tragen eine CVE-Nummer, fast alle Befunde erhalten einen Schweregrad, meist nach CVSS. Ein Scan ist günstig, wiederholbar und lässt sich automatisieren. Sobald der Hersteller des Scanners seine Prüfregeln aktualisiert hat, fällt eine neue Schwachstelle beim nächsten Lauf auf, nicht erst beim nächsten Audit.
Was leistet ein Penetrationstest zusätzlich?
Ein Penetrationstest beginnt oft mit denselben Werkzeugen, endet aber nicht beim Treffer. Ein Mensch prüft, ob sich eine gemeldete Lücke wirklich ausnutzen lässt, verkettet mehrere kleine Schwächen zu einem Angriffspfad und testet, was kein Scanner versteht: Rechteprüfungen in Anwendungen, Geschäftslogik, schwache Passwörter in der Praxis, Fehler im Active Directory oder die Frage, ob die Netztrennung tatsächlich hält.
Typisches Beispiel aus internen Tests: Der Scanner meldet mehrere mittlere oder nur informative Befunde, darunter die aktivierte Namensauflösung per LLMNR und NetBIOS im internen Netz. Der Pentester nutzt genau das, fängt mit einem Werkzeug wie Responder Passwort-Hashes ab und knackt offline ein schwaches Passwort. Es gehört zu einem Dienstkonto mit zu weit gefassten Rechten, kurz darauf hat er Administratorrechte in der Domäne. Einzeln unauffällig, zusammen kritisch.
Dafür ist ein Pentest eine Momentaufnahme, die mehrere Tage Arbeit von Fachleuten bindet. Wie er abläuft und was er kostet, beschreibt unser Beitrag Penetrationstest: Kosten, Ablauf und Arten.
Schwachstellenscan und Penetrationstest im Vergleich
| Kriterium | Schwachstellenscan | Penetrationstest |
|---|---|---|
| Ziel | Bekannte Lücken in der Breite finden | Ausnutzbarkeit und Angriffswege nachweisen |
| Durchführung | Automatisch, Werkzeug mit Prüfregeln | Manuell durch Fachleute, Werkzeuge unterstützen |
| Häufigkeit | Wöchentlich bis monatlich oder laufend | Jährlich und nach wesentlichen Änderungen |
| Findet | Fehlende Updates, Fehlkonfigurationen, schwache Verschlüsselung | Zusätzlich Logikfehler, Rechteprobleme, verkettete Schwächen |
| Falsch-Positive | Häufig, müssen bewertet werden | Selten, Befunde sind nachgewiesen |
| Ergebnis | Liste mit Befunden und CVSS-Werten | Bericht mit Angriffspfaden, Nachweisen und Maßnahmen |
| Aufwand | Einrichtung, Lizenz oder Dienstleistung, laufende Auswertung | Personentage, am Markt 1.000 bis 1.800 Euro netto pro Tag |
| Risiko für den Betrieb | Gering, bei alten Systemen nicht null | Gering bei klaren Regeln und erreichbarem Ansprechpartner |
Preisangabe: Richtwerte am Markt, netto, Stand November 2026, kein Angebot.
Falsch-Positive und blinde Flecken: wo Scanner an Grenzen stoßen
Scanner erkennen viele Lücken anhand der Versionsnummer, die ein Dienst meldet. Daraus entstehen zwei typische Fehler:
- Falsch-Positive: Linux-Distributionen wie Debian oder Red Hat spielen Sicherheitskorrekturen oft ein, ohne die Versionsnummer des Programms zu ändern (Backporting). Der Scanner meldet dann eine Lücke, die längst geschlossen ist. Ähnliches passiert, wenn die betroffene Funktion auf dem Gerät gar nicht aktiviert ist.
- Falsch-Negative: Ein Scan ohne Anmeldung sieht nur, was ein Dienst nach außen verrät. Lokale Schwachstellen, veraltete Bibliotheken in Anwendungen und alles hinter einer Anmeldung bleiben unsichtbar. Logikfehler findet kein Scanner.
Was hilft: authentifiziert scannen und Ausnahmen mit Begründung und Ablaufdatum dokumentieren, statt Befunde stillschweigend auszublenden. Eine Ausnahme ohne Ablaufdatum wird in der Praxis nie wieder geprüft.
Befunde priorisieren: mehr als der CVSS-Wert
Ein erster Scan liefert schnell mehrere Hundert Befunde. Nach CVSS sortiert, landen oft die falschen oben. Aussagekräftiger ist eine Bewertung nach vier Kriterien: Schweregrad, Erreichbarkeit aus dem Internet, Bedeutung des Systems für den Betrieb und Wahrscheinlichkeit eines Angriffs. Für das letzte Kriterium gibt es zwei frei verfügbare Quellen. EPSS von FIRST schätzt für jede CVE die Wahrscheinlichkeit, dass sie in den nächsten 30 Tagen ausgenutzt wird. Der KEV-Katalog der US-Behörde CISA listet Lücken, die nachweislich bereits ausgenutzt werden.
Beispiel mit typischen Werten: Befund A hat CVSS 9,8 und betrifft einen Testserver ohne Verbindung nach außen und ohne produktive Daten. Befund B hat CVSS 7,5, betrifft aber das VPN-Gateway, ist aus dem Internet erreichbar und steht im KEV-Katalog. Befund B kommt zuerst, auch wenn der Wert niedriger ist.
Für die Behebung haben sich feste Fristen bewährt, hier ebenfalls als Beispiel mit typischen Werten: kritisch und aus dem Internet erreichbar innerhalb von 24 bis 72 Stunden, hoch innerhalb von 7 bis 14 Tagen, mittel innerhalb von 30 Tagen, niedrig im nächsten regulären Wartungsfenster. Legen Sie solche Fristen schriftlich fest und benennen Sie für jedes System eine verantwortliche Person, sonst bleibt der Scanbericht eine Liste.
Wie oft scannen, wie oft testen?
| Maßnahme | Bewährter Rhythmus | Zusätzlicher Anlass |
|---|---|---|
| Externer Schwachstellenscan | Wöchentlich bis monatlich | Neue öffentliche Dienste, neue kritische Lücke im Umlauf |
| Interner authentifizierter Scan | Monatlich, kritische Server häufiger | Nach dem Patchtag, nach größeren Änderungen |
| Scan von Webanwendungen | Bei jedem größeren Release | Neue Funktionen, neue Schnittstellen |
| Penetrationstest | Jährlich | Neue Firewall, neuer Fernzugriff, Migration, nach einem Vorfall |
| Retest | Nach Behebung der Befunde | Vor Audits und Zertifizierungen |
Regelwerke stützen diesen Rhythmus. Der Kartenzahlungsstandard PCI DSS verlangt interne und externe Scans mindestens alle drei Monate und Pentests alle zwölf Monate. ISO/IEC 27001 fordert im Anhang A 8.8 ein Management technischer Schwachstellen. Für bestimmte digitale Anbieter unter NIS2, etwa Managed Service Provider, nennt die Durchführungsverordnung (EU) 2024/2690 Schwachstellen-Scans ausdrücklich und verlangt, kritische Schwachstellen unverzüglich zu beheben. Für alle anderen NIS2-Einrichtungen ergibt sich der Bedarf aus den Pflichten zum Umgang mit Schwachstellen und zur Wirksamkeitsprüfung in § 30 Abs. 2 Nr. 5 und 6 BSIG. Einen Überblick gibt unser Beitrag zu den NIS2-Risikomanagementmaßnahmen. Dieser Artikel ersetzt keine Rechtsberatung.
Schwachstellenscan und Pentest kombinieren: fünf Schritte
- Bestand klären: Ohne vollständige Liste von Systemen, öffentlichen Adressen und Anwendungen prüft der Scanner nur, was Sie kennen. Vergessene Systeme fallen oft erst beim externen Scan auf.
- Scan einführen und Altlasten abbauen: Die erste Runde liefert meist Hunderte Befunde. Arbeiten Sie die kritischen und extern erreichbaren zuerst ab und vereinbaren Sie Fristen.
- Regelmäßig scannen: Erst wenn die Ergebnisse stabil sind, lohnt der Pentest. Sonst bezahlen Sie Personentage für Funde, die auch ein Scanner gefunden hätte.
- Pentest gezielt einsetzen: für Perimeter, Active Directory, wichtige Anwendungen und neue Fernzugriffe.
- Ergebnisse zurückführen: Pentest-Funde in die Prüfregeln des Scanners übernehmen, Retest durchführen und den Scan als laufende Kontrolle nutzen, dass Lücken geschlossen bleiben.
Die Fehler, die wir auf diesem Weg am häufigsten sehen:
- Es wird gescannt, aber nicht behoben. Berichte entstehen automatisch, für die Umsetzung ist niemand zuständig.
- Es wird nur von außen gescannt. Der Perimeter ist sauber, im internen Netz laufen seit Jahren ungepatchte Server.
- Empfindliche Systeme fallen ersatzlos heraus. Wer Maschinensteuerungen oder Telefonanlagen vom Scan ausnimmt, braucht andere Kontrollen, etwa passive Erkennung und eigene Netzsegmente.
- Gescannt wird nur für das Audit. Ein Scan pro Quartal erfüllt manche Vorgabe, lässt aber kritische Lücken wochenlang offen.
Viele Befunde beider Verfahren betreffen Anmeldung und Zugänge. Mehr-Faktor-Anmeldung für Fernzugriffe und Administratoren schließt eine ganze Klasse davon, siehe MFA im Unternehmen einführen.
Wie Unite2Link Sie unterstützt
Unser Team führt Penetrationstests selbst durch und hilft Ihnen, einen Schwachstellenscan aufzusetzen, der zu Ihrer Umgebung passt: Bestandsaufnahme, Wahl des Verfahrens, Einrichtung authentifizierter Scans und Regeln für die Bewertung von Befunden. Im laufenden Betrieb kann unser Team die Auswertung und das Einspielen von Updates im Rahmen von IT-Support und Managed Services übernehmen, Reaktionszeiten nach vereinbartem SLA. Einen Überblick gibt unsere Seite zu Leistungen in der Cybersicherheit.