Ratgeber · IT-Sicherheit
Ein Schwachstellenscan prüft Systeme automatisiert gegen eine Datenbank bekannter Sicherheitslücken und liefert eine ungefilterte Ergebnisliste — schnell und günstig, aber ohne Verifikation. Ein Penetrationstest geht weiter: Ein Prüfer verifiziert die Funde manuell, kombiniert sie zu realen Angriffsketten und bewertet den tatsächlichen Schaden. Kurz: Der Scan liefert eine Liste, der Pentest liefert Beweise.
Was macht ein Schwachstellenscan?
Vulnerability Scanner wie Nessus, OpenVAS oder Qualys gleichen Ihre Systeme automatisiert mit Datenbanken bekannter Schwachstellen (CVEs) ab: offene Ports, veraltete Softwareversionen, fehlende Patches, unsichere Konfigurationen. Das Ergebnis ist ein Report mit oft Hunderten Einträgen — inklusive False Positives (gemeldete Lücken, die real nicht ausnutzbar sind) und ohne Aussage darüber, welche Funde in Kombination gefährlich werden.
Was macht ein Penetrationstest anders?
Ein Pentest ist ein autorisierter, manuell geführter Angriff. Der Tester nutzt Scanner zwar auch — aber als Ausgangspunkt, nicht als Endergebnis. Der Unterschied liegt in drei Dingen:
- Verifikation: Jede gemeldete Schwachstelle wurde tatsächlich ausgenutzt oder als nicht ausnutzbar aussortiert. Keine False Positives.
- Angriffsketten: Drei „mittlere" Findings können kombiniert zur Übernahme des Active Directory führen. Das sieht nur ein Mensch, der wie ein Angreifer denkt.
- Business-Bewertung: Der Bericht priorisiert nach realem Schaden (CVSS + Kontext), nicht nach Datenbank-Score — und ist als Nachweis für NIS2, ISO 27001 und Cyber-Versicherungen verwendbar.
Direkter Vergleich
| Schwachstellenscan | Penetrationstest | |
|---|---|---|
| Methode | Automatisiert, signaturbasiert | Manuell geführt, toolgestützt |
| Ergebnis | Rohliste potenzieller Lücken | Verifizierte, priorisierte Findings mit Beweisen |
| False Positives | Häufig | Praktisch keine |
| Angriffsketten | Nein | Ja — Kernstück des Tests |
| Dauer | Stunden | Tage bis Wochen |
| Kosten | Ab wenigen hundert € / Toollizenz | ab 1.500 € |
| Frequenz | Laufend / monatlich sinnvoll | Jährlich oder nach großen Änderungen |
| Compliance-Nachweis | Baustein | Anerkanntes Nachweisdokument (NIS2 Art. 21, ISO 27001 A.12.6) |
Was brauche ich wann?
Beides — in unterschiedlichem Rhythmus. Die Kombination ist kein Entweder-oder:
- Laufend scannen: Ein regelmäßiger Schwachstellenscan hält das Grundrauschen niedrig — neue CVEs und vergessene Patches fallen schnell auf.
- Periodisch pentesten: Ein jährlicher Penetrationstest (oder nach größeren Umbauten: neue Web-App, Migration, Firmenzukauf) prüft, was ein echter Angreifer aus der Gesamtlage macht.
- Nach dem Pentest: Retest. Die Nachprüfung bestätigt, dass die kritischen Findings wirklich geschlossen sind.
Warnsignal bei Angeboten: Wer einen unbearbeiteten Scanner-Report als „Penetrationstest" verkauft, liefert Ihnen eine Liste ohne Beweiskraft. Fragen Sie nach manueller Verifikation, Angriffsketten-Analyse und CVSS-bewertetem Abschlussbericht.
Fazit
Der Schwachstellenscan ist das Thermometer, der Pentest die Untersuchung: Das eine misst laufend und billig, das andere stellt die Diagnose mit Beweisen. Für KMU ist die pragmatische Antwort ein regelmäßiger Scan plus ein scharf gescopter Pentest zum Festpreis — jährlich oder nach relevanten Änderungen. Unsicher, was bei Ihnen zuerst dran ist? Kurze Anfrage genügt — Sie bekommen eine ehrliche Einschätzung, auch wenn sie „erstmal nur scannen" lautet.
Häufige Fragen zu Schwachstellenscan und Penetrationstest
Was ist der Unterschied zwischen einem Schwachstellenscan und einem Penetrationstest?
Ein Schwachstellenscan läuft automatisiert und gleicht gefundene Dienste und Versionen mit Datenbanken bekannter Schwachstellen ab. Das Ergebnis ist eine Liste möglicher Befunde, die auch Fehlalarme enthält. Ein Penetrationstest geht darüber hinaus: Ein Mensch verifiziert die Befunde, prüft, ob sie in Ihrer konkreten Umgebung tatsächlich ausnutzbar sind, und verkettet mehrere kleinere Schwächen zu einem realistischen Angriffspfad. Der Scan beantwortet die Frage „Was könnte verwundbar sein?“, der Pentest die Frage „Was ist tatsächlich angreifbar – und wie weit kommt ein Angreifer damit?“
Was ist der Unterschied zwischen einer Schwachstellenanalyse und einem Penetrationstest?
Die Begriffe Schwachstellenanalyse und Schwachstellenscan werden meist synonym verwendet: Beide beschreiben das systematische Identifizieren möglicher Schwachstellen, in der Regel werkzeuggestützt. Der Penetrationstest setzt darauf auf und fügt die manuelle Verifikation und die aktive Ausnutzung hinzu. Eine Schwachstellenanalyse listet auf, ein Penetrationstest weist nach.
Was ist ein Pen-Test überhaupt?
Ein Pen-Test oder Penetrationstest ist eine autorisierte, simulierte Cyberattacke auf die eigenen Systeme. Sicherheitsfachleute versuchen mit denselben Techniken wie echte Angreifer in Netzwerke, Webanwendungen oder APIs einzudringen – allerdings vertraglich beauftragt, zeitlich begrenzt und vollständig dokumentiert. Das Ergebnis ist ein Bericht mit den gefundenen Schwachstellen, ihrer Kritikalität nach CVSS und konkreten Behebungsempfehlungen.
Reicht ein Schwachstellenscan für die NIS2-Compliance aus?
In der Regel nicht allein. NIS2 verlangt ein Risikomanagement inklusive regelmäßiger Bewertung der Wirksamkeit der Maßnahmen. Ein automatisierter Scan liefert dafür eine gute laufende Grundlage, weist aber nicht nach, ob eine Lücke real ausnutzbar ist. Die gängige Praxis ist eine Kombination: kontinuierliche Scans plus mindestens ein jährlicher Penetrationstest sowie ein zusätzlicher Test nach wesentlichen Änderungen.
Was kostet ein Schwachstellenscan im Vergleich zu einem Pentest?
Ein automatisierter Schwachstellenscan ist deutlich günstiger und wird oft als laufender Service pro Monat abgerechnet. Ein Penetrationstest für KMU beginnt bei etwa 1.500 € netto für einen fokussierten Web-App-Test und bei etwa 3.500 € für einen Corporate-Network-Test. Eine ausführliche Preisübersicht finden Sie im Ratgeber zu den Pentest-Kosten.
Wann brauche ich einen Scan und wann einen Penetrationstest?
Faustregel: Der Scan gehört in den laufenden Betrieb, der Pentest an die Wendepunkte. Scannen Sie regelmäßig, um bekannte Lücken und fehlende Patches früh zu sehen. Beauftragen Sie einen Penetrationstest, wenn Sie eine belastbare Aussage brauchen – vor einem Audit, nach einer größeren Änderung der IT-Landschaft, vor dem Abschluss einer Cyber-Versicherung oder wenn eine neue Anwendung online geht.
Weiterlesen
- Pentest-Kosten für KMU — Preise, Tagessätze und Kostenfaktoren im Überblick
- Penetrationstest für KMU & Mittelstand — Leistungsumfang, Ablauf und Festpreismodell
- NIS2-Pflichten für den Mittelstand — Fristen, Maßnahmen und Bußgelder
- Macro Signing & Code Signing — Office-Makros und Windows-Software geprüft signieren statt pauschal freigeben
Marc Seeber
Geschäftsführer und Gründer der Shared Business Service UG (Westgreußen, Thüringen). Führt Penetrationstests für KMU durch und unterstützt Unternehmen bei Buchhaltung, E-Rechnung und Backoffice-Prozessen. IHK-Mitglied Erfurt, HRB 524180 AG Jena. Kontakt: info@sbs-ug.de · 0171 4108980
Nächster Schritt
Unverbindlich anfragen
Schildern Sie uns kurz Ihre Situation — Sie erhalten innerhalb von 24 Stunden eine konkrete Rückmeldung mit Vorschlag und Preisrahmen.