Security-Check statt Blindflug: was vor dem Pentest zählt

Kategorien: Datenschutz

Die meisten Website-Vorfälle entstehen nicht durch raffinierte Hacker, sondern durch simple Lücken, die ein spezialisierter Security-Check längst gefunden hätte. Warum der Check oft wichtiger ist als der teure Pentest – und wo beide zusammenpassen.

Ein mittelständisches Unternehmen lässt seine Website seit Jahren nicht prüfen, weil ein vollständiger Pentest im Budget nie Priorität hatte und "irgendwann mal" gemacht werden sollte. Genau in dieser Lücke sitzt dann ein Angreifer im Content-Management-System, weil eine veraltete Softwareversion und eine offene Konfigurationsdatei zusammen ausgereicht haben. Kein komplexer Angriff, keine raffinierte Kette – nur simple, längst bekannte Schwachstellen, die ein spezialisierter Scan in wenigen Minuten gefunden hätte. Genau dieses Muster zeigt, warum die meisten Unternehmen zuerst einen Security-Check brauchen und erst danach über einen Pentest nachdenken sollten, nicht umgekehrt.

Was ein automatisierter Scan wirklich leistet

Ein Vulnerability Scanner arbeitet nach einem klaren Prinzip: Er gleicht Systeme, Server und Anwendungen automatisiert gegen bekannte Schwachstellen-Datenbanken wie die NVD ab und meldet Treffer anhand von Signaturen. Dieser Prozess läuft in Minuten bis Stunden, lässt sich beliebig oft wiederholen und deckt dabei die gesamte Angriffsfläche eines Unternehmens ab, nicht nur ausgewählte Systeme. Genau darin liegt die Stärke: Vulnerability Scanning schafft schnell und wiederholbar Sichtbarkeit darüber, wo der eigene Bestand an Servern, Diensten und Software steht.

Für die laufende Betriebssicherheit ist das unverzichtbar. Neue Schwachstellen werden täglich veröffentlicht, Software-Stände verändern sich, Konfigurationen driften. Ein Scan liefert hier die Breite: Er prüft nicht nur ein System sehr genau, sondern alle Systeme zumindest oberflächlich, und wird damit zum sinnvollen Ausgangspunkt, um den eigenen Sicherheitsstatus überhaupt einschätzen zu können.

Wo generische Scans an ihre Grenzen stoßen

Ein allgemeiner, sehr breit angelegter Scan hat allerdings eine Kehrseite. Weil er möglichst viele unterschiedliche Systeme gleichzeitig abdecken will, bleibt die Prüftiefe pro System begrenzt. Fehlalarme sind relativ häufig, also gemeldete Probleme, die bei genauerer Prüfung gar nicht real ausnutzbar sind. Teams verbringen dadurch Zeit mit der Abarbeitung von Meldungen, die sich am Ende als harmlos herausstellen. Ein solcher Scanner kann außerdem eine Schwachstelle identifizieren, aber nicht immer bewerten, ob sie im konkreten Kontext tatsächlich ausnutzbar ist.

Für Websites und Webanwendungen ist das ein entscheidender Punkt: Ein generischer, auf alle möglichen IT-Systeme ausgelegter Scan ist selten so tief spezialisiert, wie es die Web-Präsenz eines Unternehmens eigentlich erfordern würde. Genau hier setzen spezialisierte Security Scans an.

Spezialisierte Security Scans: hoher Automatisierungsgrad, verlässliche Ergebnisse

Neben allgemeinen Vulnerability Scannern hat sich eine eigene Kategorie spezialisierter Scans etabliert, die sich gezielt auf einen bestimmten Bereich konzentrieren, etwa auf die Web-Präsenz eines Unternehmens. Weil sich der Prüfumfang hier klar eingrenzen lässt, können solche spezialisierten Scanner einen sehr hohen Automatisierungsgrad erreichen, teils nahezu vollständig, und dabei gleichzeitig sehr zuverlässige, belastbare Ergebnisse liefern. Der enge Fokus ist also kein Nachteil, sondern die Voraussetzung dafür, dass Breite und Tiefe hier deutlich näher zusammenrücken als bei einem allgemeinen Scan.

Ein gutes Beispiel für einen leistungsstarken Check, den nur ein spezialisierter Scanner vollziehen kann: Die Prüfung der security.txt Datei. Der Webadmin wird durch detaillierte Hilfestellungen und Beispiele unterstützt; der Entscheider erhält in einem gesonderte, kompakten Report eine Statistik der erfüllten Punkte (grün), der Warnungen (gelb) und der Fehler (rot). Das könnte ein generischer Scanner so nicht leisten – und dies war nur eines von vielen Beispielen.

Ein Web Security Check etwa deckt typischerweise die gesamte Angriffsfläche einer Website in einem Durchgang ab: im Frontend werden Formulare, eingebundenes JavaScript und mögliche XSS-Schwachstellen geprüft, auf Netzwerkebene SSL-Konfiguration und die sicherheitsrelevante Content Security Policy (CSP), und im Backend werden der Web Server und Softwareversionen ermittelt und gegen bekannte CVE-Schwachstellen abgeglichen. Häufig kommen ergänzende Prüfungen zu Barrierefreiheit oder SEO-Empfehlungen hinzu. Diese All-in-One-Ausrichtung ergibt gerade deshalb Sinn, weil der Fokus konsequent auf der Web-Präsenz liegt, statt wie bei einem generischen Scan die komplette, heterogene IT-Landschaft eines Unternehmens abdecken zu müssen.

Wer die eigene Website auf diese Weise regelmäßig prüfen lässt, etwa über einen entsprechenden Website-Sicherheitscheck, bei dem auch DSGVO-bezogene Prüfungen möglich sind, bekommt mit überschaubarem Aufwand ein belastbares, kontinuierlich aktualisierbares Bild des eigenen Status quo – deutlich öfter, als es ein punktueller Pentest je leisten könnte.

Wo ein Pentest zusätzlich ansetzt

Für besonders kritische Systeme oder komplexe Angriffsflächen bleibt ein Pentest sinnvoll. Erfahrene Tester denken wie echte Angreifer und versuchen aktiv, mehrere für sich genommen unkritische Schwachstellen zu einer echten Angriffskette zu kombinieren. Diese kreative Verknüpfung einzelner Schritte zu einer Kill-Chain bleibt bislang eine Domäne, in der menschliche Tester automatisierten Systemen überlegen sind, auch gegenüber neueren KI-gestützten Testwerkzeugen. Ein anerkannter methodischer Rahmen dafür ist der OWASP Web Security Testing Guide.

Für die meisten Unternehmen ist das aber der zweite Schritt, nicht der erste: sinnvoll, wenn bereits ein solider Grundschutz besteht und einzelne, besonders sensible Systeme noch tiefer geprüft werden sollen – nicht als Ersatz für die laufende, regelmäßige Kontrolle der eigenen Web-Präsenz.

Auch Pentests haben ihre Grenzen

Ein typisches Pentest-Engagement besteht aus ein bis zwei Testern mit begrenzter Zeit, was bei komplexen, weit verzweigten Angriffsflächen kaum die nötige Tiefe und Breite gleichzeitig abdecken kann. Pentests finden zudem überwiegend nur ein- bis zweimal jährlich statt, wodurch zwischen den Terminen lange Zeitfenster entstehen, in denen neue Schwachstellen unentdeckt bleiben. Da der Testumfang vorab fest definiert wird, können ganze Bereiche der Infrastruktur komplett außen vor bleiben, einfach weil sie nicht im vereinbarten Scope lagen.

Ein Pentest ist damit eine punktuelle, aber sehr genaue Momentaufnahme, kein dauerhafter Schutzschirm. Genau das macht die kontinuierliche Absicherung durch regelmäßige Security-Checks so wichtig, gerade in den Monaten zwischen zwei Pentests.

Regulatorischer Druck sorgt für klare Taktung

2026 ist die Frage nach regelmäßigen Prüfungen längst keine rein technische Entscheidung mehr. In Deutschland verlangt die NIS-2-Umsetzung, die seit dem 6. Dezember 2025 in Kraft ist, von betroffenen Unternehmen regelmäßige Wirksamkeitstests ihrer Sicherheitsmaßnahmen. Für Finanzunternehmen schreibt die DORA-Verordnung sogenanntes Threat-Led Penetration Testing vor, und der Zahlungskartenstandard PCI DSS 4.0.1 fordert seit dem 31. März 2025 eine dokumentierte Pentest-Methodik.

Regelmäßige, gut dokumentierte Security-Checks passen sich in solche Prüfprogramme nahtlos ein: Sie liefern die kontinuierliche Nachweisbasis zwischen den selteneren, aufwendigeren Pentest-Terminen und machen so aus einer einmaligen Prüfung ein belastbares, fortlaufendes Sicherheitsprogramm.

Fazit: Der Security-Check ist der erste und wichtigste Schritt

Für die meisten Unternehmen gilt: Ein regelmäßiger, spezialisierter Security-Check deckt bereits einen Großteil der real relevanten Risiken auf der eigenen Website ab – schnell, wiederholbar und mit einem Automatisierungsgrad, der eine engmaschige Kontrolle überhaupt erst wirtschaftlich macht. Ein Pentest bleibt sinnvoll, aber als punktuelle Vertiefung für besonders kritische Systeme, nicht als Ausgangspunkt.

In der Praxis bedeutet das: Security-Checks auf der eigenen Web-Präsenz monatlich oder quartalsweise, und ein Pentest gezielt dort, wo Systeme besonders sensibel sind oder regulatorisch verlangt wird. Wer diesen ersten Schritt konsequent geht, schließt die meisten Lücken, bevor sie überhaupt zum Problem werden.