Pentest vs. Schwachstellenscan: Der Unterschied - und wann Sie was brauchen

Zwei Begriffe, die ständig verwechselt werden

Schwachstellenscan und Penetrationstest werden im Alltag oft synonym verwendet - und manche Anbieter nutzen genau das aus, indem sie automatisierte Scans als Pentests verkaufen. Dabei ist der Unterschied fundamental: Ein Schwachstellenscan ist eine automatisierte Prüfung, die Systeme gegen eine Datenbank bekannter Schwachstellen abgleicht. Ein Penetrationstest ist eine manuelle, zielgerichtete Angriffssimulation durch Experten. Der Praxis-Leitfaden für IS-Penetrationstests des BSI beschreibt es so: Automatisierte Schwachstellenscanner können Gefährdungen aufzeigen - der Penetrationstest geht einen Schritt weiter und sucht gezielt nach Wegen, die eingesetzten Sicherheitsmaßnahmen zu umgehen. Wer den Unterschied kennt, kauft das richtige Instrument für den richtigen Zweck - und zahlt keine Pentest-Preise für Scan-Leistungen.

Der direkte Vergleich: 6 Unterschiede im Überblick

• •Tiefe: Der Scan erkennt bekannte Schwachstellen anhand einer Datenbank beziehungsweise Signaturen - laut audius eine oberflächliche Schwachstellenanalyse ohne tiefgehende Tests, die keine Exploits simulieren und keine komplexen Angriffsszenarien analysieren kann. Der Pentest analysiert zusätzlich Geschäftslogik, verkettet mehrere Schwachstellen und simuliert realistische Angriffsszenarien.
• •Methode: Der Scan läuft vollautomatisch mit Software-Tools. Der Pentest kombiniert manuelle und automatisierte Angriffssimulationen und erfordert laut simplisec menschliches Fachwissen und Erfahrung.
• •Verlässlichkeit: Automatisierte Scans tragen laut Allgeier CyRis ein Risiko von False Positives und False Negatives, weil keine Verifikation der Schwachstelle durch aktive Ausnutzung stattfindet. Im Pentest wird jeder Fund manuell verifiziert - was im Bericht steht, ist real nachgewiesen und eingeordnet.
• •Aussagekraft: Scans bieten laut simplisec normalerweise nur begrenzte Details. Ein Pentest liefert laut audius eine detaillierte Analyse der Sicherheitslage und eine realistische Einschätzung der Angriffsvektoren - inklusive konkreter Handlungsempfehlungen für Ihre Techniker.
• •Preis: Ein reiner Schwachstellenscan kostet laut CODE-LEIN etwa 300-3.000 Euro, ein manueller Penetrationstest in Deutschland 4.000-30.000 Euro. Beides hat seine Berechtigung - problematisch wird es erst, wenn ein Scan zum Pentest-Preis verkauft wird.
• •Frequenz: Scans eignen sich für den Dauerbetrieb - laut ORBIT als kontinuierliche, bis zu tägliche Prüfung. Ein Pentest ist eine gezielte Momentaufnahme: ORBIT empfiehlt ihn mindestens einmal jährlich, der BSI-Praxis-Leitfaden empfiehlt Wiederholungsprüfungen alle zwei bis drei Jahre und betont, dass Ergebnisse nur zum Zeitpunkt des Tests gültig sind.

Warum die Unterscheidung wichtig ist: Die Bedrohungslage

Die Zahlen des BSI-Lageberichts zur IT-Sicherheit in Deutschland 2025 zeigen, warum reine Scan-Routinen für exponierte Systeme nicht genügen: Täglich wurden im Schnitt 119 neue Schwachstellen bekannt - ein Wachstum von rund 24 Prozent gegenüber dem vorherigen Berichtszeitraum. Angriffe über die aktive Ausnutzung von Schwachstellen (Exploitation) nahmen laut BSI-Messungen um 38 Prozent zu, und rund 80 Prozent der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen. Scanner finden davon nur, was bereits in ihren Datenbanken steht - die gezielte Ausnutzung von Konfigurations- und Logikfehlern bleibt unsichtbar, bis ein Mensch sie prüft. Oder ein Angreifer sie findet.

Wann reicht ein Scan - und wann brauchen Sie einen Pentest?

Die richtige Antwort ist fast nie entweder-oder, sondern eine Kombination: kontinuierliche Scans als Basis-Hygiene plus manuelle Penetrationstests für die Systeme, bei denen ein Einbruch wirklich weh tut. Diese acht Leitlinien helfen bei der Entscheidung:

Fazit: Beide Instrumente haben ihren Platz

Der Schwachstellenscan liefert Breite und Kontinuität: Er überwacht günstig und automatisiert, ob bekannte Lücken in Ihren Systemen auftauchen. Der Penetrationstest liefert Tiefe und Gewissheit: Er zeigt, was ein echter Angreifer mit Ihren Systemen tatsächlich anstellen könnte - verifiziert, priorisiert und mit konkreten Empfehlungen. Wer nur scannt, sieht die Masse der bekannten Schwachstellen, aber nicht die kritischen Angriffspfade. Wer nur alle paar Jahre pentestet, ist zwischen den Tests blind für Neues. Die Kombination aus beidem ist der belastbarste Ansatz.

Sodu Secure führt manuelle Penetrationstests nach OWASP und den Empfehlungen des BSI-Praxis-Leitfadens durch - mit OSCP-zertifizierten Testern, kostenlosem Retest und Bericht innerhalb von 24 Stunden auf Deutsch und Englisch. Web-App-Pentests starten ab 1.499 Euro, Netzwerk- und Active-Directory-Tests ab 2.500 Euro. Über das Anfrageformular erhalten Sie innerhalb eines Werktags ein konkretes Angebot.