Technische Sicherheit · Pentest
Penetrationstest vs. Schwachstellenscan: Unterschied und Einsatz
Lesezeit etwa 6 Minuten · Stand September 2026
Ein Schwachstellenscan ist eine automatisierte, breite Suche nach bekannten Schwachstellen. Ein Penetrationstest ist ein gezielter, manueller Angriff auf ausgewählte Systeme, der die reale Ausnutzbarkeit prüft. Der Scan liefert Masse und Regelmäßigkeit, der Pentest liefert Tiefe und Kontext. Beide ergänzen sich und beide haben ihren festen Platz im Schwachstellenmanagement.
Der Scan findet, was bekannt ist.
Der Pentest zeigt, was ein Angreifer daraus macht.
Was ist der Unterschied zwischen Penetrationstest und Schwachstellenscan?
Der Kernunterschied liegt in Methode und Ziel. Ein Schwachstellenscan arbeitet automatisiert und prüft möglichst viele Systeme gegen eine Datenbank bekannter Schwachstellen. Ein Penetrationstest ist ein manueller, kreativer Angriff durch einen Prüfer, der Schwachstellen tatsächlich ausnutzt und Angriffsketten nachbaut. Der Scan fragt: Was ist verwundbar? Der Pentest fragt: Was ist wirklich angreifbar?
Beide Verfahren sind kein Selbstzweck, sondern liefern Nachweise für ein funktionierendes ISMS. Der Scan schafft Breite und Wiederholbarkeit, der Pentest schafft Gewissheit an den wichtigsten Stellen. Die folgende Tabelle stellt die zentralen Merkmale gegenüber.
| Kriterium | Schwachstellenscan | Penetrationstest |
|---|---|---|
| Methode | automatisiert, werkzeuggestützt | manuell, kreativ durch einen Prüfer |
| Umfang | breit, viele Systeme auf einmal | eng, ausgewählte Zielsysteme |
| Tiefe | Oberfläche, bekannte Schwachstellen | Ausnutzung inklusive Angriffsketten |
| Ergebnis | Liste möglicher Schwachstellen | bestätigte, ausnutzbare Befunde mit Nachweis |
| Fehlalarme | False Positives möglich | manuell verifiziert |
| Frequenz | kontinuierlich bis monatlich | periodisch, meist jährlich |
| Aufwand | gering und wiederholbar | hoch und projekthaft |
Kurz gesagt beantwortet der Scan die Frage nach der Fläche, der Pentest die Frage nach der Tiefe. Wer nur scannt, kennt viele mögliche Löcher, weiß aber nicht, welche davon ein Angreifer wirklich aufbekommt. Wer nur einen Pentest beauftragt, erhält ein scharfes Bild von wenigen Systemen zu einem Zeitpunkt und verliert die laufende Kontrolle über den Rest.
Wie läuft ein Schwachstellenscan ab?
Ein Schwachstellenscan läuft in wiederkehrenden Schritten ab und lässt sich weitgehend automatisieren. Am Anfang steht eine aktuelle Asset-Inventur, denn nur bekannte Systeme lassen sich prüfen. Danach tastet ein Scanner Netze, Server und Anwendungen ab und gleicht die Funde mit Schwachstellendatenbanken wie dem CVE-Katalog ab. Der Scan arbeitet dabei wahlweise authentifiziert oder unauthentifiziert.
Die gefundenen Schwachstellen werden nach Schweregrad priorisiert, üblicherweise mit dem Common Vulnerability Scoring System (CVSS). Anschließend folgen Behebung und ein erneuter Scan zur Wirksamkeitskontrolle. Der Scan ist damit der Dauerläufer im Schwachstellenmanagement nach ISO 27001 und sorgt dafür, dass neue bekannte Lücken früh auffallen.
Für den Innen- und Außenblick lohnen sich beide Perspektiven. Ein Scan von außen zeigt, was ein Angreifer im Internet sieht. Ein authentifizierter Scan von innen deckt zusätzlich fehlende Updates auf Servern und Clients auf.
Wie läuft ein Penetrationstest ab?
Ein Penetrationstest folgt einem festen Ablauf, den ein spezialisierter Prüfer manuell steuert. Zuerst werden Umfang und Regeln festgelegt: Welche Systeme sind Ziel, in welchem Zeitfenster und mit welchen Grenzen. Es folgen Informationsbeschaffung, das Identifizieren von Schwachstellen und deren gezielte Ausnutzung, oft mit dem Versuch, Rechte auszuweiten oder sich seitlich im Netz zu bewegen.
Am Ende steht ein Bericht mit nachvollziehbaren Nachweisen, einer Risikoeinstufung und konkreten Empfehlungen. Je nach Vorwissen unterscheidet man Black-Box, Grey-Box und White-Box. Das BSI beschreibt den Penetrationstest als gezielten, in der Regel simulierten Angriff auf ein Netzwerk oder System (BSI). Genau diese Tiefe liefert kein automatischer Scan.
Scan-Ergebnisse und Pentest-Befunde an einer Stelle?
Ob automatisierter Scan oder manueller Pentest: Am Ende zählt, dass Befunde priorisiert, zugewiesen und nachverfolgt werden. Genau dafür bündelt VANTARIS alle Schwachstellen mit Verantwortlichen und Fristen an einem Ort.
Welche Rolle spielen beide im ISO 27001 Audit?
ISO 27001 verlangt weder namentlich einen Scan noch einen Pentest, fordert aber den Umgang mit technischen Schwachstellen und Sicherheitstests. Annex A 8.8 behandelt das Management technischer Schwachstellen, was regelmäßige Scans zum naheliegenden Nachweis macht. Annex A 8.29 fordert Sicherheitstests in Entwicklung und Abnahme, wofür sich Penetrationstests anbieten (iso.org).
Wer eine Zertifizierung nach ISO 27001 anstrebt, weist mit beiden Verfahren die Wirksamkeit seiner technischen Maßnahmen nach. Im Automotive-Umfeld geht ein TISAX-Assessment auf höherem Prüfniveau wie AL3 in die Tiefe und erwartet belastbare technische Prüfungen, zu denen Penetrationstests gehören können. Die Ergebnisse beider Verfahren fließen zudem in die Risikoanalyse ein und untermauern, welche Maßnahmen wirklich greifen.
Wie oft sind Schwachstellenscan und Penetrationstest nötig?
Feste gesetzliche Intervalle gibt es nicht, deshalb steht hier eine Orientierung statt einer Scheingenauigkeit. Ein Schwachstellenscan sollte kontinuierlich bis monatlich laufen und zusätzlich nach jeder wesentlichen Änderung an Systemen oder Anwendungen. So bleibt das Bild der bekannten Schwachstellen aktuell.
Ein Penetrationstest ist in der Praxis einmal jährlich verbreitet, ergänzt um anlassbezogene Tests nach größeren Umbauten der Architektur, neuen exponierten Anwendungen oder nach schweren Vorfällen. Diese Werte sind Erfahrungsspannen, kein Gesetz. Der richtige Rhythmus richtet sich immer nach dem Risiko der geprüften Systeme.
Sinnvoll ist ein risikoorientierter Plan: Systeme mit hohem Schutzbedarf oder direkter Exposition im Internet werden häufiger und tiefer geprüft als interne Systeme mit geringem Risiko. Ein starres Intervall für alle Systeme ist selten wirtschaftlich und selten wirksam.
Penetrationstest oder Schwachstellenscan: Was braucht mein Unternehmen?
In den meisten Fällen lautet die Antwort: beides, aber in unterschiedlicher Taktung. Der kontinuierliche Scan ist das Fundament, weil er günstig, wiederholbar und breit ist. Der periodische Pentest liefert die Tiefe dort, wo es teuer wird, etwa bei exponierten Webanwendungen oder besonders schützenswerten Systemen.
Entscheidend ist, dass die Befunde nicht in getrennten Berichten versanden. In VANTARIS fließen Scan-Ergebnisse und Pentest-Befunde zusammen, werden mit Verantwortlichen und Fristen versehen und lückenlos nachverfolgt. So wird aus einer Liste eine gesteuerte Behebung, die auch im Audit überzeugt.
Einen Penetrationstest planen?
Wir prüfen Ihre exponierten Systeme mit einem klar abgegrenzten Penetrationstest und liefern einen Bericht, der priorisiert statt nur auflistet. Die Befunde fließen direkt in Ihr Schwachstellenmanagement.
Häufige Fragen zu Penetrationstest und Schwachstellenscan
Was ist der Hauptunterschied zwischen Penetrationstest und Schwachstellenscan?
Der Schwachstellenscan sucht automatisiert und breit nach bekannten Schwachstellen. Der Penetrationstest nutzt Schwachstellen manuell aus und prüft, wie weit ein Angreifer real käme. Der Scan liefert eine Liste, der Pentest einen bestätigten Nachweis mit Kontext und Angriffskette.
Ersetzt ein Penetrationstest den Schwachstellenscan?
Nein. Beide haben verschiedene Aufgaben. Der Scan sorgt für die regelmäßige, breite Abdeckung und findet neue bekannte Schwachstellen früh. Der Pentest liefert die Tiefe an kritischen Punkten. Ein Pentest einmal im Jahr ersetzt keinen laufenden Scan und umgekehrt.
Wie oft sollte ein Penetrationstest durchgeführt werden?
Eine feste gesetzliche Vorgabe gibt es nicht. In der Praxis ist ein Penetrationstest einmal jährlich verbreitet, zusätzlich nach größeren Änderungen an Architektur oder exponierten Anwendungen und nach schweren Vorfällen. Der sinnvolle Rhythmus richtet sich nach dem Risiko der geprüften Systeme.
Verlangt ISO 27001 einen Penetrationstest?
Die Norm nennt keinen Pentest ausdrücklich. Annex A 8.8 fordert den Umgang mit technischen Schwachstellen und A.8.29 Sicherheitstests. Regelmäßige Scans und anlassbezogene Penetrationstests sind der übliche Weg, diese Anforderungen im Audit nachvollziehbar nachzuweisen.
Braucht man für TISAX einen Penetrationstest?
Nicht zwingend als eigener Pflichtpunkt. Auf höherem Prüfniveau wie AL3 erwartet ein TISAX-Assessment jedoch belastbare technische Prüfungen. Penetrationstests sind dann ein anerkanntes Mittel, um die Wirksamkeit technischer Maßnahmen für den Prüfer nachvollziehbar zu belegen.
Was kostet ein Penetrationstest?
Das hängt von Umfang, Zielsystemen und Prüftiefe ab, deshalb steht hier keine Fantasiezahl. Ein enger, klar abgegrenzter Test kostet deutlich weniger als eine breite Prüfung mehrerer Anwendungen. Nach einer Einordnung des Scopes lässt sich der Aufwand transparent benennen.
Fakten und Quellen auf einen Blick
| Fakt | Beleg |
|---|---|
| Technische Schwachstellen managen | ISO/IEC 27001:2022, Annex A 8.8 (iso.org) |
| Sicherheitstests durchführen | ISO/IEC 27001:2022, Annex A 8.29 |
| Schweregrad-Bewertung von Schwachstellen | CVSS (FIRST) |
| Penetrationstest = gezielter simulierter Angriff | BSI |
| Technische Prüfungen im TISAX-Umfeld (AL3) | VDA ISA (ENX) |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.