Thomas.will: Die Seite wurde neu angelegt: „= Security Scanner und Penetrationstest = *Beide Verfahren suchen Schwachstellen. Sie beantworten aber unterschiedliche Fragen und ersetzen einander nicht. =…“

2026-09-06T13:18:00Z

Die Seite wurde neu angelegt: „= Security Scanner und Penetrationstest = *Beide Verfahren suchen Schwachstellen. Sie beantworten aber unterschiedliche Fragen und ersetzen einander nicht. =…“

Neue Seite

= Security Scanner und Penetrationstest =

*Beide Verfahren suchen Schwachstellen. Sie beantworten aber unterschiedliche Fragen und ersetzen einander nicht.

== Was der Scanner beantwortet ==
{{#drawio:scanner-pentest-01}}
*Der Scanner ermittelt, welches Produkt in welcher Version hinter einem offenen Port läuft, und schlägt in seiner Datenbank nach, ob dazu Schwachstellen bekannt sind.
*Seine Aussage lautet: hier '''könnte''' etwas sein.
*Ob die Schwachstelle in dieser konkreten Umgebung tatsächlich ausnutzbar ist, prüft er nicht.
*Daraus entstehen Falschmeldungen (''False Positives''): gemeldete Schwachstellen, die im vorliegenden Aufbau ins Leere laufen.
*Ebenso entstehen Lücken in der Erkennung (''False Negatives''): der Scanner findet nur, was in seiner Datenbank steht.

== Was der Penetrationstest beantwortet ==
{{#drawio:scanner-pentest-02}}
*Beim Penetrationstest wird die Schwachstelle tatsächlich ausgenutzt.
*Die Aussage lautet: hier '''ist''' etwas, und ich bin hineingekommen — mit Nachweis.
*Geprüft wird nicht nur die einzelne Lücke, sondern auch die Verkettung mehrerer für sich harmloser Schwächen.
*Gefunden werden dabei auch Fehler, die in keiner Datenbank stehen: Logikfehler in der Anwendung, fehlerhafte Berechtigungsprüfungen, unsaubere Abläufe im Geschäftsprozess.

== Gegenüberstellung ==
{| class="wikitable"
! !! Security Scanner !! Penetrationstest
|-
| Frage || Ist etwas bekannt Verwundbares vorhanden? || Lässt es sich ausnutzen?
|-
| Ablauf || automatisiert || überwiegend manuell
|-
| Umfang || flächendeckend, alle Systeme || punktuell, ausgewählte Ziele
|-
| Häufigkeit || regelmäßig, z. B. wöchentlich || einmalig oder jährlich
|-
| Grundlage || Datenbank bekannter Schwachstellen || Kenntnis und Erfahrung des Testers
|-
| Ergebnis || lange Liste mit Bewertung || wenige belegte Befunde mit Nachweis
|-
| Fehlerarten || Falschmeldungen und Erkennungslücken || abhängig vom Können des Testers
|-
| Aufwand || gering, nach Einrichtung fast keiner || hoch, Personentage
|-
| Findet Logikfehler || nein || ja
|-
| Beauftragung || auf eigenen Systemen nicht erforderlich || schriftliche Beauftragung zwingend
|}

== Rechtliche Einordnung ==
*Ein Penetrationstest ohne schriftliche Beauftragung des Systembetreibers ist strafbar.
*Die Beauftragung legt fest: Ziele, Zeitraum, erlaubte Verfahren, Ansprechpartner und das Vorgehen bei einem gefundenen kritischen Befund.
*Bei fremdgehosteten Systemen ist zusätzlich die Zustimmung des Betreibers erforderlich.
*Auch ein Scan gegen fremde Systeme ist ohne Erlaubnis nicht zulässig.

== Zusammenspiel in der Praxis ==
*Der Scanner läuft dauerhaft und hält den Grundzustand sauber: fehlende Patches, veraltete Dienste, unsichere Konfigurationen.
*Der Penetrationstest prüft in größeren Abständen, ob die verbliebenen Schwächen zusammen einen Weg ins System ergeben.
*Ein Penetrationstest auf einem System, das nie gescannt wurde, verbringt seine Zeit mit dem Auflisten fehlender Patches — dafür ist er zu teuer.
*Werkzeuge lassen sich nicht eindeutig zuordnen: OWASP ZAP ist im automatischen Scan ein Scanner, im Proxy-Betrieb mit manuellem Nachfassen ein Werkzeug für den Penetrationstest.

== Kernaussage ==
*Der Scanner prüft Bekanntes flächendeckend.
*Der Penetrationstest prüft die Ausnutzbarkeit punktuell.
*Keines der beiden Verfahren ersetzt das andere.

Abgrenzung zum Penetration Test - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „= Security Scanner und Penetrationstest = *Beide Verfahren suchen Schwachstellen. Sie beantworten aber unterschiedliche Fragen und ersetzen einander nicht. =…“