Schwachstellen-Scans - kenn Deine Lücken, bevor es jemand anders tut

Nein. Der Scan prüft automatisiert und regelmäßig auf bekannte Lücken - breit und kontinuierlich. Ein Pentest ist eine tiefere, manuelle Prüfung zu einem Zeitpunkt. Beides ergänzt sich; für den laufenden Schutz ist der regelmäßige Scan die Basis.

Nein, wenn er richtig eingestellt ist. Wir planen Scans so, dass sie Deine Systeme nicht belasten, und stimmen sensible Bereiche (z. B. Produktion) besonders ab.

Viele Versicherer verlangen inzwischen nachweisbares Schwachstellen-Management. Die Dokumentation aus unseren Scans hilft bei Abschluss und im Schadensfall.

Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr). Den Antrag übernehmen wir.

Für die von außen erreichbaren Systeme empfehlen wir mindestens monatlich, besser wöchentlich - dort ist die Angriffsfläche am direktesten. Intern reicht in vielen Umgebungen ein monatlicher Rhythmus, ergänzt um einen Sonderlauf, wenn eine schwerwiegende Lücke bekannt wird. Ein Scan pro Jahr erzeugt vor allem ein gutes Gefühl, keinen Schutz.

Der Preis richtet sich nach der Anzahl geprüfter Systeme und nach der Frequenz. Der eigentliche Aufwand liegt nicht im Scannen, sondern in der Auswertung: Fehlalarme aussortieren, echte Funde bewerten, Maßnahmen ableiten. Nach einem kurzen Blick auf Deine Umgebung nennen wir Dir eine konkrete Zahl.

Nicht zwingend, und keinesfalls als Ersatz für regelmäßige Scans. Ein Pentest lohnt sich, wenn etwas Kritisches neu online geht, wenn ein Kunde oder Auditor ihn verlangt oder wenn Du wissen willst, wie weit ein Angreifer real kommt. Wer noch gar nicht regelmäßig scannt, kauft sich mit einem Pentest teure Erkenntnisse über Lücken, die ein Scan günstiger gefunden hätte.

Ein externer Scan auf die erreichbaren Dienste ist meist in Stunden durch. Interne Scans über viele Systeme laufen je nach Größe eine Nacht oder ein Wochenende, deshalb legen wir sie in verkehrsarme Zeiten. Länger als der Scan selbst dauert regelmäßig die Auswertung.

Für den Blick von außen nicht. Innen liefern authentifizierte Scans deutlich bessere Ergebnisse, weil das System dann über installierte Software und Patch-Stände Auskunft gibt, statt zu raten - dafür braucht es ein Prüfkonto oder einen Agenten. Beides richten wir mit Dir ein und dokumentieren, welche Rechte wofür nötig sind.

Der externe Scan zeigt, was ein Angreifer aus dem Internet sieht: offene Dienste, veraltete Webserver, vergessene Testsysteme. Der interne Scan zeigt, was jemand ausnutzen könnte, der schon drin ist - über eine Phishing-Mail oder ein infiziertes Notebook. Beide Perspektiven gehören dazu, der interne findet meist deutlich mehr.

Gar nicht auf einmal, und das ist auch nicht nötig. Erfahrungsgemäß geht der größte Teil auf wenige Ursachen zurück: Eine veraltete Software auf vielen Rechnern zählt als hunderte Funde und ist ein einziges Update. Wir gruppieren nach Ursache und priorisieren nach Ausnutzbarkeit, damit die Liste in einer handhabbaren Reihenfolge abgearbeitet wird.

Deine eigenen Systeme ja - wir lassen uns Auftrag und Prüfumfang trotzdem schriftlich bestätigen, weil das rechtlich sauber ist. Liegt etwas bei einem Hoster oder Cloud-Anbieter, gelten zusätzlich dessen Regeln, teils mit Voranmeldung. Das klären wir vor dem ersten Scan, nicht danach.

Teilweise, und mit anderen Mitteln. In der Cloud ist selten die Serversoftware das Problem, sondern die Konfiguration: offene Freigaben, zu weite Berechtigungen, fehlende MFA. Das prüfen wir über Konfigurationsprüfungen statt über einen klassischen Netzwerk-Scan.

NIS2 verlangt einen geregelten Umgang mit Schwachstellen, ISO 27001 ebenfalls - ohne ein bestimmtes Werkzeug vorzuschreiben. Entscheidend ist, dass Du regelmäßig prüfst, bewertest, behebst und das belegen kannst. Wir setzen um und dokumentieren prüffest, die Zertifizierung selbst nimmt eine akkreditierte Stelle vor.

Beides ist möglich. Im gemanagten Betrieb schließen wir die Funde direkt mit, eng verzahnt mit dem Patch-Management, und belegen den Erfolg im nächsten Scan. Hast Du eine eigene IT, liefern wir bewertete Funde mit konkreten Maßnahmen und unterstützen dort, wo es hakt.