Security-Glossar

Penetrationstest vs. Schwachstellen-Scan

Die beiden werden oft verwechselt und manchmal als dasselbe verkauft, beantworten aber unterschiedliche Fragen. Ein Schwachstellen-Scan fragt: „Was könnte hier falsch sein?“ Ein Penetrationstest fragt: „Was kann ein Angreifer tatsächlich tun?“ In der Regel brauchen Sie beides, in unterschiedlichen Abständen.

Ein Schwachstellen-Scan: automatisierte Breite

Ein Schwachstellen-Scan ist ein automatisiertes Werkzeug, das Systeme gegen eine Datenbank bekannter Probleme und Fehlkonfigurationen prüft und eine Liste potenzieller Schwachstellen erzeugt, meist mit einer Einstufung des Schweregrads. Er ist schnell, günstig und wiederholbar und eignet sich damit für häufige Läufe und breite Abdeckung. Aber er meldet nur Möglichkeiten, erzeugt Fehlalarme und kann nicht sagen, ob ein Befund in Ihrem Kontext wirklich ausnutzbar ist.

Ein Penetrationstest: menschlich geführte Tiefe

Ein Penetrationstest wird von Menschen geführt: Ein Tester bestätigt Schwächen, indem er sie ausnutzt, und verkettet einzeln harmlose Probleme zu einem realistischen Angriffspfad. Genau das kann Automatisierung nicht leisten. OWASP ASVS selbst weist darauf hin, dass Werkzeuge die komplexeren Anforderungen oder die an Geschäftslogik und Zugriffskontrolle gebundenen nicht vollständig verifizieren können. Ein Pentest findet die Logik- und Autorisierungsfehler (etwa mandantenübergreifendes IDOR), die Scanner prinzipbedingt übersehen.

Breite vs. Tiefe, Falsch-Positive vs. Nachweis

Es geht um Breite gegen Tiefe. Ein Scan deckt viel Fläche oberflächlich ab und überlässt Ihnen die Einschätzung, was davon real ist; ein Pentest deckt einen fokussierten Scope gründlich ab und übergibt Ihnen bestätigte Befunde mit Proof of Concept, Einordnung ins Geschäftsrisiko und Behebung. Das Ergebnis eines Scans ist ein Ausgangspunkt, das Ergebnis eines Pentests eine Grundlage für Entscheidungen.

Wann Sie was nutzen sollten

Scannen Sie kontinuierlich, zum Beispiel monatlich oder bei jedem Release, um bekannte Probleme und Regressionen günstig abzufangen. Penetrationstests setzen Sie periodisch und rund um wesentliche Änderungen ein, wenn Sie sicher sein müssen, dass reale Angriffspfade geschlossen sind, oder wenn ein Standard es verlangt. Viele Compliance-Regelwerke erwarten beides: PCI DSS etwa verlangt in Requirement 11 regelmäßige Schwachstellen-Scans und gesonderte Penetrationstests.

Häufig gestellte Fragen

Ein Schwachstellen-Scan ist ein automatisiertes Werkzeug, das Systeme mit einer Datenbank bekannter Probleme abgleicht und Möglichkeiten meldet; ein Penetrationstest ist menschlich geführt und bestätigt Schwächen, indem er sie ausnutzt und kleinere Probleme zu einem realistischen Angriffspfad verkettet. Ein Scan fragt „was könnte hier falsch sein?“; ein Pentest fragt „was kann ein Angreifer tatsächlich tun?“.

Nein. Ein Scan meldet Möglichkeiten, erzeugt Fehlalarme und kann nicht sagen, ob ein Befund tatsächlich ausnutzbar ist. OWASP ASVS selbst hält fest, dass Werkzeuge komplexe Anforderungen rund um Geschäftslogik und Zugriffskontrolle nicht vollständig verifizieren können. Ein Pentest findet die Logik- und Autorisierungsfehler, etwa mandantenübergreifendes IDOR, die Scanner prinzipbedingt übersehen.

Scannen Sie kontinuierlich, etwa monatlich oder bei jedem Release, um bekannte Probleme günstig zu erkennen. Penetrationstests setzen Sie periodisch und rund um wesentliche Änderungen ein. Viele Compliance-Regelwerke erwarten beides: PCI DSS etwa verlangt in Requirement 11 regelmäßige Schwachstellen-Scans und separate Penetrationstests.

Sprechen Sie mit einem echten Praktiker.

Eine Frage, die diese Seiten nicht beantwortet haben? Sagen Sie uns, was Sie schützen möchten, und wir weisen Ihnen den Weg zum passenden Projekt. Die Erstberatung ist kostenlos.