Ein Schwachstellenscan prüft Systeme automatisiert auf bekannte Sicherheitslücken, fehlende Patches und Fehlkonfigurationen und liefert eine priorisierte Liste, ohne Befunde aktiv auszunutzen.
Ein Schwachstellenscan ist eine automatisierte Prüfung von Servern, Netzwerkgeräten, Anwendungen oder Cloud-Ressourcen auf bekannte Sicherheitslücken. Der Scanner identifiziert Dienste und Softwareversionen, gleicht sie mit Datenbanken bekannter Schwachstellen ab (siehe CVE) und prüft auf typische Fehlkonfigurationen wie Standardpasswörter, offene Freigaben oder veraltete Verschlüsselung. Das Ergebnis ist eine Liste mit Schweregraden nach CVSS.
Der Scan nutzt Schwachstellen nicht aus und verkettet keine Befunde. Er beantwortet die Frage „Welche bekannten Lücken sind auf unseren Systemen sichtbar?“ – nicht „Was kann ein Angreifer damit erreichen?“. Darin liegt der zentrale Unterschied zum Penetrationstest.
Varianten und Arbeitsweise
- Nicht authentifiziert: Der Scanner sieht das System wie ein externer Angreifer ohne Zugangsdaten. Schnell, aber oberflächlich.
- Authentifiziert: Mit einem Prüfkonto liest der Scanner installierte Pakete, Patchstände und lokale Einstellungen aus. Deutlich genauer, weniger Fehlalarme.
- Extern vs. intern: Aus dem Internet auf die exponierte Angriffsfläche oder aus dem Firmennetz auf Clients, Server und Drucker.
- Agentenbasiert: Ein Agent auf dem Endgerät meldet kontinuierlich den Zustand, auch für mobile Geräte außerhalb des Netzes.
Gute Scan-Programme laufen regelmäßig (wöchentlich bis täglich), nach jeder Änderung und werden mit dem Patch-Management verzahnt. Die Herausforderung liegt weniger im Scannen als im Abarbeiten: Ergebnisse müssen dedupliziert, nach tatsächlicher Ausnutzbarkeit priorisiert und einem Verantwortlichen zugewiesen werden.
Bedeutung für Unternehmen
Laut BSI-Lagebericht 2025 wurden im Schnitt 119 neue Schwachstellen pro Tag bekannt, 24 Prozent mehr als im Vorjahr. Ohne automatisierte Scans ist diese Menge nicht beherrschbar. Gleichzeitig zeigt der Verizon DBIR 2026, dass 31 Prozent der Erstzugriffe über ausgenutzte Schwachstellen erfolgten. Der Scan ist daher die Basishygiene, die ISO 27001 (Kontrolle A.8.8) und NIS2 vom Risikomanagement erwarten.
Der typische Fehler ist Überschätzung: Ein „grüner“ Scanbericht wird als Sicherheitsnachweis gelesen. Scanner finden keine Logikfehler in Anwendungen, keine schwachen Berechtigungsketten im Active Directory und kein Phishing-Risiko. Aus Red-Team-Sicht ist bemerkenswert, wie oft wir Ziele erreichen, ohne eine einzige Schwachstelle mit CVE-Nummer auszunutzen – laut CrowdStrike Global Threat Report 2026 verliefen 82 Prozent der Erkennungen malware-frei, also über legitime Zugangsdaten und Bordmittel.
Praxis-Hinweise
- Scannen Sie authentifiziert und vollständig; ein unvollständiges Inventar ist die häufigste Ursache blinder Flecken. Attack Surface Management hilft, vergessene Systeme zu finden.
- Priorisieren Sie nach Ausnutzbarkeit und Exposition, nicht nur nach CVSS-Basiswert.
- Messen Sie die Behebungszeit pro Schweregrad und berichten Sie sie an die Geschäftsleitung.
- Ergänzen Sie den Scan mindestens jährlich durch einen Penetrationstest und prüfen Sie die Erkennungsfähigkeit über Purple Teaming oder Red Teaming.