Pentest vs. Schwachstellenscan: Was sollten Sie wählen?

"Sollen wir einen Pentest oder einen Scan machen?", die Frage kommt in jeder Sicherheitsbesprechung auf. Die Antwort ist nicht das eine oder das andere, sondern die richtige Kombination zum richtigen Zeitpunkt. Zu viele Organisationen beauftragen einen jährlichen Pentest für 15 000 € und denken, ihre Sicherheit sei abgedeckt. Das ist sie nicht. Aber automatisiertes Scanning allein reicht auch nicht.

Der Pentest: Der simulierte Angreifer

Ein Penetrationstest wird von einem oder mehreren menschlichen Pentestern durchgeführt, die einen realen Angriff auf Ihr System simulieren. Sie verwenden die gleichen Tools und Techniken wie tatsächliche Angreifer.

Was der Pentest liefert

• Menschliche Kreativität: Der Pentester verkettet kleinere Schwachstellen zu einem großen Impact. Eine CORS-Fehlkonfiguration + gespeichertes XSS + ein Cookie ohne HttpOnly-Flag = Admin-Session-Exfiltration. Ein Scanner macht diese Verkettung nicht.

• Geschäftskontext: Der Tester versteht, dass der Zugang zu Patientendaten kritischer ist als der Zugang zur "Über uns"-Seite. Er priorisiert nach realem Impact.

• Ausnutzungsnachweis: Nicht nur "diese Schwachstelle existiert", sondern "so nutzt ein Angreifer sie konkret aus". Das verändert das Gespräch mit der Geschäftsleitung.

• Logiktests: Horizontale Rechteeskalation (auf Daten anderer Benutzer zugreifen), Umgehung von Geschäftsprozessen. Kein Scanner testet das.

Grenzen des Pentests

• Hohe Kosten: 5 000 bis 30 000 € je nach Umfang (einfache Webanwendung vs. komplette Infrastruktur). Ein Red-Team-Pentest kann 50 000 bis 100 000 € erreichen.

• Punktuell: Eine Momentaufnahme. Am Tag nach dem Pentest kann ein Deployment eine neue Schwachstelle einführen.

• Begrenzte Abdeckung: In 5 Tagen testet der Pentester nicht 100 % Ihrer Oberfläche. Er konzentriert sich auf die vielversprechendsten Vektoren.

• Tester-Abhängigkeit: Die Qualität variiert enorm zwischen Anbietern. Ein mittelmäßiger Pentest gibt ein falsches Sicherheitsgefühl.

• Häufigkeit: Die meisten Organisationen machen einen Pentest pro Jahr. 365 Tage ohne Sichtbarkeit zwischen den Tests.

Schwachstellenscan: Das kontinuierliche Sicherheitsnetz

Schwachstellenscanning ist ein automatisierter Prozess, der bekannte Schwachstellen auf Ihren Systemen identifiziert, indem er sie mit CVE-Datenbanken (NVD, VulnDB) vergleicht.

Was das Scanning liefert

• Vollständigkeit: Der Scanner prüft jeden Port, jeden Dienst, jede Paketversion. Wo der Pentester sich fokussiert, fegt der Scanner alles ab.

• Häufigkeit: Täglich oder wöchentlich. Sie erkennen eine neue CVE auf Ihrem Apache-Stack innerhalb von 24 Stunden nach Veröffentlichung, nicht 11 Monate später beim nächsten Pentest.

• Geringe Grenzkosten: Einmal konfiguriert, kosten zusätzliche Scans nichts. 10 Server oder 1 000 zu scannen erfordert den gleichen menschlichen Aufwand.

• Standardisiertes Scoring: CVSS für die technische Schwere, EPSS für die reale Ausnutzungswahrscheinlichkeit. EPSS ist unverzichtbar geworden: Eine CVE mit CVSS 9.8 aber EPSS 0,1 % ist weniger dringend als eine CVE mit CVSS 7.5 und EPSS 85 %.

• Historie und Trends: Nachverfolgung der Schwachstellenschuld über die Zeit, MTTR-Metriken (Mean Time To Remediate).

Grenzen des Scannings

• Keine Kreativität: Scanning identifiziert einzelne Schwachstellen, keine Ausnutzungsketten. Es testet keine Geschäftslogik.

• Fehlalarme: Scanner erzeugen 20-30 % Fehlalarme je nach Umgebung. Ohne intelligente Priorisierung ist es Rauschen.

• Nur bekannte Schwachstellen: Wenn die CVE nicht in der Datenbank ist, findet der Scanner sie nicht. Zero-Days, individuelle Fehlkonfigurationen, Logikfehler: unsichtbar.

• Kein Impact-Kontext: Eine Schwachstelle auf einem internen Entwicklungsserver hat nicht den gleichen Impact wie eine identische Schwachstelle auf einem internetexponierten Produktionsserver.

CVSS vs. EPSS: Paradigmenwechsel

CVSS (Common Vulnerability Scoring System) bewertet die technische Schwere einer Schwachstelle. EPSS (Exploit Prediction Scoring System) bewertet die Wahrscheinlichkeit, dass sie in den nächsten 30 Tagen ausgenutzt wird.

Im Jahr 2026 ist die Priorisierung nur nach CVSS veraltet. Konkretes Beispiel:

• CVE-2024-XXXX: CVSS 9.8 (kritisch), EPSS 0,04 % - kein bekannter Exploit, hohe Ausnutzungskomplexität. Niedrige Priorität.

• CVE-2024-YYYY: CVSS 7.2 (hoch), EPSS 92 % - öffentlicher Exploit, aktiv in freier Wildbahn ausgenutzt. Sofortige Priorität.

ThreatClaw kombiniert CVSS und EPSS zur Priorisierung der Abhilfe. Sie beheben zuerst, was Angreifer tatsächlich ausnutzen, nicht was den höchsten theoretischen Score hat.

Wann was wählen?

Hier mein Entscheidungsleitfaden:

• Kontinuierliches Scanning (obligatorisch): Für jede Organisation, unabhängig von der Größe. Es ist Ihr permanentes Sicherheitsnetz. Keine Ausrede 2026 dafür, seine Infrastruktur nicht mindestens wöchentlich zu scannen.

• Jährlicher Pentest (empfohlen): Für Organisationen mit Webanwendungen, APIs oder komplexen Umgebungen. Der Pentest validiert, was das Scanning nicht testen kann.

• Halbjährlicher Pentest: In regulierten Branchen (Finanzen, Gesundheitswesen) oder bei häufig wechselnder Angriffsfläche (Continuous Deployment).

• Red Team: Bei ausreichendem Reifegrad (operatives SOC, Erkennung vorhanden). Red Team testet Erkennung und Reaktion, nicht nur Schwachstellen. Sinnlos, wenn Ihr Monitoring nicht existiert.

ThreatClaw für kontinuierliches Scanning

ThreatClaws Skills decken kontinuierliches Scanning aus allen Blickwinkeln ab:

• Nmap: Asset-Discovery und Port-Scanning mit NSE-Schwachstellenerkennungsskripten

• Trivy/Grype: Scanning von Docker-Images, Anwendungsabhängigkeiten und Dateisystemen

• OWASP ZAP: DAST-Scanning exponierter Webanwendungen

• Nuclei: 8 000+ Community-Templates für Web- und Infrastruktur-Schwachstellenerkennung

• Lynis: Linux-Härtungsaudit mit Scoring

Jeder Fund wird bewertet (CVSS + EPSS), kontextualisiert (Produktion vs. Entwicklung, exponiert vs. intern) und priorisiert. Das Ergebnis: Ein Strom bearbeitbarer Schwachstellen, kein 500-seitiger Bericht, den man druckt und weglegt. Starten Sie das kontinuierliche Scanning.

Das optimale kombinierte Modell

Für ein KMU/mittelständisches Unternehmen die effektivste Kombination:

• Kontinuierlich: ThreatClaw für Schwachstellenscanning (Infrastruktur + Web + Container), automatisiert, täglich

• Jährlich: Anwendungs-Pentest durch einen externen Anbieter (Fokus Geschäftslogik, Ausnutzungsketten)

• Bei jedem größeren Wechsel: Gezielter Scan nach einem wichtigen Deployment, einer Cloud-Migration, einer Architekturänderung

Das kontinuierliche Auditing füllt die Lücke zwischen Pentests. Der Pentest validiert, was die Automatisierung nicht testen kann. Beide verstärken sich gegenseitig.

FAQ

Kann ein Schwachstellenscan einen Pentest ersetzen?

Nein. Ein Scan identifiziert einzelne bekannte Schwachstellen. Ein Pentest testet die reale Ausnutzung, Angriffsketten und Geschäftslogik. Ein Scan kann finden, dass Apache eine verwundbare Version hat. Nur ein Pentester wird entdecken, dass diese Schwachstelle kombiniert mit einer Netzwerk-Fehlkonfiguration den Zugang zur Produktionsdatenbank ermöglicht. Beides ist notwendig.

Welches Budget für einen Pentest einplanen?

Übliche Spannen (2026): Einfache Webanwendung (5 000-12 000 USD), komplexe Web-App + API (12 000-25 000 USD), Netzwerk-Infrastruktur (10 000-30 000 USD), vollständiges Red Team (35 000-120 000 USD). Seien Sie vorsichtig bei Angeboten unter 3 000 USD: Zu diesem Preis erhalten Sie einen automatisierten Scan, der als Pentest verkleidet ist.

Wie oft sollte ich meine Schwachstellen scannen?

Mindestens wöchentlich für die Infrastruktur, bei jedem Build/Deployment für Anwendungen. Internetexponierte Umgebungen verdienen einen täglichen Scan. Mit ThreatClaw ist die Häufigkeit pro Skill und Bereich konfigurierbar, ohne volumenabhängige Mehrkosten.

Ist EPSS zuverlässiger als CVSS?

Es sind zwei komplementäre Metriken, die Verschiedenes messen. CVSS misst die intrinsische technische Schwere. EPSS misst die Ausnutzungswahrscheinlichkeit innerhalb von 30 Tagen. Für die Patch-Priorisierung ist EPSS handlungsfähiger, da es das reale Risiko widerspiegelt. Für das Compliance-Reporting bleibt CVSS der Standard. Verwenden Sie beide zusammen.