Was ist ein Schwachstellen-Scan?
Ein Schwachstellen-Scan ist eine automatisierte technische Untersuchung von IT-Systemen auf bekannte Sicherheitsprobleme.
Dabei prüft eine spezialisierte Software beispielsweise:
- offene Netzwerkdienste,
- veraltete Softwareversionen,
- bekannte Sicherheitslücken,
- unsichere Konfigurationen,
- fehlende Sicherheitsupdates,
- schwache Verschlüsselungsverfahren,
- unnötig erreichbare Systeme oder Dienste.
Das Ziel besteht darin, technische Schwachstellen möglichst frühzeitig sichtbar zu machen und ihre Behebung strukturiert zu planen.
Welche Systeme können geprüft werden?
Schwachstellen-Scans können auf unterschiedliche technische Bereiche ausgerichtet werden.
Typische Prüfziele sind:
- Server,
- Arbeitsplatzrechner,
- Netzwerkgeräte,
- Firewalls,
- Webserver,
- Webanwendungen,
- Cloud-Systeme,
- Datenbanken,
- virtuelle Systeme,
- öffentlich erreichbare IP-Adressen und Domains.
Je nach Zielsetzung kann ein Scan aus dem internen Unternehmensnetz oder von außen über das Internet durchgeführt werden.
Was ist der Unterschied zwischen internem und externem Scan?
Ein externer Schwachstellen-Scan betrachtet Systeme aus Sicht eines Angreifers außerhalb des Unternehmensnetzwerks.
Geprüft werden dabei insbesondere:
- öffentlich erreichbare Server,
- Webseiten und Webanwendungen,
- VPN-Zugänge,
- Mailserver,
- Cloud-Dienste,
- offene Ports und Netzwerkdienste.
Ein interner Scan untersucht dagegen Systeme innerhalb des Unternehmensnetzes.
Er kann Schwachstellen sichtbar machen, die von außen nicht erreichbar sind, aber bei einem bereits erfolgten Eindringen oder durch interne Angreifer ausgenutzt werden könnten.
Wie funktioniert ein Schwachstellen-Scan?
Ein Scanner erfasst zunächst die erreichbaren Systeme und Dienste.
Anschließend vergleicht er die gefundenen Merkmale mit Datenbanken bekannter Schwachstellen und Konfigurationsfehler.
Typische Prüfschritte sind:
- Ermittlung erreichbarer Systeme
- Erkennung offener Ports und Dienste
- Identifikation von Software und Versionen
- Vergleich mit bekannten Schwachstellen
- Bewertung des technischen Schweregrads
- Erstellung eines Prüfberichts
Je nach Scan-Verfahren können zusätzliche Zugangsdaten verwendet werden, um Systeme genauer zu prüfen.
Was ist ein authentifizierter Scan?
Bei einem authentifizierten Scan erhält das Prüfwerkzeug kontrollierte Zugangsdaten zum untersuchten System.
Dadurch kann es beispielsweise:
- installierte Software genauer erfassen,
- fehlende Updates zuverlässiger erkennen,
- lokale Konfigurationen prüfen,
- Berechtigungen und Sicherheitseinstellungen untersuchen,
- Ergebnisse mit weniger Fehlalarmen liefern.
Ein nicht authentifizierter Scan betrachtet das System dagegen nur aus der Perspektive eines externen oder nicht angemeldeten Nutzers.
Beide Verfahren können sinnvoll sein und ergänzen sich häufig.
Welche Ergebnisse liefert ein Schwachstellen-Scan?
Der Scan-Bericht enthält meist eine Liste gefundener Schwachstellen mit technischen Zusatzinformationen.
Dazu können gehören:
- betroffenes System,
- betroffener Dienst oder Port,
- Beschreibung der Schwachstelle,
- technischer Schweregrad,
- mögliche Auswirkungen,
- Referenzen auf bekannte Sicherheitslücken,
- Empfehlungen zur Behebung.
Die Ergebnisse müssen anschließend fachlich bewertet werden. Nicht jede technische Meldung ist für jedes Unternehmen gleich relevant.
Was bedeuten CVE und CVSS?
Viele bekannte Schwachstellen werden über eine eindeutige CVE-Nummer erfasst.
CVE steht für „Common Vulnerabilities and Exposures“. Das System ermöglicht eine einheitliche Bezeichnung öffentlich bekannter Sicherheitslücken.
Der technische Schweregrad wird häufig mit dem CVSS-Wert beschrieben.
CVSS steht für „Common Vulnerability Scoring System“. Der Wert soll vergleichbar machen, wie leicht eine Schwachstelle ausnutzbar ist und welche technischen Auswirkungen möglich sind.
Ein hoher CVSS-Wert bedeutet jedoch nicht automatisch, dass die Schwachstelle im konkreten Unternehmen die höchste Priorität besitzt.
Wie werden Schwachstellen priorisiert?
Die Priorisierung sollte nicht ausschließlich nach dem technischen Schweregrad erfolgen.
Zusätzlich sollten unter anderem berücksichtigt werden:
- ob das System aus dem Internet erreichbar ist,
- ob die Schwachstelle bereits aktiv ausgenutzt wird,
- welche Daten oder Prozesse betroffen sind,
- ob besondere Schutzmaßnahmen vorhanden sind,
- wie kritisch das System für den Geschäftsbetrieb ist,
- welche Auswirkungen ein erfolgreicher Angriff hätte,
- wie schnell eine Behebung möglich ist.
Erst durch die Verbindung technischer und geschäftlicher Kriterien entsteht eine sinnvolle Risikobewertung.
Was sind Fehlalarme?
Ein Schwachstellen-Scanner kann Meldungen erzeugen, die sich bei genauer Prüfung als nicht zutreffend oder nicht relevant erweisen.
Solche Ergebnisse werden häufig als False Positives bezeichnet.
Gründe dafür können sein:
- ungenau erkannte Softwareversionen,
- bereits vorhandene Schutzmaßnahmen,
- herstellerspezifische Sicherheitskorrekturen,
- nicht ausnutzbare Konstellationen,
- unvollständige technische Informationen.
Deshalb sollte ein Scan-Bericht nicht ungeprüft als abschließende Risikobewertung verwendet werden.
Was ist der Unterschied zu einem Penetrationstest?
Ein Schwachstellen-Scan arbeitet weitgehend automatisiert und sucht nach bekannten technischen Problemen.
Ein Penetrationstest geht in der Regel weiter. Dabei versuchen qualifizierte Prüfer, Schwachstellen gezielt zu verifizieren und mögliche Angriffsketten nachvollziehbar darzustellen.
Der Unterschied lässt sich vereinfacht zusammenfassen:
- Ein Schwachstellen-Scan sucht automatisiert nach möglichen Sicherheitslücken.
- Ein Penetrationstest prüft gezielt, ob und wie Sicherheitslücken ausgenutzt werden können.
Beide Verfahren erfüllen unterschiedliche Aufgaben und können sich sinnvoll ergänzen.
Wie oft sollten Schwachstellen-Scans durchgeführt werden?
Ein einmaliger Scan liefert nur eine Momentaufnahme.
Neue Sicherheitslücken, Systeme, Softwareversionen und Konfigurationsänderungen entstehen fortlaufend.
Scans sollten deshalb abhängig von Schutzbedarf und Risikosituation regelmäßig durchgeführt werden, beispielsweise:
- monatlich oder quartalsweise,
- nach größeren Systemänderungen,
- nach der Einführung neuer Server oder Anwendungen,
- nach Sicherheitsvorfällen,
- vor Audits oder Zertifizierungen,
- nach umfangreichen Aktualisierungen.
Besonders exponierte oder kritische Systeme können häufigere Prüfungen erfordern.
Welche Risiken bestehen bei der Durchführung?
Auch ein Schwachstellen-Scan greift aktiv auf Systeme und Dienste zu.
Bei empfindlichen oder veralteten Systemen können dadurch unter Umständen Störungen entstehen.
Vor der Durchführung sollte deshalb geklärt werden:
- welche Systeme geprüft werden dürfen,
- welcher Zeitraum geeignet ist,
- welche Systeme besonders empfindlich sind,
- wer bei Störungen erreichbar ist,
- welche Prüfmethoden ausgeschlossen werden müssen,
- ob Dienstleister oder Hosting-Anbieter informiert werden müssen.
Der Prüfauftrag und der technische Umfang sollten eindeutig dokumentiert sein.
Was geschieht nach dem Scan?
Ein Schwachstellen-Scan ist nur dann wirksam, wenn die Ergebnisse bearbeitet werden.
Der weitere Prozess sollte mindestens folgende Schritte umfassen:
- Ergebnisse fachlich prüfen
- Fehlalarme und Mehrfachmeldungen bereinigen
- Risiken bewerten
- Maßnahmen priorisieren
- Verantwortlichkeiten und Termine festlegen
- Updates oder Konfigurationsänderungen umsetzen
- Behebung durch einen erneuten Scan kontrollieren
Offene Schwachstellen sollten nachvollziehbar dokumentiert und bis zur Behebung oder bewussten Risikoakzeptanz verfolgt werden.
Was ist Schwachstellenmanagement?
Schwachstellenmanagement bezeichnet den dauerhaften organisatorischen Prozess rund um Erkennung, Bewertung und Behandlung technischer Schwachstellen.
Ein vollständiger Prozess umfasst:
- regelmäßige Scans,
- Beobachtung neuer Sicherheitsmeldungen,
- Bewertung der eigenen Betroffenheit,
- Priorisierung von Maßnahmen,
- Patch- und Änderungsmanagement,
- Nachkontrolle der Behebung,
- Dokumentation akzeptierter Restrisiken.
Der Schwachstellen-Scan ist damit ein wichtiges Werkzeug innerhalb des Schwachstellenmanagements, aber nicht der gesamte Prozess.
Welchen Nutzen bietet ein Schwachstellen-Scan?
Regelmäßige Schwachstellen-Scans schaffen Transparenz über den technischen Sicherheitszustand.
Sie unterstützen Unternehmen dabei:
- bekannte Sicherheitslücken frühzeitig zu erkennen,
- Updates und Maßnahmen sinnvoll zu priorisieren,
- öffentlich erreichbare Angriffsflächen zu reduzieren,
- technische Risiken nachvollziehbar zu dokumentieren,
- Audits und Sicherheitsanforderungen vorzubereiten,
- die Wirksamkeit umgesetzter Maßnahmen zu kontrollieren.
Der eigentliche Nutzen entsteht jedoch nicht durch den Scan allein, sondern durch die strukturierte Bewertung und konsequente Bearbeitung der Ergebnisse.