Sicherheitstests
Penetrationstest vs. kontinuierlicher Schwachstellenscan: so ergänzen sie sich
Ein Pentest (Penetrationstest) ist eine zeitlich begrenzte Übung, bei der erfahrene Tester versuchen, wie ein Angreifer in ein System einzudringen. Kontinuierliches Schwachstellenscannen prüft Software automatisch und wiederholt auf bekannte Schwächen. Beide beantworten unterschiedliche Fragen, daher brauchen die meisten Sicherheitsprogramme beides.
Free-Tarif, keine Kreditkarte erforderlich.
Was ist ein Pentest?
Das NIST beschreibt einen Penetrationstest als Sicherheitstest, bei dem Prüfer reale Angriffe nachahmen, um Wege an den Sicherheitsfunktionen einer Anwendung, eines Systems oder eines Netzes vorbei zu finden. Tester verketten kleine Schwächen, prüfen die Geschäftslogik und beurteilen, was ein Angreifer tatsächlich erreichen könnte.
Ein Pentest wird schriftlich abgegrenzt und beauftragt, läuft über einen festen Zeitraum und endet mit einem Bericht über Befunde, deren Auswirkungen und empfohlene Korrekturen. Sein Ergebnis ist eine Momentaufnahme: Es beschreibt das System, wie es während des Tests war.
Was ist kontinuierliches Schwachstellenscannen?
Das NIST definiert Schwachstellenscannen als Technik, um Hosts, ihre Attribute und zugehörige Schwachstellen zu identifizieren. Die Software-Kompositionsanalyse (SCA) überträgt denselben Gedanken auf Code: Sie listet die Open-Source-Komponenten eines Produkts auf und gleicht sie mit öffentlichen Sicherheitshinweisen wie CVE-Einträgen ab.
Scannen ist kontinuierlich, wenn es bei jeder Änderung läuft und das Inventar immer wieder geprüft wird, sobald neue Hinweise erscheinen. Eine Komponente, die beim Release unbedenklich war, kann Monate später verwundbar werden, ohne dass sich eine einzige Zeile Ihres Codes ändert.
Pentest und Schwachstellenscan im Überblick
Die beiden Methoden unterscheiden sich darin, wer die Arbeit macht, was sie finden und wie lange das Ergebnis gilt.
| Frage | Penetrationstest | Kontinuierliches Scannen |
|---|---|---|
| Wer führt es durch | Erfahrene Fachleute, oft eine externe Firma | Automatisierte Werkzeuge |
| Was es findet | Ausnutzbare Ketten, Logikfehler und Fehlkonfigurationen, mit ihrer tatsächlichen Auswirkung | Bekannte Schwachstellen in Komponenten, offengelegte Secrets und häufige Fehlkonfigurationen |
| Wie oft | Oft jährlich und nach wesentlichen Änderungen | Bei jeder Änderung und wiederholt zwischen Releases |
| Tiefe | Tief, in einem definierten Umfang | Breit, über jedes Produkt und jede Version |
| Ergebnis | Ein Bericht zu einem Zeitpunkt | Eine aktuelle Liste von Befunden und ihrem Status |
| Grenzen | Erfasst nicht, was sich nach dem Test ändert; teuer zu wiederholen | Beweist keine Ausnutzbarkeit und findet keine neuen Logikfehler |
Warum Sie beides brauchen
Beide decken die blinden Flecken des jeweils anderen ab. Ein Pentest findet, was kein Scanner kann: eine fehlerhafte Autorisierungsprüfung, einen missbrauchbaren Ablauf, eine Kette kleiner Probleme, die zusammen zu einem Einbruch führt. Scannen findet, womit ein Pentest nicht Schritt halten kann: den Hinweis, der in der Woche nach Abzug der Tester erscheint, die Abhängigkeit, die im nächsten Sprint hinzukommt, die Firmware-Version, die an einen neuen Kunden ausgeliefert wird.
Normen spiegeln diese Aufteilung wider. NIST SP 800-53 führt Penetrationstests (CA-8) sowie Überwachung und Scannen auf Schwachstellen (RA-5) als getrennte Maßnahmen auf. Der OWASP Web Security Testing Guide spricht sich für einen ausgewogenen Ansatz aus: Scanner haben ihren Platz in einem Testprogramm, können manuelle Tests aber nicht ersetzen, und Penetrationstests sollten nicht die einzige Technik sein.
Kontinuierliches Scannen macht einen Pentest außerdem wertvoller. Sind bekannte Schwachstellen bereits behoben, verwenden die Tester ihre Zeit auf die Probleme, die nur Menschen finden können.
So kombinieren Sie beides
Ein einfacher Rhythmus funktioniert für die meisten Produktteams:
- Scannen Sie von Anfang an kontinuierlich: jedes Repository, jedes Container-Image und jede Firmware-Version, erneut geprüft, sobald neue Hinweise erscheinen.
- Beheben oder dokumentieren Sie bekannte Schwachstellen vor einem Pentest, damit sich der Bericht auf das konzentriert, was Scanner nicht sehen.
- Beauftragen Sie einen Pentest vor größeren Releases, nach wesentlichen Architekturänderungen und so oft, wie Kunden, Versicherer oder Aufsichtsbehörden es erwarten.
- Geben Sie den Testern Ihre SBOM und die aktuelle Liste offener Befunde, damit sie die riskantesten Komponenten gezielt prüfen können.
- Führen Sie Pentest-Befunde im selben Tracking wie Scan-Befunde und scannen Sie nach jeder Korrektur erneut.
Heute in KROMSE verfügbar
KROMSE ist kein Penetrationstest und ersetzt keinen. Es deckt die Seite des kontinuierlichen Scannens ab: Der URL-Scan prüft, was jeder aus dem Internet sehen kann, und KROMSE prüft den Code, die Abhängigkeiten, Container-Images und die Firmware hinter einem Produkt.
- Abhängigkeitsprüfungen gegen OSV.dev für Lockfiles und Manifeste, darunter npm, Yarn, pnpm, Poetry, uv, pip, Go, Cargo, Maven, Gradle, Composer, Bundler und .NET.
- Erkennung von Secrets im gescannten Commit; Secret-Werte werden geschwärzt und nie gespeichert.
- Linux-basierte Firmware-Images werden rekursiv entpackt, Pakete gegen OSV.dev geprüft, und das Root-Dateisystem wird auf Fehlkonfigurationen und eingebettete Secrets geprüft.
- In kostenpflichtigen Tarifen wird die neueste SBOM jeder Quelle alle 6 Stunden erneut gegen OSV.dev geprüft, und neue Treffer erscheinen als Hinweise in der Anwendung.
- Kontext zu Befunden aus CISA KEV, FIRST EPSS, NVD und ENISA EUVD, wobei bekanntermaßen ausgenutzte Schwachstellen markiert werden.
Häufige Fragen
Ist ein Schwachstellenscan dasselbe wie ein Pentest?
Nein. Ein Scan ist automatisiert und sucht nach bekannten Schwächen. Ein Pentest wird von Menschen geführt, die versuchen, Schwächen auszunutzen, auch solche, die kein Scanner kennt, und deren Auswirkungen beurteilen. Tester nutzen zwar oft Scanner als Hilfsmittel, aber ein Scan-Bericht ist kein Pentest-Bericht.
Wie oft sollte man einen Pentest durchführen?
Es gibt kein einheitliches Intervall. NIST SP 800-53 überlässt die Häufigkeit der Organisation, und viele Organisationen testen jährlich und nach wesentlichen Änderungen. Kunden, Versicherer und Branchenregeln legen oft ein Minimum fest.
Kann kontinuierliches Scannen einen Pentest ersetzen?
Nein. Scannen kann weder Geschäftslogik testen noch Schwächen verketten noch zeigen, was ein Angreifer wirklich erreichen könnte. Es verringert die Zahl bekannter Probleme, mit denen sich ein Pentest aufhalten muss, und es beobachtet weiter, nachdem der Test beendet ist.
Brauche ich eine Erlaubnis, um ein System zu pentesten?
Ja. Ein System ohne schriftliche Genehmigung seines Eigentümers zu testen, kann eine Straftat sein; in der EU verpflichtet die Richtlinie 2013/40/EU die Mitgliedstaaten, den rechtswidrigen Zugang zu Informationssystemen zu ahnden. Ein Pentest beginnt immer mit einem vereinbarten Umfang und schriftlichen Einsatzregeln.
Führt KROMSE Penetrationstests durch?
Nein. KROMSE führt keine Penetrationstests und keine vollständigen dynamischen Anwendungstests (DAST) durch. Es prüft Code, Abhängigkeiten, Container-Images und Linux-basierte Firmware auf bekannte Schwachstellen, Secrets und Fehlkonfigurationen, was einen Pentest durch qualifizierte Tester ergänzt.