Wirkung prüfen,
nicht annehmen.
Security Testing und Validation prüft, ob Schutzmassnahmen gegen realistische Angriffe tatsächlich wirken. Ein Pentest findet Lücken zu einem Zeitpunkt. Laufende Validierung prüft wiederholt, ob Kontrollen greifen. Red und Purple Teaming testen zusätzlich Erkennung und Reaktion der Organisation.
Drei Ebenen, 7 Werkzeugklassen.
Eine Plattform kann mehrere Ebenen abdecken. Für die Auswahl zählt, welche Aufgabe sie verlässlich erfüllt und wer die Ergebnisse verantwortet.
Lücken gezielt finden.
Penetration Testing sucht ausnutzbare Schwachstellen in einem festgelegten Umfang und Zeitraum.
Kontrollen wiederholt prüfen.
Automated Pentesting, BAS und Continuous Validation wiederholen Angriffstechniken und zeigen, ob Schutz und Erkennung greifen. Control Validation weist Design und Wirkung der Kontrollen nach.
Menschen und Abläufe testen.
Adversary Emulation, Red und Purple Teaming prüfen Erkennung und Reaktion. Phishing-Simulation misst das Verhalten der Mitarbeitenden.
Alle Werkzeugklassen im Gebiet.
Vulnerability Assessment
Vulnerability-Management-Werkzeuge im Vergleich: Schwachstellen erkennen, bewerten und priorisiert beheben. Querverweis: Die Seite ist einem anderen Gebiet zugeordnet.
Penetration Testing
Pentesting-Werkzeuge im Vergleich: Schwachstellen durch simulierte Angriffe gezielt aufdecken.
Automated Pentesting
Automated Pentesting führt freigegebene Prüfungen wiederholbar aus und dokumentiert, ob aus mehreren Schwächen ein nutzbarer Angriffsweg entsteht.
BAS
Kontrollierte Angriffssimulationen zur Prüfung technischer Kontrollen.
Continuous Validation
Wiederholte Sicherheitsvalidierung und dokumentierte Retests.
Red, Purple, Emulation
Red Teaming, Purple Teaming und Adversary Emulation: realistische Angriffe nachstellen und Schutz, Erkennung und Reaktion gemeinsam mit dem Blue Team verbessern.
Phishing Simulation
Phishing Simulation prüft, wie Menschen, Meldewege und E-Mail-Schutz auf kontrollierte Social-Engineering-Szenarien reagieren.
Control Validation
Nachweis von Design, Betrieb und Wirkung von Sicherheitskontrollen.
CIO und CISO entscheiden nicht dasselbe.
CISO: Schutzwirkung
Der CISO braucht Nachweise, dass Kontrollen gegen relevante Angriffe wirken.
- Welche Szenarien sind für uns realistisch?
- Wie werden Befunde bis zur Behebung verfolgt?
- Wer darf Tests in der Produktion freigeben?
CIO: Betriebsfähigkeit
Der CIO verantwortet, dass Tests den Betrieb nicht gefährden.
- Welche Systeme sind vom Test ausgenommen?
- Wie wird ein Testabbruch ausgelöst?
- Wer trägt das Risiko eines durch den Test ausgelösten Ausfalls?
Was dieses Gebiet nicht abdeckt.
Security Testing liefert Befunde über Wirksamkeit. Asset, Vulnerability und Exposure führt Schwachstellen laufend, Security Operations verbessert die Erkennung, und Audit Management im Gebiet Governance prüft unabhängig.
Orientierung, keine Produktempfehlung.
Die Einordnung stützt sich auf Standards, Rahmenwerke und Rechtsgrundlagen. Produktangaben stehen auf den einzelnen Werkzeugseiten.
Stand: 10. Oktober 2026 · Nächste planmässige Prüfung: 10. Januar 2027 · Produktangaben und regulatorische Anwendbarkeit sind vor einer konkreten Entscheidung erneut zu prüfen.