Schwachstellenscan
Ein Werkzeug prüft Systeme automatisiert auf bekannte Schwachstellen, fehlende Updates und Fehlkonfigurationen. Das ist günstig, schnell und regelmäßig wiederholbar. Es liefert eine Liste, aber keine Aussage, ob ein Einbruch praktisch gelingt.
Penetrationstest
Fachleute versuchen unter vereinbarten Regeln, wie ein Angreifer in Systeme einzudringen und Rechte auszuweiten. Das ist aufwendiger, deckt aber Verkettungen von Schwächen auf, die Scanner übersehen. Ziel und Umfang (Scope), Zeitraum und Ansprechpartner werden vorab schriftlich festgelegt.
Wann was sinnvoll ist
- Regelmäßiger Scan (zum Beispiel vierteljährlich) für extern erreichbare Systeme und das interne Netz.
- Pentest vor dem Start kritischer Anwendungen, nach großen Änderungen oder wenn Auftraggeber und Versicherer ihn verlangen.
- Active-Directory-Audit als gezielte Konfigurationsprüfung des Verzeichnisdienstes.
- Im Anschluss zählt die Behebung: Ergebnisse priorisieren, Verantwortliche benennen, Nachtest durchführen.