Was ist ein Schwachstellenscan? Und worin er sich vom Penetrationstest unterscheidet

„Schwachstellenscan”, „Vulnerability Assessment”, „Penetrationstest”, „Vulnerability Management” — diese vier Begriffe werden ständig durcheinandergeworfen. Manchmal aus Unkenntnis, oft aber bewusst: Mancher Anbieter verkauft einen einfachen Scan als Assessment oder eine oberflächliche Analyse als Pentest. Wer die Unterschiede kennt, schützt sich vor genau dieser Mogelpackung.

Was ein Schwachstellenscan ist

Ein Schwachstellenscan prüft mit spezialisierter Software Netzwerke und Systeme auf bekannte Schwachstellen und gleicht die Funde mit Schwachstellendatenbanken ab. Man unterscheidet:

Externe Scans — IP-Adressen und offene Ports von außen
Interne Scans — Konfigurationsfehler und schwache Passwörter von innen

Der Scan ist automatisiert, schnell und günstig — und liefert eine Momentaufnahme.

Scan vs. Assessment

Ein Vulnerability Assessment geht weiter: Hier prüfen Sicherheitsanalysten die Scan-Ergebnisse manuell, ordnen sie in den Geschäftskontext ein und bewerten ihre tatsächliche Relevanz. Der Scan liefert die Rohdaten, das Assessment die Interpretation.

Scan vs. Penetrationstest

Der entscheidende Unterschied: Ein Penetrationstest umfasst eine Exploit-Phase. Der Tester versucht aktiv einzudringen und beweist, ob eine Schwachstelle real ausnutzbar ist — nicht nur, ob sie theoretisch existiert. Ein Scan sagt „hier könnte ein Problem sein”; ein Pentest sagt „hier ist ein Problem, und so weit komme ich damit”.

Scan vs. Vulnerability Management

Vulnerability Management schließlich ist kein Einzelereignis, sondern ein kontinuierlicher Kreislauf: erkennen, bewerten, beheben, erneut prüfen. Erst dadurch werden Trends sichtbar und langfristige Verbesserung messbar.

Was wann sinnvoll ist

Einzelner Scan — schnelle, günstige Momentaufnahme
Zyklisches Assessment — erfüllt Compliance-Anforderungen wie PCI DSS und ISO 27001
Managed Vulnerability Management — umfassende, kontinuierliche Abdeckung
Penetrationstest — periodisch, besonders bei Änderungen an Netzwerk oder Anwendungen

Wie Cloud Cape unterstützt

Wir nennen die Dinge beim Namen und verkaufen keinen Scan als Pentest. Vor allem aber denken wir Schwachstellen nicht als Liste, sondern als Exposure: kontinuierlich erkennen, nach echtem Risiko priorisieren und durch reale Angriffstechniken validieren. Genau das leistet unser Continuous Threat Exposure Management — und wo der Beweis der Ausnutzbarkeit zählt, ergänzt es unser Pentesting & Red Teaming.

Sprechen Sie mit uns über Exposure Management — wir machen aus Scan-Ergebnissen priorisierte Risikoentscheidungen.