Schwachstellenanalyse –
Sicherheitslücken finden. Schnell.

Eine Schwachstellenanalyse (Vulnerability Assessment) ist eine systematische Prüfung Ihrer IT-Systeme auf bekannte Sicherheitslücken. Im Gegensatz zum Penetrationstest werden Schwachstellen identifiziert und nach CVSS bewertet, aber nicht aktiv ausgenutzt.

Schwachstellenanalyse = Identifikation und Bewertung von Sicherheitslücken (CVSS 3.1). Penetrationstest = Zusätzlich manuelle Exploitation mit Proof-of-Concepts. Für NIS2 Art. 21 empfiehlt sich ein vollständiger Penetrationstest. Bei eingeschränktem Budget ist die Schwachstellenanalyse ein guter Einstieg.

Eine professionelle Schwachstellenanalyse kostet bei Sodu Secure ab 1.499 € (automatisierter Schwachstellenscan) bzw. ab 2.500 € für den Scan mit manueller Verifikation und Vertiefung. Ein vollständiger manueller Pentest wird individuell kalkuliert - meist zwischen 4.000 und 20.000 €. Die Zwischenstufe mit manueller Verifikation lohnt sich, wenn die Fundliste direkt an Entwickler gehen soll, weil die Fehlalarme dort bereits entfernt sind.

Eine fokussierte Schwachstellenanalyse (1 bis 2 Systeme) dauert 1 bis 3 Tage. Eine umfassende Analyse der gesamten Infrastruktur 3 bis 7 Tage. Der Bericht wird innerhalb von 48 Stunden nach Abschluss geliefert.

Die Schwachstellenanalyse läuft in vier Schritten ab: Scoping und schriftliche Freigabe der Ziele, automatisierte Erfassung aller erreichbaren Systeme und Dienste, manuelle Verifikation jedes Treffers durch unsere Pentester und Übergabe des Berichts mit priorisierten Maßnahmen. Zwischen Auftrag und Testbeginn liegen meist nur wenige Tage, weil für die Analyse kein Vor-Ort-Termin nötig ist.

Sodu Secure kombiniert automatisierte Basis-Tools (Nessus, OpenVAS, Nikto) mit manueller Vertiefung durch OSCP-zertifizierte Experten. Das Ergebnis: keine False Positives, echte Proof-of-Concepts für kritische Findings.

Für eine externe Schwachstellenanalyse genügen die IP-Adressen und Domains, die geprüft werden sollen, plus eine schriftliche Testfreigabe. Für interne Systeme kommen ein VPN-Zugang oder ein Prüfgerät im Netz sowie optional Testkonten hinzu. Ein NDA unterzeichnen wir vorab. Die Vorbereitung auf Ihrer Seite dauert meist unter einer Stunde.

Nein. Wir arbeiten mit produktionssicheren Prüfprofilen und stimmen das Zeitfenster vorab mit Ihnen ab, auf Wunsch nachts oder am Wochenende. Tests, die Systeme belasten könnten, führen wir nur nach ausdrücklicher Freigabe und mit Ansprechpartner in Rufbereitschaft durch. Bei Auffälligkeiten brechen wir sofort ab und melden uns bei Ihnen.

Der Bericht enthält eine Management-Zusammenfassung ohne Fachjargon, jede Schwachstelle mit CVSS-Bewertung, betroffenem System, Nachweis und konkreter Behebungsempfehlung sowie eine nach Risiko sortierte Maßnahmenliste. Beide Sprachfassungen, Deutsch und Englisch, sind enthalten und lassen sich unverändert an Kunden, Auditoren oder Ihre Geschäftsführung weiterreichen.

Ja. Nach der Behebung prüfen wir die gemeldeten Schwachstellen kostenlos erneut und bestätigen schriftlich, welche Punkte geschlossen sind. Diesen Retest-Nachweis brauchen Sie in Audits und bei Kundenanfragen häufiger als den Erstbericht, denn er zeigt nicht nur die Lücken, sondern deren tatsächliche Behebung.

Eine Schwachstellenanalyse erfüllt die Grundanforderungen des technischen Schwachstellenmanagements nach ISO 27001 Annex A.8.8. Für eine vollständige ISO 27001-Zertifizierung und den NIS2 Art. 21-Nachweis empfiehlt sich ergänzend ein vollständiger Penetrationstest.

Ja, gerade dort. Kleine Unternehmen betreiben dieselben Standardsysteme wie Konzerne - Mailserver, VPN-Gateways, Webshops - und werden von automatisierten Angriffen genauso getroffen. Eine Schwachstellenanalyse zeigt in wenigen Tagen, welche dieser Systeme von außen angreifbar sind. Der Einstieg über den Schwachstellenscan liegt bei 1.499 €.