Schwachstellenscan oder Pentest: Unterschiede, Kosten und wann Sie was brauchen

Ein Schwachstellenscan sucht automatisiert nach bekannten Schwächen und liefert schnell eine Liste. Ein Penetrationstest nutzt zusätzlich menschliche Kreativität, um Schwächen zu verketten und die Auswirkungen zu belegen. Beide haben ihren Platz: Der Scan eignet sich für regelmäßige Kontrolle, der Pentest für die vertiefte Prüfung kritischer Systeme. Wer beides verwechselt, zahlt entweder zu viel oder wiegt sich in falscher Sicherheit.

Drei Prüfarten im Überblick

Merkmal	Schwachstellenscan	Penetrationstest	Red Teaming
Vorgehen	Automatisierte Werkzeuge prüfen auf bekannte Schwachstellen	Menschen prüfen manuell, nutzen Schwächen aus und verketten sie	Realistische Angriffsszenarien gegen Menschen, Technik und Prozesse
Ergebnis	Liste von Funden mit Schweregrad	Bewertete Befunde mit Nachweis, Auswirkung und Empfehlung	Bericht über Angriffsweg und Erkennungsfähigkeit des Unternehmens
Falsch-Positive	Häufig, müssen geprüft werden	Seltener, da verifiziert	Nicht Hauptthema
Aufwand	Gering, wiederholbar	Mittel bis hoch	Hoch, oft Wochen
Häufigkeit	Laufend oder monatlich	Anlassbezogen, oft jährlich	Selten, für reife Organisationen
Eignung	Basis-Hygiene, Patchstand	Kritische Anwendungen, Nachweise	Prüfung der Detektion und Reaktion

Was ein Scan gut kann

Ein Scan erkennt fehlende Updates, veraltete Software, offene Ports, schwache Verschlüsselungseinstellungen und bekannte Konfigurationsfehler. Das ist wertvoll, weil viele erfolgreiche Angriffe bekannte Lücken ausnutzen. Zudem lässt sich der Scan automatisieren und regelmäßig wiederholen, sodass Sie Veränderungen im Zeitverlauf sehen.

Wichtig ist, die Ergebnisse zu bewerten. Ein Scan meldet auch Dinge, die in Ihrer Umgebung nicht ausnutzbar sind, und übersieht Schwächen in der Geschäftslogik. Wer Hunderte Funde ungefiltert weitergibt, überfordert die Technik. Gute Dienstleister priorisieren und erklären, was zuerst zu beheben ist.

Was nur ein Pentest leisten kann

Berechtigungsprobleme: Kann Nutzer A die Daten von Nutzer B einsehen? Das erkennt ein Scanner kaum.
Logikfehler: Ein Bestellprozess, der sich überspringen lässt, oder ein Rabattcode, der sich beliebig oft einlösen lässt.
Verkettung: Mehrere für sich harmlose Schwächen ergeben zusammen einen Angriffsweg.
Bewertung der Auswirkung: Was bedeutet ein Fund konkret für Ihre Daten und Ihr Geschäft?

Das ist der Grund, warum Pentests deutlich teurer sind: Sie bezahlen Fachleute für ihre Zeit. Einen Überblick über Kostentreiber finden Sie im Beitrag Penetrationstest Kosten.

Rechenbeispiel zur Kombination (illustrativ)

Ein Unternehmen betreibt einen Onlineshop und eine interne Verwaltung. Eine mögliche Aufteilung im Rechenmodell:

Laufender Scan der externen Systeme zu einem beispielhaften Betrag von 200 Euro im Monat, also 2.400 Euro im Jahr.
Jährlicher Pentest des Shops mit 6 Personentagen zu 1.100 bis 1.800 Euro, also 6.600 bis 10.800 Euro.
Zusätzlicher Test nach einem größeren Relaunch, beispielhaft 3 Personentage, also 3.300 bis 5.400 Euro.

Gesamt im Rechenmodell: 12.300 bis 18.600 Euro pro Jahr. Die Zahlen sind keine Preisauskunft. Mit dem Aufwandsrechner lassen sich ähnliche Szenarien durchspielen.

Entscheidungshilfe

Sie wollen schnell wissen, ob Basis-Hygiene stimmt: Scan, am besten regelmäßig.
Ein Kunde verlangt einen Pentest-Nachweis: Penetrationstest durch eine unabhängige Stelle. Klären Sie, ob der Kunde Anforderungen an Methodik und Berichtsform stellt.
Sie entwickeln eine eigene Webanwendung oder App: Pentest vor dem Livegang und nach größeren Änderungen, zusätzlich Scans.
Sie wollen die Erkennungsfähigkeit Ihres Teams prüfen: Red Teaming, aber erst, wenn Grundschutz und Überwachung stehen.
Kleines Budget: Erst Scan und Behebung, danach gezielter Pentest für das wichtigste System.

Auf Angebote achten

Manche Angebote tragen den Namen Pentest, enthalten aber im Kern einen automatisierten Scan mit kurzer Auswertung. Fragen Sie deshalb:

Wie viele Personentage entfallen auf manuelle Prüfung?
Welche Schritte werden manuell durchgeführt, etwa Test von Rollen und Geschäftslogik?
Wie werden Funde verifiziert, um Falschmeldungen zu vermeiden?
Enthält der Bericht Nachweise wie Beschreibung, Schritte zur Reproduktion und Empfehlungen?
Gibt es einen Nachtest?

Rechtliche Hinweise

Auch ein Scan kann Systeme belasten und gilt als Eingriff, wenn er fremde Systeme betrifft. Prüfen Sie, ob alle gescannten Systeme Ihnen gehören oder ob der Betreiber zustimmen muss, etwa bei Cloud- und Hostinganbietern. Details zu Freigaben finden Sie unter Pentest beauftragen: Ablauf und Freigaben.

Authentifizierte und unauthentifizierte Scans

Ein weiterer Unterschied betrifft die Perspektive. Unauthentifizierte Scans betrachten ein System von außen, so wie ein Angreifer ohne Zugangsdaten. Sie zeigen, was aus dem Internet erreichbar und angreifbar ist. Authentifizierte Scans melden sich mit einem Konto am System an und lesen Patchstand, Konfiguration und installierte Software aus. Sie finden deutlich mehr, verursachen aber mehr Einrichtungsaufwand und erfordern sorgfältigen Umgang mit den Zugangsdaten des Scanners.

Für den Einstieg genügt oft ein externer Scan der öffentlich erreichbaren Systeme. Ergänzen Sie später interne, authentifizierte Scans für Server und Arbeitsplätze. Dokumentieren Sie, welche Systeme in welchem Rhythmus gescannt werden, und halten Sie fest, wer die Ergebnisse bewertet. Ein Scan, dessen Ergebnisse niemand liest, erzeugt Kosten ohne Nutzen.

Wann Sie sich beraten lassen sollten

Wenn Sie Nachweise für Behörden, Versicherer oder Zertifizierer brauchen, klären Sie vorab, welche Prüfarten akzeptiert werden. Bei kritischen Systemen sollte die Prüfung mit der Betriebsführung abgestimmt werden.

Häufige Fragen

Reicht ein Scan für die Cyberversicherung?

Das hängt von den Versicherungsbedingungen ab. Manche Versicherer verlangen bestimmte Maßnahmen oder Nachweise. Lesen Sie die Bedingungen und fragen Sie nach.

Können wir den Scan selbst durchführen?

Ja, viele Werkzeuge sind verfügbar. Der Aufwand liegt in Einrichtung, Auswertung und Behebung. Ein Dienstleister kann die Auswertung übernehmen.

Wie oft sollte gescannt werden?

Externe Systeme häufig, etwa monatlich oder kontinuierlich. Interne Systeme je nach Änderungsrate. Entscheidend ist, dass Funde auch abgearbeitet werden.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — Veröffentlichungen zu Penetrationstests und Schwachstellenmanagement
OWASP Foundation — Leitfäden zur Sicherheit von Webanwendungen
Allianz für Cyber-Sicherheit — Hinweise zu Basismaßnahmen