Penetrationstest vs. Schwachstellenscan: die Unterschiede

Was es ist

Ein Schwachstellenscan lässt ein Tool gegen Hosts, Websites oder Anwendungen laufen und meldet Probleme, die es erkennen kann: fehlende Patches, veraltete Softwareversionen, offen erreichbare Dienste, schwache TLS-Einstellungen oder gängige Fehlkonfigurationen. Scans sind schnell und wiederholbar und eignen sich daher gut für die regelmäßige Sicherheitshygiene. Ihre Grenzen sind bekannt. Scanner erzeugen Fehlalarme, übersehen Probleme, die von der Geschäftslogik abhängen, und können nicht beurteilen, ob ein niedrig eingestufter Befund in Kombination mit einem anderen ernst wird. Ein Penetrationstest beginnt mit einem schriftlichen Scope und Rules of Engagement (Einsatzregeln). Der Tester nutzt Tools, auch Scanner, arbeitet dann aber manuell weiter: Er validiert Befunde, testet Authentifizierung und Autorisierung, prüft, wie Rollen und Mandanten getrennt sind, und verfolgt realistische Pfade, die ein Angreifer ausprobieren könnte. Das Ergebnis ist ein Bericht mit Nachweisen, Schweregrad und Hinweisen zur Behebung statt einer rohen Liste von Tool-Ausgaben. Kurz gesagt: Ein Scan zeigt Ihnen, was falsch sein könnte; ein Penetrationstest zeigt Ihnen, was im vereinbarten Umfang nachweislich falsch ist und warum das relevant ist.

Für wen es gedacht ist

Dieser Vergleich ist hilfreich für Teams, die:

• von einem Kunden, Partner oder Versicherer eine Anfrage nach „Sicherheitstests“ erhalten haben und verstehen müssen, was tatsächlich verlangt wird
• bereits regelmäßig scannen und wissen möchten, ob ein manueller Test einen nennenswerten Erkenntnisgewinn bringt
• eine neue Webanwendung, API oder mobile App einführen und entscheiden müssen, wie tief die Tests vor dem Launch gehen sollen
• der Geschäftsleitung erklären müssen, warum zwei Angebote für „Tests“ in Aufwand und Ergebnis sehr unterschiedlich aussehen

Was es zu klären hilft

Der direkte Vergleich hilft zu klären:

• ob es bei Ihrer Frage um die Hygiene bei bekannten Problemen (Scan) oder um ausnutzbares Risiko in einem bestimmten System (Penetrationstest) geht
• welche Befunde in einem vorhandenen Scanbericht wahrscheinlich Rauschen sind und welche eine manuelle Validierung verdienen
• warum Geschäftslogik, Zugriffskontrolle und mehrstufige Angriffspfade außerhalb dessen liegen, was automatisierte Tools üblicherweise erkennen
• welche Nachweise ein Stakeholder in einem Abschlussbericht erwarten wird

Was ist enthalten

• Checkliste Scan: Asset-Liste festlegen, Scans regelmäßig einplanen, eine verantwortliche Person für die Sichtung der Ergebnisse benennen und die Behebung über die Zeit verfolgen
• Checkliste Penetrationstest: Ziele, Umgebungen, Testzeitraum, Zugangsweg, benannte Ansprechpartner und Abbruchbedingungen vor Arbeitsbeginn schriftlich vereinbaren
• Schriftliche Autorisierung des Systemeigentümers einholen sowie aller Hosting-Anbieter oder Dienstleister, die Systeme im Scope betreiben
• Entscheiden, ob authentifizierte Tests nötig sind (Testkonten für jede Rolle), damit Probleme bei der Zugriffskontrolle untersucht werden können
• Vereinbaren, wie Befunde bewertet werden und wie Nachweise sicher mit benannten Ansprechpartnern geteilt werden
• Ein Zeitfenster für einen Nachtest einplanen, damit behobene Befunde nach der Behebung bestätigt werden können

Was nicht enthalten ist

• Die Behauptung, dass ein Scan allein belegt, dass eine Anwendung sicher ist
• Die Behauptung, dass ein Penetrationstest jede Schwachstelle findet; er untersucht einen vereinbarten Umfang in einer vereinbarten Zeit
• Anleitungen zur Ausnutzung oder Tests von Systemen, die Ihnen nicht gehören oder für die Sie keine Testerlaubnis haben
• Zertifizierung, Compliance-Freigabe oder ein formales Prüfungsurteil

Wann man es wählt

Wählen Sie Scans, wenn Sie regelmäßig einen breiten Überblick über viele Assets benötigen und einen Prozess haben, um die gemeldeten Punkte zu sichten und zu beheben. Wählen Sie einen Penetrationstest, wenn ein bestimmtes System für das Geschäft wichtig ist, wenn ein Kunde oder Partner Nachweise manueller Tests verlangt, vor einem bedeutenden Launch oder nach größeren Änderungen an Authentifizierung, Zahlungen oder Datenverarbeitung. Viele Organisationen nutzen beides: geplante Scans, um die Hygiene stabil zu halten, und einen regelmäßigen Penetrationstest, um die Systeme mit dem höchsten Risiko zu untersuchen. Wenn Sie Ihre Assets oder Verantwortlichen noch nicht auflisten können, ist ein breiteres Baseline-Review möglicherweise ein sinnvollerer erster Schritt als beides.

Unser Ansatz

Beginnen Sie mit der Entscheidung, die Sie treffen müssen. Wenn ein Kundenfragebogen einen jährlichen Penetrationstest verlangt, wird ein Scanbericht diese Anforderung in der Regel nicht erfüllen. Wenn Sie nur wissen müssen, ob Ihre aus dem Internet erreichbaren Server gepatcht sind, ist ein vollständiger manueller Test womöglich mehr, als Sie brauchen. Bestätigen Sie als Nächstes den Scope: welche Anwendungen, APIs, Umgebungen und Benutzerrollen einbezogen und welche ausdrücklich ausgeschlossen sind. Vereinbaren Sie den Testzeitraum und wer die Arbeiten unterbrechen darf. Unser Service Penetration Testing folgt diesem Muster: Scope, schriftliche Autorisierung, Tests innerhalb der vereinbarten Rules of Engagement, ein schriftlicher Befundbericht mit priorisierten Hinweisen zur Behebung, eine Nachbesprechung und, sofern vereinbart, ein Nachtest ausgewählter Befunde. Unabhängig vom Anbieter sollten Sie vor der Beauftragung einen Beispielbericht anfordern und prüfen, ob er validierte Befunde von informativen Beobachtungen trennt. Planen Sie schließlich Zeit für die Behebung ein. Ein Test, dessen Befunde niemand beheben kann, bringt wenig Nutzen; stimmen Sie den Testtermin daher auf die Kapazität Ihres Teams ab, auf die Ergebnisse zu reagieren.

Penetration Testing

Häufig gestellte Fragen

Verwandte Artikel