--- title: "Pentest oder Schwachstellenscan? Ein fairer Vergleich" url: https://mr-cyber.com/de/pentest-oder-schwachstellenscan language: de-DE description: "Pentest oder Schwachstellenscan: was beide finden, was sie kosten und wann Sie was brauchen. Ein fairer Vergleich mit Festpreisen für beides." --- # Pentest oder Schwachstellenscan? Was beide leisten und wann Sie was brauchen Ein Schwachstellenscan findet bekannte Schwachstellen schnell und günstig, mit automatisierten Werkzeugen. Ein Pentest ist ein manueller Angriff durch einen Pentester: Er findet, was ein Scanner nicht sieht, etwa fehlerhafte Zugriffsrechte, Logikfehler und verkettete Schwachstellen, und zeigt, was ein Angreifer wirklich erreichen kann. Die meisten Unternehmen brauchen beides, in unterschiedlichen Abständen. [Festpreis berechnen](https://mr-cyber.com/de/angebot) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Wir bieten beides an. Reicht ein Scan, sagen wir es Ihnen. ## Im direkten Vergleich. Beides hat seinen Zweck. | Merkmal | Schwachstellenscan | Pentest | | --- | --- | --- | | Vorgehen | Automatisierte Werkzeuge, idealerweise mit manueller Prüfung der Ergebnisse | Ein Pentester greift von Hand an, unterstützt durch Werkzeuge | | Findet | Bekannte Schwachstellen: veraltete Software, fehlende Updates, schwache Einstellungen | Zusätzlich Unbekanntes: Zugriffsrechte, Geschäftslogik, verkettete Schwachstellen | | Fehlalarme | Häufig in der reinen Werkzeugausgabe; eine manuelle Prüfung entfernt sie | Jeder Befund ist geprüft und nachvollziehbar belegt | | Zeigt die echte Auswirkung | Nein: Er listet Schwächen, nicht was ein Angreifer damit erreicht | Ja: welche Daten oder Systeme ein Angreifer erreichen könnte | | Aufwand | Gering, meist schnell erledigt | Mehrere Testtage, je nach Umfang | | Preis bei Mr Cyber | 390 € für bis zu 32 externe IP-Adressen | Externer Pentest ab 1.900 €, andere Tests mit eigenem Festpreis | | Gut geeignet für | Regelmäßige Prüfungen, etwa vierteljährlich, und nach Änderungen | Audits, Kundenanforderungen, vor einem Launch, mindestens jährlich für wichtige Systeme | ## Wann Sie was wählen. ### Ein Scan reicht, wenn … - Sie einen schnellen, günstigen Überblick über Ihre Systeme im Internet möchten - Sie zwischen zwei Pentests regelmäßig prüfen möchten - noch nie jemand Ihre externen Systeme geprüft hat und Sie irgendwo anfangen möchten ### Sie brauchen einen Pentest, wenn … - ein Prüfer, Kunde oder Versicherer ausdrücklich einen Penetrationstest verlangt - Sie eine Anwendung starten oder größere Änderungen ausrollen - Ihre Systeme Anmeldungen, Kundendaten oder Zahlungen verarbeiten - Sie wissen müssen, wie weit ein Angreifer wirklich kommt Üblich ist die Kombination: regelmäßige Scans und mindestens einmal im Jahr ein Pentest der wichtigen Systeme. ## Beides zum Festpreis. - [Schwachstellenanalyse Scan von bis zu 32 externen IP-Adressen mit manueller Prüfung, 390 €. Kein Pentest.](https://mr-cyber.com/de/leistungen/schwachstellenanalyse) - [Externer Pentest Manueller Test Ihrer Systeme im Internet, ab 1.900 €.](https://mr-cyber.com/de/leistungen/externer-penetrationstest) - [Webanwendungs-Pentest Manueller Test Ihrer Webanwendung, ab 2.900 €.](https://mr-cyber.com/de/leistungen/webanwendung-penetrationstest) - [Preise Alle Festpreise im Überblick.](https://mr-cyber.com/de/preise) ## Häufige Fragen zu Pentest und Schwachstellenscan Reicht ein Schwachstellenscan für ISO 27001 oder NIS2? Beide schreiben keine bestimmte Methode vor. Ein Scan zeigt, dass Sie bekannte technische Schwachstellen suchen, und unterstützt damit ISO/IEC 27001 Anhang A 8.8. Um die Wirksamkeit Ihrer Maßnahmen zu belegen, erwarten Prüfer für wichtige Systeme meist einen Penetrationstest. Mehr dazu: [NIS2 & Compliance](https://mr-cyber.com/de/nis2-penetrationstest) und [Pentest ISO 27001](https://mr-cyber.com/de/pentest-iso-27001). Ist ein Pentest nur ein teurerer Scan? Nein. Auch ein Pentester nutzt Werkzeuge, die eigentliche Arbeit ist aber manuell: das System verstehen, Zugriffsrechte und Logik prüfen, Schwachstellen kombinieren. So findet er Fehler, die ein Scanner nicht sieht, zum Beispiel wenn ein Kunde die Rechnungen eines anderen Kunden öffnen kann. Liefern Scans Fehlalarme? Ja. Die reine Werkzeugausgabe enthält oft Treffer, die auf das konkrete System nicht zutreffen. Deshalb gehört zu [unserer Schwachstellenanalyse](https://mr-cyber.com/de/leistungen/schwachstellenanalyse) eine manuelle Prüfung der relevanten Ergebnisse, bei der Fehlalarme entfernt werden. Wie oft sollten wir scannen und wie oft testen? Üblich sind Scans in regelmäßigen Abständen, etwa vierteljährlich, und nach Änderungen, dazu ein Pentest mindestens einmal im Jahr und nach wesentlichen Änderungen. Womit sollten wir anfangen? Hat noch nie jemand Ihre Systeme im Internet geprüft, ist eine Schwachstellenanalyse ein günstiger erster Blick. Verlangt ein Audit oder ein Kunde einen Pentest, ersetzt ein Scan ihn nicht. Unsicher? Im kostenlosen Gespräch (30 Minuten) klären wir das, oder Sie sehen Ihren Festpreis direkt im [Anfrageformular](https://mr-cyber.com/de/angebot). Auch hilfreich: [NIS2 & Compliance](https://mr-cyber.com/de/nis2-penetrationstest) [Pentest ISO 27001](https://mr-cyber.com/de/pentest-iso-27001) [TISAX Pentest](https://mr-cyber.com/de/tisax-pentest) [Pentest Cyberversicherung](https://mr-cyber.com/de/pentest-cyberversicherung)