Ein Schwachstellenscan ist eine automatisierte Prüfung, die bekannte Schwachstellen in Systemen erkennt und auflistet. Ein Penetrationstest geht weiter: Ein Sicherheitsexperte versucht, gefundene Schwachstellen aktiv und manuell auszunutzen, um reale Angriffswege und deren Auswirkungen nachzuweisen. Der Scan zeigt, was theoretisch verwundbar ist – der Pentest, was praktisch ausnutzbar ist.
Was ist ein Schwachstellenscan?
Ein Schwachstellenscan (Vulnerability Scan) prüft Systeme automatisiert gegen Datenbanken bekannter Schwachstellen (z. B. CVEs) und Fehlkonfigurationen. Das Ergebnis ist eine Liste potenzieller Schwachstellen, meist nach Schweregrad sortiert. Scans sind schnell, günstig und breit – eignen sich also gut für kontinuierliche Sicherheitshygiene, erzeugen aber auch False Positives.
Was ist ein Penetrationstest?
Ein Penetrationstest ist ein autorisierter, manueller Angriffsversuch durch Sicherheitsexperten. Gefundene Schwachstellen werden aktiv ausgenutzt und verkettet, um zu zeigen, wie weit ein echter Angreifer kommen würde und welcher Schaden real möglich ist. Das Ergebnis sind nachgewiesene Angriffswege, priorisiert nach tatsächlichem Risiko.
Die wichtigsten Unterschiede
Automatisierung: Der Scan läuft per Tool, der Pentest wird von Menschen durchgeführt. Tiefe: Der Scan liefert eine Liste, der Pentest einen ausgenutzten Angriffsweg. False Positives: Beim Scan häufig, beim Pentest werden Befunde verifiziert. Kosten: Ein Scan liegt bei etwa 500–3.000 €, ein Pentest bei 3.000–25.000 €. Häufigkeit: Scans laufen kontinuierlich oder monatlich, Pentests meist jährlich oder nach größeren Änderungen.
Wann welches Verfahren?
Ein Schwachstellenscan eignet sich für laufende Überwachung, breite Abdeckung und schnelle Erkennung neuer bekannter Schwachstellen. Ein Penetrationstest ist die richtige Wahl, wenn Sie die reale Angreifbarkeit nachweisen müssen – etwa für Compliance (NIS2, ISO 27001, PCI DSS), vor Produktivsetzung kritischer Systeme oder nach größeren Änderungen.
Kosten im Vergleich
Der Preisunterschied ergibt sich aus dem Aufwand: Ein automatisierter Scan ist günstig, weil er ohne manuelle Arbeit auskommt. Ein Penetrationstest bindet erfahrene Tester über mehrere Tage und liefert dafür belastbare, ausgenutzte Angriffswege statt einer reinen Liste. Beide Verfahren haben ihren Platz – sie ersetzen sich nicht, sondern ergänzen sich.
Die Kombination ist ideal
In der Praxis ist die Kombination am wirksamsten: kontinuierliche Schwachstellenscans zur Früherkennung plus regelmäßige Penetrationstests zur Tiefenprüfung. Eingebettet in ein Schwachstellenmanagement entsteht so ein durchgehender Prozess aus Erkennen, Bewerten, Beheben und erneutem Prüfen.
Fazit
Schwachstellenscan und Penetrationstest sind kein Gegensatz, sondern zwei Ebenen: Der Scan zeigt breit und automatisiert, was theoretisch verwundbar ist; der Pentest weist manuell nach, was praktisch ausnutzbar ist. Für belastbare Sicherheit braucht es beides – kontinuierliche Scans für die Hygiene und regelmäßige Pentests für den echten Nachweis.
APASEC unterstützt Sie — praxisnah und auf Ihr Unternehmen zugeschnitten. Jetzt unverbindlich anfragen →
Häufige Fragen (FAQ)
Nein. Ein Schwachstellenscan ist eine automatisierte Erkennung bekannter Schwachstellen. Ein Penetrationstest nutzt Schwachstellen manuell aus und weist reale Angriffswege nach. Der Scan ist ein Teilschritt, kein Ersatz für einen Pentest.
In der Regel nicht allein. Regelmäßige Scans sind sinnvoll, aber für den Nachweis realer Angreifbarkeit und für kritische Systeme werden meist zusätzlich Penetrationstests erwartet.
Ein Schwachstellenscan ist deutlich günstiger (etwa 500–3.000 €), weil er automatisiert läuft. Ein Penetrationstest kostet 3.000–25.000 €, liefert dafür aber manuell verifizierte Angriffswege.
Schwachstellenscans idealerweise kontinuierlich oder monatlich, Penetrationstests mindestens jährlich sowie nach größeren Änderungen an Systemen oder Anwendungen.
False Positives sind fälschlich gemeldete Schwachstellen. Sie treten bei automatisierten Scans häufiger auf; im Penetrationstest werden Befunde durch den Tester verifiziert und damit belastbarer.