Schwachstellenscan, Schwachstellenmanagement, Pentest und IT-Sicherheitsaudit werden ständig verwechselt. Hier steht, was dahintersteckt, was es kostet und was du in deiner Situation tatsächlich brauchst.
„Wir brauchen einen Pentest.“ Dieser Satz fällt selten freiwillig. Meist steht ein Auslöser dahinter: die Cyberversicherung stellt Fragen, ein Großkunde schickt einen Sicherheitsfragebogen, ISO 27001 wird zum Thema oder die Geschäftsführung liest zum ersten Mal von NIS2. Danach läuft es fast immer gleich ab: Angebot einholen, vierstellige Summe zahlen, Bericht ablegen. Ein Jahr später ist die IT so angreifbar wie vorher.
Der Grund ist ein Missverständnis, das quer durch den Mittelstand geht. Ein Penetrationstest ist eine Momentaufnahme: Menschen greifen deine Systeme an einem Stichtag gezielt an. Schwachstellenmanagement ist dagegen ein Prozess: Systeme werden fortlaufend geprüft, Funde bewertet, priorisiert, behoben und nachkontrolliert. Beides hat seine Berechtigung – aber das eine ersetzt das andere nicht.
Die Zahlen rechts zeigen, warum die Momentaufnahme allein zu wenig ist. Neue Schwachstellen werden im Schnitt binnen weniger Tage ausgenutzt, während Unternehmen Wochen brauchen, um sie zu schließen. In genau diesem Fenster passieren die meisten Angriffe. Auch Ransomware-Angriffe auf KMU starten fast nie mit einer unbekannten Lücke, sondern mit einer bekannten, die niemand geschlossen hat.
Dieser Ratgeber trennt die Begriffe, stellt beide Ansätze gegenüber, erklärt das IT-Sicherheitsaudit, nennt realistische Kosten und gibt dir eine Entscheidungshilfe. Stehst du noch weiter vorne, ist unser Überblick zur Cybersicherheit für KMU der bessere Einstieg.
78
Neue Softwareschwachstellen – pro Tag
BSI-Lagebericht 2024
5 Tage
Durchschnitt von der Veröffentlichung bis zur ersten Ausnutzung
Mandiant, Time-to-Exploit-Analyse
55 Tage
Median, bis die Hälfte der kritischen Lücken geschlossen ist
Verizon DBIR 2024
1.200+
Schwachstellen im KEV-Katalog – nachweislich aktiv ausgenutzt
CISA Known Exploited Vulnerabilities
Die Begriffe werden im Vertriebsgespräch gerne synonym verwendet. Tatsächlich beschreiben sie unterschiedliche Reifegrade – und unterschiedliche Rechnungen.
Ein Werkzeug prüft deine Systeme automatisiert gegen Datenbanken bekannter Schwachstellen und meldet, welche Software angreifbar ist. Kein Angriff, nur ein Abgleich.
Die Datengrundlage, nicht die Lösung
Der Prozess um den Scan herum: erfassen, bewerten, priorisieren, beheben, nachprüfen – dauerhaft. Erst hier wird aus einem Fund eine geschlossene Lücke.
Das Fundament, ohne das alles andere verpufft
Menschen greifen deine Systeme kontrolliert an. Sie verketten kleine Schwächen zu einem echten Angriffsweg und finden Logikfehler, die kein Scanner erkennt.
Die Kür – sinnvoll, wenn die Basis sitzt
Die ehrliche Antwort lautet in den meisten Fällen: erst das eine, dann das andere. Wer nur einmal im Jahr testen lässt und dazwischen nichts patcht, hat Geld ausgegeben und bleibt angreifbar.
| Kriterium | Penetrationstest | Schwachstellenmanagement |
|---|---|---|
| Frequenz | Punktuell, meist einmal im Jahr | Fortlaufend, Scan-Zyklen von Tagen bis Wochen |
| Methode | Manuell, kreativ, angreiferorientiert | Automatisiert, abgleichend, prozessorientiert |
| Tiefe | Sehr hoch, aber auf den vereinbarten Scope begrenzt | Breit über alle erfassten Systeme, dafür weniger tief |
| Aufwand für dein Team | Hoch in der Vorbereitung, danach kaum | Gering pro Zyklus, dafür dauerhaft |
| Kosten | Einmalig, vier- bis fünfstellig je nach Umfang | Monatlich pro Gerät, planbar |
| Ergebnis | Bericht mit nachvollziehbaren Angriffsketten | Trendbericht: Wie viele Lücken sind offen, wie alt sind sie |
| Wann sinnvoll | Eigene Software, Kundenportal, hohe Schutzbedarfe, Reifegrad-Nachweis | Immer – für jedes Unternehmen mit mehr als einer Handvoll Geräten |
Merksatz für die Geschäftsführung: Der Pentest beantwortet die Frage „Wie weit käme ein Angreifer heute?“. Das Schwachstellenmanagement beantwortet die Frage „Wie viele offene Türen haben wir gerade – und seit wann?“. Für Nachweise gegenüber Versicherern, Auditoren und im Rahmen der NIS2-Betroffenheit zählt fast immer die zweite Frage.
Ein IT-Sicherheitsaudit ist keine dritte Scan-Technik, sondern die Ebene darüber. Es prüft nicht nur, ob Systeme aktuell sind, sondern ob dein Unternehmen organisatorisch in der Lage ist, sie aktuell zu halten.
Technik und Organisation: Patchstand, Backups, Berechtigungen, Netzwerktrennung, Notfallpläne, Verantwortlichkeiten und Dokumentation.
Scope-Gespräch, strukturierter Prüfkatalog vor Ort oder online, technische Erhebung, Auswertung – typisch ein halber bis ganzer Tag Präsenzaufwand.
Ein Bericht mit Risikomatrix und priorisiertem Maßnahmenkatalog. Kein Gefühl, sondern eine Reihenfolge, die du abarbeiten kannst.
Der praktische Unterschied zum Pentest: Ein Audit deckt auch die Lücken auf, die kein Angriffswerkzeug findet – das nie getestete Backup, den Administrator-Zugang eines längst ausgeschiedenen Mitarbeiters, den Notfallplan, den niemand je geübt hat. Genau diese Punkte tauchen später in Schadensfällen auf.
Bei uns gibt es das in zwei Ausprägungen: Die IT-Auditierung nach BSI-Systematik arbeitet einen strukturierten Prüfkatalog ab und ist der schnellste Weg zu einem belastbaren Nachweis. Die Infrastrukturanalyse geht technisch tiefer und liefert einen ausführlichen Bericht mit Risikobewertungsmatrix – sinnvoll, wenn du eine gewachsene Umgebung erstmals wirklich durchleuchten willst.
So sieht ein Schwachstellenmanagement aus, das nicht bei der Liste stehen bleibt. Die Zeitangaben beziehen sich auf ein mittelständisches Unternehmen mit einem Standort.
Was du nicht kennst, kannst du nicht prüfen. Server, Notebooks, Firewall, NAS, Drucker, Fernzugänge und Cloud-Dienste werden erfasst und einem Verantwortlichen zugeordnet.
Die Systeme werden von außen und von innen gegen aktuelle Schwachstellendatenbanken geprüft. Der erste Lauf liefert die Basis, gegen die künftig gemessen wird.
Nicht jede Meldung ist ein Risiko. Bewertet wird nach Ausnutzbarkeit, Erreichbarkeit und Bedeutung des Systems. So entsteht eine Reihenfolge statt einer Liste.
Patches einspielen, Konfigurationen korrigieren, ungenutzte Dienste abschalten. Was betrieblich nicht behebbar ist, wird bewusst als Restrisiko dokumentiert.
Der nächste Scan zeigt, ob die Maßnahme gewirkt hat. Ein Trendbericht macht Fortschritt sichtbar – und ist der Nachweis, den Versicherer und Auditoren sehen wollen.
Ein Penetrationstest wird nach Aufwand kalkuliert, nicht nach Unternehmensgröße. Entscheidend ist der Scope: wie viele Systeme und Anwendungen, von außen oder auch von innen, mit oder ohne Social-Engineering-Anteil. Für einen eng abgegrenzten externen Test liegen Angebote typischerweise im mittleren vierstelligen Bereich. Kommen interne Netze, Verzeichnisdienste oder mehrere Standorte dazu, wird daraus schnell ein fünfstelliger Betrag.
Ein IT-Sicherheitsaudit liegt darunter, weil es mit einem strukturierten Prüfkatalog arbeitet statt mit freier Angriffsforschung. Für ein mittelständisches Unternehmen ist der untere vierstellige Bereich realistisch – meist der günstigste Weg zu einem Nachweis, der Versicherern und Großkunden reicht.
Laufendes Schwachstellenmanagement wird pro Gerät und Monat abgerechnet und liegt im einstelligen Eurobereich je Asset. Es ist der mit Abstand günstigste Posten – und der einzige, der dauerhaft wirkt. Wer sein Budget nur einmal ausgeben kann, gibt es besser hier aus als für einen jährlichen Test.
Orientierungswerte für ein mittelständisches Unternehmen mit einem Standort. Tatsächliche Preise hängen vom Scope ab und variieren zwischen Anbietern erheblich.
Fast jede Anfrage nach einer Schwachstellenanalyse hat einen konkreten Auslöser. Der Auslöser bestimmt, welches Werkzeug wirklich passt.
Versicherer wollen selten einen Pentest sehen. Sie fragen nach Patchstand, Backups, Mehrfaktor-Anmeldung und Endpoint-Schutz – nach einem gelebten Prozess.
Schwachstellenmanagement plus aktueller Auditbericht
Die Norm verlangt in Anhang A.8.8 ausdrücklich das Management technischer Schwachstellen. Gefordert ist ein nachweisbarer Regelkreis, nicht ein einzelner Test.
Dokumentiertes Schwachstellenmanagement mit Nachweisen
NIS2 fordert Risikomanagement und den geordneten Umgang mit Schwachstellen. Entscheidend ist, dass du die Maßnahmen belegen kannst – gegenüber Behörde und Geschäftsführung.
Prozess aufsetzen, Nachweise revisionsfest ablegen
Die meisten Lieferantenfragebögen zielen auf Organisation und Grundschutz. Ein aktueller Auditbericht beantwortet den Großteil der Fragen belastbar.
IT-Sicherheitsaudit als Antwortgrundlage
Nach einem Angriff ist ein Pentest die falsche erste Maßnahme. Erst muss sicher sein, dass niemand mehr im Netz ist und dass die Einfallstür geschlossen wurde.
Aufräumen, dann Prozess, Pentest zuletzt
Hier ist der Pentest tatsächlich das richtige Werkzeug: Geschäftslogik, Rechteprüfung und Schnittstellen erkennt kein automatisierter Scan.
Penetrationstest – zusätzlich, nicht statt Prozess
Diese Muster sehen wir regelmäßig, wenn wir bei neuen Kunden mit der Infrastrukturanalyse starten. Keines davon ist teuer zu beheben – aber jedes einzelne macht die vorherige Investition wertlos.
Der Bericht wird erstellt, überflogen und abgelegt. Beim nächsten Lauf stehen dieselben Funde drin – nur älter. Der Scan war dann reine Beruhigung.
Jeder Fund bekommt einen Verantwortlichen und eine Frist. Ohne Zuständigkeit passiert nichts.
Geprüft werden die Server – nicht aber Notebooks, NAS, Drucker, Netzwerkkomponenten oder Fernzugänge. Angreifer nutzen genau das, was niemand auf der Liste hatte.
Erst ein vollständiges Asset-Inventar, dann den Prüfumfang festlegen.
Ein Jahresscan sagt dir, wie sicher du an einem einzigen Tag warst. In den 364 Tagen dazwischen kommen neue Lücken dazu, ohne dass sich an deiner IT etwas ändert.
Monatlicher Scan-Rhythmus mit Trendbericht statt einmaliger Momentaufnahme.
Ein ungefilterter Scanreport listet schnell Hunderte Funde. Ohne Priorisierung resigniert das Team – und die drei wirklich gefährlichen Lücken gehen im Rauschen unter.
Nach tatsächlicher Ausnutzbarkeit und Exponiertheit priorisieren, nicht nur nach CVSS-Score.
Wer Spezialisten dafür bezahlt, fehlende Standard-Updates zu finden, kauft teuer wenig Erkenntnis. Der Bericht liest sich dann wie ein Scanreport.
Erst Patchstand, Berechtigungen und Netzsegmentierung in Ordnung bringen – dann testen lassen.
Als IT-Dienstleister aus Kaarst bei Düsseldorf begleiten wir Unternehmen aus Handel, Produktion, Kanzleien und Praxen durch genau diese Entscheidung. Das häufigste Bild: Es liegt bereits ein Testbericht in der Schublade – ein bis zwei Jahre alt, mit klaren Handlungsempfehlungen, von denen keine umgesetzt wurde.
Das zweithäufigste Bild ist ein zu enger Prüfumfang. Geprüft wurden die Server, weil sie im Vertrag standen. Das ungepatchte NAS im Lager, der Fernzugang eines Wartungsdienstleisters und die veraltete Firewall-Firmware standen nie auf der Liste. Deshalb beginnt bei uns jede Schwachstellenanalyse mit dem Inventar – und nicht mit dem Scan.
Mehr über Shoobridge erfahrenEin Schwachstellenscan gleicht deine Systeme automatisiert gegen Datenbanken bekannter Lücken ab und liefert eine Liste. Ein Penetrationstest ist ein kontrollierter Angriff durch Menschen, die mehrere kleine Schwächen zu einem echten Angriffsweg verketten. Der Scan zeigt, was offen ist – der Pentest zeigt, wie weit jemand damit kommt.
Üblich ist ein Turnus von zwölf Monaten, zusätzlich nach größeren Änderungen wie einem neuen Kundenportal oder einer Cloud-Migration. Wichtiger als die Frequenz ist, dass zwischen den Tests ein fortlaufender Prozess läuft – sonst prüfst du jedes Jahr denselben Zustand.
Für einen eng abgegrenzten externen Scope liegen Angebote meist im mittleren vierstelligen Bereich. Sobald interne Netze, Verzeichnisdienste oder mehrere Standorte dazukommen, wird es fünfstellig. Laufendes Schwachstellenmanagement kostet dagegen einen einstelligen Eurobetrag pro Gerät und Monat und lässt sich in Managed IT Services einbetten.
Nein. Die Norm fordert in Anhang A.8.8 das Management technischer Schwachstellen – also einen nachweisbaren Prozess aus Erfassen, Bewerten, Beheben und Prüfen. Ein Pentest kann Teil des Nachweises sein, ersetzt den Prozess aber nicht. Auditoren fragen zuerst nach der Systematik, nicht nach dem Testbericht.
In vielen Fällen ja. Versicherer prüfen vor allem Grundschutzmaßnahmen: Patchstand, Backups, Mehrfaktor-Anmeldung, Endpoint-Schutz und Notfallplanung. Ein strukturiertes IT-Sicherheitsaudit liefert genau diese Nachweise in einer Form, die Versicherer akzeptieren.
Zuerst wird der Umfang geklärt, dann arbeitet ein Auditor einen strukturierten Prüfkatalog vor Ort oder online mit dir durch und erhebt die technischen Daten. Der Präsenzteil dauert meist einen halben bis ganzen Tag, der Bericht folgt innerhalb weniger Arbeitstage – mit Risikomatrix und Maßnahmenkatalog.
Ja. Der Cloud-Anbieter sichert seine Plattform, nicht deine Konfiguration, deine Berechtigungen und schon gar nicht deine Endgeräte. Notebooks, Browser und lokal installierte Software bleiben dein Risiko – und genau dort setzt Endpoint Security gemeinsam mit dem Schwachstellenmanagement an.
Wir schauen uns deine Ausgangslage an und sagen dir ehrlich, welche Prüfung in deiner Situation etwas bringt – und welche du dir sparen kannst.
