Pentest oder Schwachstellenscan? Was beide leisten und wann Sie was brauchen

Ein Schwachstellenscan findet bekannte Schwachstellen schnell und günstig, mit automatisierten Werkzeugen. Ein Pentest ist ein manueller Angriff durch einen Pentester: Er findet, was ein Scanner nicht sieht, etwa fehlerhafte Zugriffsrechte, Logikfehler und verkettete Schwachstellen, und zeigt, was ein Angreifer wirklich erreichen kann. Die meisten Unternehmen brauchen beides, in unterschiedlichen Abständen.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Wir bieten beides an. Reicht ein Scan, sagen wir es Ihnen.

Im direkten Vergleich. Beides hat seinen Zweck.

Merkmal	Schwachstellenscan	Pentest
Vorgehen SchwachstellenscanAutomatisierte Werkzeuge, idealerweise mit manueller Prüfung der Ergebnisse PentestEin Pentester greift von Hand an, unterstützt durch Werkzeuge	Automatisierte Werkzeuge, idealerweise mit manueller Prüfung der Ergebnisse	Ein Pentester greift von Hand an, unterstützt durch Werkzeuge
Findet SchwachstellenscanBekannte Schwachstellen: veraltete Software, fehlende Updates, schwache Einstellungen PentestZusätzlich Unbekanntes: Zugriffsrechte, Geschäftslogik, verkettete Schwachstellen	Bekannte Schwachstellen: veraltete Software, fehlende Updates, schwache Einstellungen	Zusätzlich Unbekanntes: Zugriffsrechte, Geschäftslogik, verkettete Schwachstellen
Fehlalarme SchwachstellenscanHäufig in der reinen Werkzeugausgabe; eine manuelle Prüfung entfernt sie PentestJeder Befund ist geprüft und nachvollziehbar belegt	Häufig in der reinen Werkzeugausgabe; eine manuelle Prüfung entfernt sie	Jeder Befund ist geprüft und nachvollziehbar belegt
Zeigt die echte Auswirkung SchwachstellenscanNein: Er listet Schwächen, nicht was ein Angreifer damit erreicht PentestJa: welche Daten oder Systeme ein Angreifer erreichen könnte	Nein: Er listet Schwächen, nicht was ein Angreifer damit erreicht	Ja: welche Daten oder Systeme ein Angreifer erreichen könnte
Aufwand SchwachstellenscanGering, meist schnell erledigt PentestMehrere Testtage, je nach Umfang	Gering, meist schnell erledigt	Mehrere Testtage, je nach Umfang
Preis bei Mr Cyber Schwachstellenscan390 € für bis zu 32 externe IP-Adressen PentestExterner Pentest ab 1.900 €, andere Tests mit eigenem Festpreis	390 € für bis zu 32 externe IP-Adressen	Externer Pentest ab 1.900 €, andere Tests mit eigenem Festpreis
Gut geeignet für SchwachstellenscanRegelmäßige Prüfungen, etwa vierteljährlich, und nach Änderungen PentestAudits, Kundenanforderungen, vor einem Launch, mindestens jährlich für wichtige Systeme	Regelmäßige Prüfungen, etwa vierteljährlich, und nach Änderungen	Audits, Kundenanforderungen, vor einem Launch, mindestens jährlich für wichtige Systeme

Wann Sie was wählen.

Ein Scan reicht, wenn …

Sie einen schnellen, günstigen Überblick über Ihre Systeme im Internet möchten
Sie zwischen zwei Pentests regelmäßig prüfen möchten
noch nie jemand Ihre externen Systeme geprüft hat und Sie irgendwo anfangen möchten

Sie brauchen einen Pentest, wenn …

ein Prüfer, Kunde oder Versicherer ausdrücklich einen Penetrationstest verlangt
Sie eine Anwendung starten oder größere Änderungen ausrollen
Ihre Systeme Anmeldungen, Kundendaten oder Zahlungen verarbeiten
Sie wissen müssen, wie weit ein Angreifer wirklich kommt

Üblich ist die Kombination: regelmäßige Scans und mindestens einmal im Jahr ein Pentest der wichtigen Systeme.

Beides zum Festpreis.

Häufige Fragen zu Pentest und Schwachstellenscan

Reicht ein Schwachstellenscan für ISO 27001 oder NIS2?

Beide schreiben keine bestimmte Methode vor. Ein Scan zeigt, dass Sie bekannte technische Schwachstellen suchen, und unterstützt damit ISO/IEC 27001 Anhang A 8.8. Um die Wirksamkeit Ihrer Maßnahmen zu belegen, erwarten Prüfer für wichtige Systeme meist einen Penetrationstest. Mehr dazu: NIS2 & Compliance und Pentest ISO 27001.

Ist ein Pentest nur ein teurerer Scan?

Nein. Auch ein Pentester nutzt Werkzeuge, die eigentliche Arbeit ist aber manuell: das System verstehen, Zugriffsrechte und Logik prüfen, Schwachstellen kombinieren. So findet er Fehler, die ein Scanner nicht sieht, zum Beispiel wenn ein Kunde die Rechnungen eines anderen Kunden öffnen kann.

Liefern Scans Fehlalarme?

Ja. Die reine Werkzeugausgabe enthält oft Treffer, die auf das konkrete System nicht zutreffen. Deshalb gehört zu unserer Schwachstellenanalyse eine manuelle Prüfung der relevanten Ergebnisse, bei der Fehlalarme entfernt werden.

Wie oft sollten wir scannen und wie oft testen?

Üblich sind Scans in regelmäßigen Abständen, etwa vierteljährlich, und nach Änderungen, dazu ein Pentest mindestens einmal im Jahr und nach wesentlichen Änderungen.

Womit sollten wir anfangen?

Hat noch nie jemand Ihre Systeme im Internet geprüft, ist eine Schwachstellenanalyse ein günstiger erster Blick. Verlangt ein Audit oder ein Kunde einen Pentest, ersetzt ein Scan ihn nicht. Unsicher? Im kostenlosen Gespräch (30 Minuten) klären wir das, oder Sie sehen Ihren Festpreis direkt im Anfrageformular.

Auch hilfreich: NIS2 & Compliance Pentest ISO 27001 TISAX Pentest Pentest Cyberversicherung

Was sollen wir testen?

Wählen Sie aus, um Ihre Anfrage zu starten. Sie erhalten Ihren verbindlichen Festpreis sofort und das schriftliche Angebot (PDF) direkt nach Ihrer Anfrage per E-Mail.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen