Schwachstellenscan oder Pentest

Beide Begriffe stehen in Angeboten oft nebeneinander, als seien sie austauschbar. Sie sind es nicht: Schwachstellenscan und Pentest unterscheiden sich in Methode, Aussagekraft, Preis und in der Frage, die sie beantworten. Wer das eine bestellt und das andere erwartet, ist hinterher enttäuscht.

Der Unterschied in einem Satz

Der Scan sagt Ihnen, was verwundbar sein könnte. Der Pentest sagt Ihnen, was tatsächlich ausnutzbar ist – und wie weit ein Angreifer damit kommt.

Was der Scan leistet

Er gleicht Ihre Systeme mit Datenbanken bekannter Schwachstellen ab: veraltete Softwarestände, fehlende Aktualisierungen, offene Dienste, schwache Verschlüsselung, Standardkonfigurationen.

Seine Stärke ist die Wiederholbarkeit. Ein Scan, der wöchentlich läuft, bemerkt die neue Schwachstelle im Webserver wenige Tage nach ihrer Veröffentlichung – und genau in diesem Zeitfenster findet der überwiegende Teil der automatisierten Angriffe statt.

Seine Schwäche sind Fehlalarme. Ein Scanner erkennt eine Version und schließt auf eine Verwundbarkeit, ohne zu prüfen, ob sie im konkreten Aufbau ausnutzbar ist. Ein Bericht mit dreihundert Befunden, von denen zwanzig relevant sind, hilft nur, wenn jemand die Sortierarbeit leistet. Genau das macht der Unterschied zwischen einem Werkzeug und einer Schwachstellenanalyse, bei der die Befunde bewertet und priorisiert werden.

Was er grundsätzlich nicht findet: Fehler in der Anwendungslogik. Dass ein Benutzer durch Ändern einer Nummer in der Adresszeile die Rechnung eines anderen sieht, steht in keiner Schwachstellendatenbank.

Was der Pentest leistet

Hier arbeiten Menschen. Sie kombinieren Befunde, prüfen Annahmen und gehen Wege, die ein Werkzeug nicht kennt: Rechteausweitung, Umgehung von Zugriffskontrollen, Verkettung mehrerer kleiner Schwächen zu einem Angriffspfad.

Das Ergebnis ist deshalb qualitativ anders. Statt „Version X gilt als verwundbar” steht dort: „Über das Kontaktformular ließ sich Y erreichen, damit war Z zugänglich.” Das ist die Aussage, die eine Geschäftsführung versteht – und die ein Budget begründet.

Drei Varianten sind üblich, abgestuft nach dem Wissen des Testenden: ohne Vorkenntnisse, mit Teilinformationen oder mit vollem Einblick in Aufbau und Quelltext. Der mittlere Weg liefert in der Regel das beste Verhältnis von Aufwand und Erkenntnis. Für Websites siehe Website-Pentest.

Die Reihenfolge, die sich bewährt hat

1. Scan zuerst. Er räumt das Offensichtliche ab – fehlende Aktualisierungen, offene Dienste, abgelaufene Zertifikate. Es ist Verschwendung, dafür einen Pentester zu bezahlen.
2. Befunde abarbeiten. Priorisiert, mit Zuständigkeit und Termin. Genau das ist die Aufgabe eines laufenden Patch- und Vulnerability-Managements – ein Scanbericht ohne jemanden, der ihn abarbeitet, verändert nichts.
3. Dann der Pentest. Er beginnt auf einem bereinigten Stand und kommt zu den Fragen, die nur Menschen beantworten.
4. Nachtest. Der wichtigste und am häufigsten weggelassene Schritt: Prüfen, ob die Befunde tatsächlich behoben sind. Ein Bericht ohne Nachtest ist eine Momentaufnahme ohne Folgen.
5. Scan dauerhaft weiterlaufen lassen.

Was vorher geregelt sein muss

Die schriftliche Beauftragung. Ein Test ohne Erlaubnis ist strafbar. Die Beauftragung muss den Umfang, die Systeme, den Zeitraum und die zulässigen Methoden benennen – und sie muss von jemandem stammen, der dafür befugt ist.

Die Zustimmung des Betreibers. Liegt das System bei einem Anbieter, braucht es dessen Einverständnis. Viele Anbieter untersagen Tests in ihren Bedingungen oder verlangen eine Voranmeldung.

Ein Notfallweg. Wenn ein Test einen Ausfall verursacht, muss klar sein, wer ihn abbricht.

Der Umgang mit gefundenen Daten. Stößt der Testende auf personenbezogene Daten, ist zu regeln, was damit geschieht – ein Auftragsverarbeitungsvertrag ist hier der Regelfall.

Was beides nicht ersetzt

Weder Scan noch Pentest ersetzen ein Managementsystem. Sie sind Messungen, keine Steuerung: Sie sagen, wo Sie stehen, nicht, wie Sie dorthin gekommen sind und wie Sie es künftig vermeiden. Dafür braucht es die Risikoanalyse und den Kreislauf des ISMS.

Und beide sagen nichts über den Weg, über den die meisten erfolgreichen Angriffe laufen: die E-Mail an einen Menschen. Dafür ist die Phishing-Simulation das passende Instrument.

Kontakt

Sie wissen nicht, was für Sie das Richtige ist? Das hängt davon ab, was Sie betreiben – und ist in einem Gespräch geklärt.

• Telefon: +49 6188 99 04 36
• E-Mail: office@dsb-datenschutz.de
• Kontaktformular: Anfrage senden
• Zur Informationssicherheit