2026-06-30 · LEITFADEN · Das Team von Offensive Technology

Check, Scan oder vollständiger Pentest?

Kurzantwort: Ein Vulnerability Scan ist eine günstige, automatisierte Liste bekannter Schwachstellen. Ein Attack-Surface-Check ist ein fokussierter, von Experten geprüfter erster Blick auf Ihre Angriffsfläche. Ein vollständiger Penetrationstest bedeutet tagelange, manuelle und tiefgehende Exploitation. Nutzen Sie Scans für eine regelmäßige Abdeckung, einen Check für einen schnellen, ehrlichen Ersteindruck und einen vollständigen Pentest, wenn Sie eine prüfungsrelevante Tiefe benötigen.

Das Wort „Pentest“ wird für drei sehr unterschiedliche Dinge verwendet, und die Preise reichen von kostenlos bis fünfstellig. Wenn Sie auf der Suche nach einer Sicherheitsprüfung sind, ist diese Spanne in manchen Ecken des Marktes mit Absicht verwirrend. Hier ist die ehrliche Variante, damit Sie genau wissen, was Sie tatsächlich bekommen.

Ein Vulnerability Scan

Ein Scanner ist ein automatisiertes Tool, das Ihre Systeme mit einer Datenbank bekannter Schwachstellen abgleicht. Er ist schnell, günstig und es lohnt sich, ihn regelmäßig auszuführen. Er erzeugt jedoch auch viel Rauschen: Er erstellt lange Listen, versteht Ihre Geschäftslogik nicht und kann zwei mittlere Probleme nicht zu einem schwerwiegenden verketten. Ein Scan zeigt Ihnen, was möglicherweise falsch ist. Er verrät Ihnen nicht, was ein Angreifer tatsächlich tun würde.

Unter der Haube vergleicht ein Scanner das, was er sehen kann, offene Ports, Service-Banner, Softwareversionen, Response-Header, mit einer Datenbank bekannter Probleme und meldet jeden Treffer. Das macht ihn wiederholbar und schnell sowie gut bei den unspektakulären Problemen, die sich ansammeln: fehlende Patches, abgelaufene Zertifikate, Standardkonfigurationen, ein öffentlich erreichbares Admin-Panel. Seine Grenze ist konstruktionsbedingt. Er meldet, was zu einer Signatur passt, nicht, was in Ihrem Kontext ausnutzbar ist. Ein als kritisch eingestufter Befund kann also unerreichbar hinter anderen Sicherheitsmaßnahmen liegen, während ein als niedrig eingestufter Befund genau der Zugang ist, den ein Angreifer sucht. Bis jemand mit Fachverstand die Liste priorisiert, ist sie größtenteils Rauschen.

Ein Attack-Surface-Check

Ein Check liegt in der Mitte. Er betrachtet Ihre externe Angriffsfläche so, wie ein Angreifer einen Angriff startet, und kombiniert automatisierte Abdeckung mit der Beurteilung eines erfahrenen Pentesters, der das Ergebnis prüft und erklärt. Er ist tiefer gehend als ein Scan, weil jemand mit praktischer Break-in-Erfahrung entscheidet, was wichtig ist. Er ist schlanker als ein vollständiges Projekt, weil er zeitlich begrenzt und fokussiert ist. Das ist die Kategorie, in der unser $100-Check angesiedelt ist: ein schneller, ehrlicher erster Blick.

Ein Check beginnt mit der Bestätigung des Scopes und der Sicherstellung, dass Sie Eigentümer der Systeme sind oder die Kontrolle darüber haben, inklusive schriftlicher Genehmigung, bevor getestet wird. Ein erfahrener Pentester analysiert dann die Angriffsfläche wie zu Beginn eines Angriffs: Er deckt auf, was erreichbar ist, spürt vergessene Subdomains oder Dienste auf, die nie öffentlich sein sollten, und trennt relevante Befunde von irrelevanten. Sie erhalten eine priorisierte Liste und eine kurze menschliche Auswertung, keinen Export mit tausenden Zeilen. Was ein Check nicht bietet, ist das tagelange Verketten von Exploits oder Pivoting in Ihrem Netzwerk. Es ist ein erster Blick, transparent und darauf ausgelegt, Ihnen schnell zu zeigen, ob Sie ein echtes Problem haben und was als Nächstes zu tun ist.

Ein vollständiger Penetrationstest

Ein vollständiger Pentest bedeutet, dass eine Person oder ein Team tagelang versucht, so einzudringen, wie es ein entschlossener Angreifer tun würde. Manuelles Testen, maßgeschneiderte Exploits, Ausnutzung von Geschäftslogik, Lateral Movement, das volle Programm. Er liefert den Nachweis tatsächlicher Auswirkungen und einen Bericht, den Auditoren oder Versicherer in der Regel akzeptieren. Er kostet echtes Geld, weil er echte Arbeitszeit von absoluten Experten erfordert.

Das umfasst Arbeiten, die ein Scanner nicht erledigen kann: das Testen von Geschäftslogik (kann ein Benutzer auf Daten eines anderen Mandanten zugreifen, lässt sich ein Checkout manipulieren, bricht eine Zugriffskontrolle durch einen einzelnen geänderten Parameter zusammen), das Verketten mehrerer niedriger Schwachstellen zu einem hochgradigen Angriffspfad und, sofern der Scope es erlaubt, Lateral Movement, um zu zeigen, wie weit ein Erstzugang tatsächlich reicht. Das Ergebnis ist keine Liste von Möglichkeiten, sondern nachgewiesene Auswirkung mit Schritten zur Reproduktion und Belegen. Genau das akzeptieren Auditoren, Versicherer oder Procurement-Teams von Großunternehmen. Deshalb wird ein echter Pentest nach Aufwand geplant, terminiert und als menschliche Arbeitszeit kalkuliert. Wenn ein Angebot günstig und sofort vorliegt, kaufen Sie fast sicher einen Scan mit einem hübscheren Deckblatt.

Derselbe Befund, drei Antworten

Nehmen wir einen gewöhnlichen Befund und sehen wir uns an, wie jede Kategorie damit umgeht. Angenommen, eine alte Subdomain, staging.example.com, zeigt immer noch auf einen aktiven Server mit einer veralteten Webanwendung.

• A Scan meldet es: veraltete Software, mittlere Schwachstelle, eine Zeile in einer Liste von zweihundert. Ob diese Zeile überhaupt jemand liest, ist reine Glückssache.
• A Check erfasst denselben Host, aber ein Mensch sieht ihn sich an. Die Subdomain wurde vergessen, ihre Login-Seite verrät über Stack-Traces das Framework, und die verwendete Version weist einen öffentlichen Exploit auf. Das verschiebt das Thema von „mittel, begraben“ zu „zuerst beheben, und hier ist der Grund“, erklärt in der Auswertung.
• A Vollständiger Pentest geht weiter und erbringt den Nachweis. Der Tester bestätigt, dass der Exploit funktioniert, dringt ein und zeigt, ob dieser Server andere wertvolle Ziele erreichen kann. Nun ist es keine bloße Möglichkeit mehr, sondern ein nachgewiesener Pfad mit Belegen.

Derselbe Host, drei völlig unterschiedliche Antworten. Der Scan hat Ihnen gesagt, dass er existiert. Der Check hat Ihnen gesagt, dass er wichtig ist. Der Pentest hat Ihnen gezeigt, was es Sie kostet, wenn Sie ihn ignorieren.

Was davon brauchen Sie?

Das sind Ergänzungen, keine Alternativen, und reife Sicherheitsprogramme nutzen alle drei. Ein Check vor einem vollständigen Pentest schärft oft den Scope, sodass die teure Arbeitszeit dort eingesetzt wird, wo sie zählt. Und die Überwachung Ihrer externen Angriffsfläche zwischen Tests erfasst Veränderungen, die ein jährlicher Test übersieht. Mehr zur Frequenz erfahren Sie unter Wie oft sollten Sie einen Penetrationstest durchführen lassen?

• Sie möchten nur wissen, ob etwas Offensichtliches frei zugänglich ist? Beginnen Sie mit einem Check.
• Müssen Sie Vorgaben eines Auditors, Versicherers oder Großkunden erfüllen? Dann benötigen Sie fast sicher einen vollständigen Pentest, und Sie sollten zuerst deren genaue Anforderungen klären. Wenn der Auslöser ein bestimmtes Framework ist, zeigen unsere Hinweise dazu, ob SOC 2 einen Penetrationstest erfordert, wie viel ein Auditor tatsächlich akzeptiert.
• Suchen Sie kontinuierliche Abdeckung zwischen Projekten? Führen Sie regelmäßig Scans durch und verwechseln Sie diese nicht mit einem Pentest.

Wenn Sie unsicher sind, teilen Sie uns mit, was der Anlass Ihrer Frage ist. Wir empfehlen Ihnen die günstigste Option, die Ihr Problem tatsächlich löst, selbst wenn das nicht das Produkt ist, das wir lieber verkaufen würden.

Check, Scan oder Pentest? Kurzantworten

Was ist der Unterschied zwischen einem Vulnerability Scan und einem Penetrationstest?

Ein Vulnerability Scan ist eine automatisierte Prüfung anhand einer Datenbank bekannter Schwachstellen: schnell, günstig, wiederholbar und mit viel Rauschen. Ein Penetrationstest ist manuelle Arbeit durch einen erfahrenen Experten, der versucht, Schwachstellen wie ein echter Angreifer auszunutzen und zu verketten, um die tatsächliche Auswirkung nachzuweisen. Ein Scan zeigt Ihnen, was falsch sein könnte; ein Pentest zeigt Ihnen, was jemand tatsächlich tun kann.

Ist ein Attack-Surface-Check das Gleiche wie ein Penetrationstest?

Nein. Ein Check ist ein fokussierter, zeitlich begrenzter erster Blick auf Ihre externe Angriffsfläche, der von einem erfahrenen Pentester geprüft, priorisiert und mit einer kurzen manuellen Auswertung geliefert wird. Ein vollständiger Penetrationstest bedeutet tagelange, manuelle und tiefgehende Exploitation, die nachgewiesene Auswirkungen und einen prüfungsrelevanten Bericht liefert. Ein Check ist bewusst tiefer gehend als ein Scan und schlanker als ein vollständiges Projekt.

Benötige ich einen vollständigen Penetrationstest für Compliance?

In der Regel ja, und Sie sollten zuerst den genauen Wortlaut Ihrer Anforderungen prüfen. Frameworks wie PCI DSS schreiben Penetrationstests direkt vor, während SOC 2 und ISO 27001 risikobasiert sind und dies in der Praxis erwarten. Ein Scan oder ein Check reicht einem Auditor oder Versicherer nicht aus, der ausdrücklich einen Penetrationstest gefordert hat.

Kann ich statt eines vollständigen Pentests mit einem Scan und einem Check beginnen?

Ja, und das ist oft die kluge Reihenfolge: Scans für eine günstige fortlaufende Abdeckung, ein Check für einen schnellen, ehrlichen Überblick, der den Scope eines späteren Projekts schärfen kann, und der vollständige Pentest, wenn Sie Tiefe benötigen oder eine Nachprüfung ansteht. Präsentieren Sie lediglich einen Scan oder Check niemandem als Penetrationstest, der explizit einen verlangt.

Ähnliche Beiträge

• Wie viel kostet ein Penetrationstest?
• Was können Angreifer über Ihr Unternehmen sehen?
• Wie oft sollten Sie einen Penetrationstest durchführen lassen?