Was ist ein Vulnerability Scanner?

Ein Vulnerability Scanner untersucht Systeme automatisiert auf bekannte Sicherheitslücken, Fehlkonfigurationen und fehlende Updates. Er erkennt Hosts und Dienste, führt passende Prüfroutinen aus und vergleicht Ergebnisse mit Signaturen, Versionsinformationen oder Sicherheitsregeln. Scanner schaffen breite und wiederholbare Abdeckung. Ihre Findings müssen dennoch fachlich geprüft und im Kontext des betroffenen Systems bewertet werden.

Wie funktioniert ein Vulnerability Scanner?

1. Erreichbare Assets erkennen: IP-Adressen, Domains, Ports, Dienste oder Cloud-Ressourcen bestimmen.
2. Technologie identifizieren: Protokolle, Produkte, Versionen und Konfigurationsmerkmale erfassen.
3. Prüfungen auswählen: Passende Plugins oder Regeln für die erkannte Technologie ausführen.
4. Hinweise bewerten: Versionen, Antworten und lokale Daten mit bekannten Schwachstellen abgleichen.
5. Findings berichten: Betroffene Assets, Belege, Schweregrade und mögliche Behebung zusammenstellen.

Manche Checks erkennen lediglich eine Versionsnummer und vergleichen sie mit einer Datenbank. Andere senden eine ungefährliche Anfrage, um das verwundbare Verhalten zu bestätigen. Invasive Prüfungen versuchen den Fehler deutlicher auszulösen und können Systeme belasten. Welche Variante verwendet wird, muss zum Risiko und zur Umgebung passen.

Welche Arten von Scannern gibt es?

Die Kategorien überlappen. Eine Plattform kann Netzwerk-, Web- und Cloud-Prüfungen bündeln. Wichtig ist nicht die Produktbezeichnung, sondern welche Assets, Technologien und Fehlertypen tatsächlich abgedeckt werden.

Was unterscheidet authentifizierte und externe Scans?

Ein externer beziehungsweise nicht authentifizierter Scan sieht das System ähnlich wie ein Angreifer ohne Zugangsdaten. Er erkennt erreichbare Dienste, kann installierte Versionen aber häufig nur schätzen. Ein authentifizierter Scan meldet sich mit einem eingeschränkten Prüfkonto an oder verwendet einen Agenten. Dadurch kann er Pakete, Patchstände und lokale Einstellungen direkt erfassen. Das erhöht die Genauigkeit und entdeckt Probleme, die von außen nicht sichtbar sind.

Die Prüfrechte müssen ausreichen, dürfen aber nicht unkontrolliert eingesetzt werden. Zugangsdaten gehören in einen Secret Store, sollten zeitlich begrenzt und überwacht sein. Ein fehlgeschlagener Login darf nicht unbemerkt dazu führen, dass ein geplanter authentifizierter Scan nur oberflächlich arbeitet.

Was bedeuten False Positives und False Negatives?

Ein False Positive ist ein gemeldetes Problem, das im geprüften System nicht besteht. Ursache können ungenaue Versionserkennung, zurückportierte Patches oder ein nicht erreichbarer verwundbarer Codepfad sein. Ein False Negative ist eine vorhandene Lücke, die der Scanner nicht findet – etwa weil das Asset fehlt, die Authentifizierung scheitert, die Signatur noch nicht existiert oder Geschäftslogik manuelle Interaktion verlangt. Beide Fehlerarten lassen sich reduzieren, aber nicht vollständig ausschließen.

Wie wird ein Scan sicher durchgeführt?

• Scope freigeben:
  Ziele, Zeitfenster, Quelladressen, Ausschlüsse und Ansprechpartner dokumentieren.
• Asset-Bestand prüfen:
  Produktive, besonders empfindliche und nicht mehr unterstützte Systeme identifizieren.
• Profil anpassen:
  Denial-of-Service-Prüfungen und invasive Plugins nicht ohne bewusste Freigabe aktivieren.
• Betrieb überwachen:
  Last, Fehler und Alarme während des Scans beobachten und einen Abbruchweg festlegen.
• Daten schützen:
  Scan-Zugangsdaten und Berichte wie vertrauliche Sicherheitsinformationen behandeln.

Wie werden Ergebnisse bearbeitet?

Rohdaten sollten dedupliziert, verifiziert und einem verantwortlichen Asset zugeordnet werden. Eine CVE mit hohem CVSS-Wert erhält nicht automatisch die höchste interne Priorität. Erreichbarkeit, bekannte Ausnutzung, geschäftliche Bedeutung, Daten, Schutzmaßnahmen und mögliche Angriffsketten gehören in die Bewertung. Nach Patch oder Konfigurationsänderung bestätigt ein Retest, dass die Ursache tatsächlich behoben ist.

Scanner, Assessment oder Penetrationstest?

Beweist ein sauberer Scan Sicherheit?

Nein. Ein sauberer Report zeigt nur, dass der Scanner zu diesem Zeitpunkt in den erreichten Assets und mit den aktivierten Prüfungen keine gemeldete Bedingung gefunden hat. Zero-Day-Lücken, individuelle Geschäftslogik, komplexe Autorisierungsfehler, ungescannte Shadow IT und Schwächen außerhalb der Signaturdatenbank bleiben möglich. Scanning ist ein wichtiger kontinuierlicher Kontrollmechanismus, aber kein Sicherheitsnachweis für sich allein.