Pen-Test oder Schwachstellenscan? Der Unterschied einfach erklärt

Kurz gesagt: Ein Schwachstellenscan läuft automatisiert und meldet bekannte Lücken. Ein Pen-Test geht weiter: Erfahrene Tester prüfen manuell, ob und wie sich Schwachstellen ausnutzen lassen – und zeigen, wie weit ein Angreifer tatsächlich käme.

Was ist ein Schwachstellenscan?

Ein Scanner vergleicht Ihre Systeme mit Datenbanken bekannter Schwachstellen. Das ist schnell und eignet sich gut für eine regelmäßige Bestandsaufnahme. Ob eine gemeldete Lücke in Ihrer Umgebung wirklich ausnutzbar ist, beantwortet der Scan allein aber nicht.

Was ist ein Penetrationstest?

Ein Penetrationstest ist ein autorisierter, umfassender Sicherheitstest Ihrer IT. Wir greifen Netzwerke, Systeme und Anwendungen mit den Methoden echter Angreifer an – kontrolliert, abgestimmt und dokumentiert. So finden wir auch Lücken, die kein Tool meldet.

Interner oder externer Pen-Test?

• Extern: Wir prüfen Ihre Systeme aus Sicht eines Angreifers von außen, etwa über das Internet.
• Intern: Wir gehen davon aus, dass ein Angreifer bereits im Netz ist – zum Beispiel über einen infizierten Rechner oder einen Insider.

Wann ist welcher Test sinnvoll?

Scans eignen sich für die laufende Kontrolle. Ein Pen-Test ist sinnvoll, wenn Sie wissen müssen, ob Ihre Schutzmaßnahmen im Ernstfall halten – etwa nach einem Cloud-Umzug, neuen Anwendungen, einem Sicherheitsvorfall oder wenn Versicherer und Kunden nachweisbare Sicherheitsmaßnahmen verlangen. Auch unter NIS-2 sind Pen-Tests ein praxisnaher Weg, die Wirksamkeit Ihrer Maßnahmen zu belegen.

Das Ergebnis

Sie erhalten einen detaillierten Bericht, in dem jede Schwachstelle nach Kritikalität eingestuft ist – mit konkreten Empfehlungen, was Sie zuerst beheben sollten. Einen kompakten Einstieg bietet unser Cyber Day.

Alle Testverfahren im Überblick: Cyber-Security & Pen-Tests.

Stand: September 2026.