PENTEST & SCHWACHSTELLEN · EVERGREEN
“Wir brauchen mal einen Pentest” – dieser Satz kostet Unternehmen
regelmäßig entweder zu viel Geld oder zu wenig Sicherheit. Denn was
gemeint ist, ist oft ein Schwachstellenscan, und was verkauft wird,
manchmal auch. Wer den Unterschied kennt, kauft das Richtige für den
richtigen Zweck.
Kurzantwort
Ein Schwachstellenscan ist eine automatisierte Prüfung, die Systeme
gegen eine Datenbank bekannter Schwachstellen abgleicht – schnell,
günstig, breit und wiederholbar, ideal als regelmäßige Routine. Ein
Penetrationstest ist eine manuelle, kreative Prüfung durch erfahrene Tester, die wie echte Angreifer denken: Sie verketten
Schwachstellen, umgehen Schutzmaßnahmen und beweisen, wie weit ein
Angreifer real käme – tiefer, teurer, punktuell. Kurz: Der Scan findet
die bekannten offenen Türen, der Pentest zeigt, wie jemand durch sie
hindurch ins Herz des Netzes gelangt. Beide gehören zusammen – der Scan
als Dauerhygiene, der Pentest als gezielte Tiefenprüfung.
Die Unterschiede, die zählen
| Schwachstellenscan | Penetrationstest | |
|---|---|---|
| Methode | automatisiert, werkzeuggestützt | manuell, durch erfahrene Tester |
| Findet | bekannte Einzelschwachstellen | Angriffspfade durch Verkettung |
| Tiefe | breit, oberflächlich | fokussiert, tief |
| Fehlalarme | häufiger (brauchen Bewertung) | validiert (nachgewiesen ausnutzbar) |
| Kosten | gering, skalierbar | höher, nach Personentagen |
| Rhythmus | laufend/regelmäßig | anlassbezogen/periodisch |
Der entscheidende Punkt ist die Verkettung: Ein
Scanner meldet “veraltete Komponente hier” und “schwache Konfiguration
dort” als zwei getrennte Findings mittlerer Kritikalität. Ein Pentester
erkennt, dass beides zusammen den Weg zum Domänen-Administrator öffnet –
ein kritisches Risiko, das kein Scanner als solches sieht. Umgekehrt
wäre es Verschwendung, von Hand prüfen zu lassen, was ein Scanner in Minuten breitflächig erledigt.
Was Sie wann brauchen
Schwachstellenscan (laufend): als Prozess über alle
relevanten Systeme, um bekannte Lücken früh zu sehen und
Patch-Prioritäten zu setzen – die Basis-Hygiene, die verhindert, dass
triviale Einfallstore offen bleiben. Pentest (gezielt):
für die kritischen Angriffsflächen (Internet-Perimeter, zentrale
Anwendungen, Active Directory), bei Kundenanforderungen,
ISO-27001-Nachweisen oder nach größeren Änderungen. Die ehrliche
Reihenfolge: Erst Scan-Hygiene etablieren – einen Pentest auf ein
ungescanntes, ungepflegtes Netz loszulassen, verbrennt Budget an
Erkenntnissen, die ein Scan zum Bruchteil geliefert hätte. Was ein
Pentest dann kostet und woran man Mogelpackungen erkennt, zeigt der
Beitrag Was kostet ein
Pentest?
Dazwischen: der automatisierte Pentest
Scan und manueller Pentest sind die Pole – dazwischen liegt der automatisierte Pentest. Er geht tiefer ins interne Netzwerk als ein Scan und simuliert, wie sich ein Angreifer dort bewegen würde, braucht dafür aber keine teuren Personentage. Das macht ihn günstig genug, um ihn regelmäßig laufen zu lassen: So werden auch Schwankungen sichtbar, die zwischen zwei jährlichen Tests unbemerkt blieben. Zusatzmodule prüfen bei Bedarf physische Sicherheit, Prozesse und die Konfiguration von Servern und Clients. So setzen wir den Penetrationstest bei UBESAFE um.
Häufige Fragen (FAQ)
Reicht ein Scan für unsere Cyberversicherung / unser
ISO-Audit? Oft wird beides erwartet: kontinuierliches
Schwachstellenmanagement plus periodische Pentests der kritischen
Bereiche. Prüfen Sie die konkrete Anforderung – “Pentest” im Vertrag
meint selten einen bloßen Scan.
Ist ein “automatisierter Pentest” ein echter
Pentest? Es kommt darauf an, wie tief er geht. Ein Scan von außen mit neuem Etikett ist es nicht. Ein automatisierter Pentest, der im internen Netz Angriffswege nachstellt, liegt zwischen Scan und manuellem Test: deutlich tiefer als ein Scan, deutlich günstiger als ein manuelles Projekt. Für besonders kritische Anwendungen bleibt der manuelle Test die Spitze.
Wie oft scannen, wie oft testen? Scannen regelmäßig
und nach Änderungen (viele betreiben es kontinuierlich); Pentests der
kritischen Flächen typischerweise jährlich und nach größeren Umbauten –
Details im Beitrag Wie oft braucht es einen
Pentest?
Fazit
Scan und Pentest sind kein Entweder-oder, sondern Fundament und
Spitze: Der Scan hält die Grundhygiene, findet Bekanntes breit und
günstig; der Pentest prüft in der Tiefe, was Verkettung und menschliche
Kreativität sichtbar machen. Wer das verwechselt, zahlt zu viel oder
sieht zu wenig. Wir helfen, die richtige Kombination für Ihr Risiko zu
schneiden – von der Audit-Vorbereitung bis zum
kontinuierlichen Schwachstellenmanagement.
Unsicher, ob Sie Scan, Pentest oder beides brauchen? Kostenloses Erstgespräch –
wir ordnen es an Ihrer realen Angriffsfläche ein.