Scan oder Penetrationstest

Scan oder Penetrationstest: was jeder wirklich zeigt.

Ein automatischer externer Scan listet auf, was sichtbar und bekannt ist: im Internet exponierte Dienste, veraltete Versionen, bereits geleakte Zugangsdaten. Ein Penetrationstest geht weiter: Eine Person versucht tatsächlich einzudringen und zeigt Ihnen, wie weit sie kommt. Der Scan sagt: «Diese Tür wirkt schwach.» Der Test sagt: «Hier bin ich hereingekommen, das ist der Nachweis.» Ein Scan ersetzt also keinen Test, reicht aber oft für den Anfang.

Drei Dinge, die «Scan» heißen und nicht dasselbe sind

Das Wort steht für drei sehr unterschiedliche Dinge. Bei Ryze Cyber tragen sie eigene Namen. Der Fragebogen ist auf der Seite Der Gratis-Scan, erklärt im Detail beschrieben.

Preise am 7. Oktober 2026 von der Startseite von Ryze Cyber übernommen. In Schweizer Franken gelten dieselben Beträge.

Was zeigt ein automatischer externer Scan?

Ein Werkzeug fragt Ihre öffentlichen Adressen ab und hält fest, was antwortet. Das ist das Prinzip des Portscans, den das Glossar der französischen Cybersicherheitsbehörde ANSSI als das Senden von Paketen an die Ports eines Rechners beschreibt, um deren Zustand abzuleiten. Danach vergleicht der Scan das Gefundene mit bereits bekannten und veröffentlichten Schwachstellen.

In der Praxis macht ein externer Scan gut sichtbar:

• im Internet offene Dienste, die es nicht sein sollten;
• Software in einer veralteten Version;
• vergessene Seiten: eine alte Testseite, eine exponierte Administrationsoberfläche;
• Zugangsdaten Ihres Unternehmens, die bereits in bekannten Leaks stehen.

Was zeigt er nicht?

Ein Scan denkt nicht mit. Er kann nicht zwei kleine Schwächen zu einer großen verketten. Er versteht die Logik Ihrer Anwendung nicht. Er sieht nichts von dem, was hinter einer Anmeldeseite liegt, außer man gibt ihm ein Konto. Daraus folgen drei Grenzen:

• Logikfehler entgehen ihm: zum Beispiel ein Kunde, der die Rechnung eines anderen sehen kann, indem er eine Nummer in der Adresse ändert.
• Rechte und Konten werden nicht geprüft: ein wiederverwendetes Administratorpasswort, zu weit gefasste Rechte, keine Zwei-Faktor-Authentifizierung auf einem wichtigen Zugang.
• Der Faktor Mensch bleibt außen vor: Eine überzeugende gefälschte E-Mail lässt sich nicht «scannen».

Ein Scan erzeugt auch Fehlalarme. Ohne Sortierung beruhigt eine lange Liste zu Unrecht oder beunruhigt grundlos. Deshalb zählt ein priorisierter Bericht mehr als die Zahl der Zeilen.

Kann ein automatischer Scanner einen Penetrationstest ersetzen?

Nein, und umgekehrt auch nicht. Der Penetrationstest gehört zu den Prüftätigkeiten, die die ANSSI in ihrem Anforderungskatalog für Prüfdienstleister unterscheidet, neben dem Konfigurationsaudit und dem Quellcode-Audit (Glossar der ANSSI, Eintrag PASSI). Er ist menschliche Arbeit: Der Tester weist nach, dass eine Schwachstelle ausnutzbar ist, und zeigt das Szenario.

Beide ergänzen sich. Der Scan ist schnell und lässt sich oft wiederholen. Der Test ist seltener und tiefer. Die Seite Penetrationstest für KMU beschreibt den Ablauf.

Wann genügt ein Scan, und wann braucht es einen Test?

Der externe Scan genügt für eine erste Bestandsaufnahme oder für eine einfache Firmenwebsite ohne Kundenbereich und ohne sensible Daten. Wechseln Sie zum Penetrationstest, sobald einer dieser Sätze zutrifft:

• Ihre Kunden melden sich in einem persönlichen Bereich an oder zahlen online;
• Sie verarbeiten sensible Daten: Gesundheit, Finanzen, Kundendossiers;
• ein Kunde oder ein Versicherer verlangt einen Testnachweis (siehe Cyberversicherung und Kundenanforderungen);
• Sie nehmen eine neue Anwendung oder einen KI-Assistenten in Betrieb, der an Ihre Daten angebunden ist;
• Sie wurden noch nie getestet.

Wie oft?

Nach unserem Kenntnisstand legen weder die DSGVO noch das Schweizer Datenschutzgesetz eine Anzahl Tests pro Jahr für ein gewöhnliches KMU fest. Beide verlangen eine dem Risiko angemessene Sicherheit. Die DSGVO nennt «ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit» der Sicherheitsmaßnahmen (Art. 32).

Ein einfacher Richtwert ist der des Gratis-Scans von Ryze Cyber: Wurden Ihre Website oder Ihre Anwendungen vor weniger als 12 Monaten getestet? Dazu kommt ein Test nach jeder größeren Änderung: Relaunch der Website, neuer Kundenbereich, Wechsel des Hosters. Zwischen zwei Tests verhindert eine regelmäßige Kontrolle der exponierten Punkte böse Überraschungen. Das ist der Zweck des Pakets Monitoring des Blue Teams (monatliche Kontrolle, 99 EUR oder CHF 99 pro Monat ohne Steuern).

Wer behebt die gefundenen Schwachstellen?

Finden und Beheben sind zwei Berufe. Der Bericht erklärt jede Schwachstelle, ihren Schweregrad und ihre Behebung. Danach liegt die Behebung bei denen, die Ihre Systeme betreuen: Ihr Entwickler für die Website, Ihr IT-Dienstleister für Arbeitsplätze und Netzwerk, Ihr Hoster für den Server.

Kann das niemand übernehmen, ist es die Aufgabe des Blue Teams: Es schließt die Schwachpunkte einen nach dem anderen und prüft dann jeden Monat, ob sie geschlossen bleiben. Siehe Red Team und Blue Team.

Häufige Fragen

Weiterlesen

Quellen

1. ANSSI (Frankreich), CyberDico: Definitionen zu Portscan und Schwachstelle sowie Anforderungskatalog PASSI, auf Französisch
2. Verordnung (EU) 2016/679 (DSGVO), Art. 32, EUR-Lex
3. Schweiz, Bundesgesetz über den Datenschutz (DSG), Art. 8, Fedlex
4. Ryze Cyber, Pakete und veröffentlichte Preise (Stand 6. Oktober 2026)

Zuletzt aktualisiert: 7. Oktober 2026