VulnerabilityScanner.
Scanner erkennen. Sie beheben nicht. Sie liefern technische Befunde zu bekannten Schwachstellen und Fehlkonfigurationen. Geschäftliche Priorisierung, Patch-Ausführung und Angriffspfad-Analyse bleiben eigenständige Aufgaben.
Die Architektur bestimmt die Aussage.
Ein Scan ist nur so belastbar wie seine Reichweite, Anmeldung und Asset-Zuordnung. Mehr Befunde bedeuten nicht automatisch bessere Abdeckung. Entscheidend ist, welche Systeme aus welcher Perspektive geprüft werden und ob fehlgeschlagene Prüfungen sichtbar bleiben.
Kein Sensor sieht alles.
Unauthentifiziert
Zeigt erreichbare Dienste und die Aussensicht. Lokale Pakete und Konfigurationen bleiben häufig verborgen.
Authentifiziert
Liest Patchstände und Einstellungen genauer. Qualität und Tiefe hängen von funktionierenden Credentials und Rechten ab.
Agent oder Connector
Erreicht mobile Systeme und dynamische Cloud-Ressourcen. Dafür entstehen Agentenbetrieb, Berechtigungen und Connector-Grenzen.
Container und Image
Prüft Pakete, Bibliotheken, Images und SBOMs früh im Build. Laufzeit, Host und Netzwerk benötigen weitere Sensoren.
Im Pilot muss die Lücke sichtbar werden.
Ein belastbarer Proof of Concept enthält bekannte verwundbare und bereits korrigierte Systeme. Er misst nicht nur Treffer, sondern auch erfolgreiche Authentifizierung, Asset-Zuordnung, übersehene Befunde und den realen Betriebsaufwand.
| Kriterium | Im Nachweis prüfen | Typischer Fehlermodus |
|---|---|---|
| Authentifizierung | Erfolgsquote je Plattform und benötigte Rechte | Der Scan läuft, die Anmeldung scheitert unbemerkt. |
| Befundqualität | Bekannte positive und negative Testfälle | Viele Treffer enthalten Fehlalarme oder übersehen relevante Zustände. |
| Abdeckung | Netz, Endpunkte, Cloud, Netzwerkgeräte, Images und isolierte Zonen | Nicht angebundene Bereiche fehlen auch in der Kennzahl. |
| Asset-Zuordnung | Stabile Kennung und Zusammenführung mehrerer Sensoren | Ein System wird mehrfach gezählt oder nach Adresswechsel verloren. |
| Compliance | CIS- und STIG-Inhalte, Aktualisierung und Export | Konfigurationsprüfung wird mit CVE-Erkennung verwechselt. |
| Betrieb | Scanner-Kapazität, Credential-Schutz sowie Agenten- und Feed-Updates | Die Plattform ist lizenziert, aber ihre Sensoren werden nicht gepflegt. |
| Kosten | Zählregel, Mindestmenge, Retention, Zusatzmodule und Support | Kurzlebige Assets oder Zusatzmodule verändern die realen Kosten. |
Gleicher Markt, unterschiedliche Rollen.
Die Auswahl umfasst Plattformscanner, Endpoint-Sensoren, einen verwalteten Dienst und spezialisierte Open-Source-Werkzeuge. Die Einträge sind deshalb nicht als Rangliste zu lesen.
| Produkt | Architektur | Auth. Scan | Agent | Container | Preismodell | Besonderheit |
|---|---|---|---|---|---|---|
| Tenable Nessus und Vulnerability Management | Netzwerk, Agent, Cloud-Plattform | Ja | Ja | Über Module | Subscription beziehungsweise Assets | Agent und Netzwerk-Scan kombinierbar |
| Qualys VMDR | Scanner, Cloud Agent, passive und Cloud-Sensoren | Ja | Ja | Ja | Asset-basierte Subscription | Mehrere Sensorarten und Inventar in einer Plattform |
| Rapid7 InsightVM | Scan Engines, Agent, Cloud-Konsole | Ja | Ja | Kein Kernfokus | Pro Asset | Scan Assistant reduziert Credential-Aufwand |
| Microsoft Defender Vulnerability Management | Endpoint-Sensor und Netzwerkgeräte-Scan | Für unterstützte Geräte | Über Defender | Über Defender for Cloud | Microsoft-Lizenzplan | Endpoint- und Threat-Kontext direkt verbunden |
| OPENVAS und Community Edition | Appliance, virtuelle oder eigene Installation | Ja | Nein | Nein | Open Source oder kommerziell | Deutscher Anbieter mit offenem Scanner-Ökosystem |
| Holm Security | Cloud oder On-Premises, Netz, Web, Cloud und API | Nach Zieltyp | Nicht primär | Kein allgemeiner Image-Scanner belegt | Nach geprüften Assets | Europäische Plattform mit transparenter Lizenzlogik |
| Intruder | Externer Cloud-Scanner und interner Agent | Für Webanwendungen | Ja, paketabhängig | Ja, paketabhängig | Grundgebühr plus Ziel | SaaS-Betrieb mit klaren Paketgrenzen |
| Nuclei und ProjectDiscovery Cloud | Template-CLI, CI/CD und Cloud | Templatespezifisch | Nein | Über Pipeline | Open Source oder Cloud-Abo | Schnell an neue Prüfanforderungen anpassbar |
| CrowdStrike Falcon Exposure Management | Falcon Sensor, Netzwerkbewertung und Datenimporte | Paketabhängig | Ja | Über Cloud-Module | Subscription | Vulnerability- und Exposure-Kontext verbunden |
| Arctic Wolf Aurora Vulnerability Management | Managed Service mit Agent und Scanner-Appliances | Über Scanner | Ja | Kein Kernfokus | Managed Subscription | Betriebsbegleitung statt reiner Scanner-Lizenz |
| Outpost24 OutscanNX | SaaS-basierter Netzwerk- und Web-Scanner | Produktabhängig | Kein Kernfokus | Kein Kernfokus | Subscription | Europäischer Anbieter mit RBVM-Produktlinie |
| Aqua Security Trivy | CLI für Images, Dateisysteme, Kubernetes und SBOM | Nicht anwendbar | Nein | Ja | Open Source | Stark in Build-Pipelines und Software-Lieferketten |
Technische Befunde verlässlich einordnen.
Der Scanner liefert die technische Beobachtung. CISA empfiehlt den KEV-Katalog als Eingang für die Priorisierung. NIST beschreibt Patch Management als eigenen Prozess von der Identifikation bis zur Installationsprüfung.
- CISA Known Exploited Vulnerabilities Catalog
- NIST SP 800-40 Rev. 4
- Credentialed und nicht authentifizierte Scans vergleichen
- Fehlgeschlagene Prüfungen sichtbar ausweisen
- Ticket, Ausnahme und Rescan bis zum Nachweis testen
Security Tool Navigator · Gebiet 02
Im Gebiet Asset, Vulnerability und Exposure einordnen.
Diese Werkzeugklasse gehört zum Gebiet Asset, Vulnerability und Exposure. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.