Warum regelmäßige Schwachstellenscans unverzichtbar sind

Ein Schwachstellenscan zeigt immer nur den Zustand von heute. Warum daraus erst im festen Rhythmus Sicherheit wird – mit Intervallen, Behebungszyklus und den Anforderungen aus NIS2 und Cyberversicherung.

Was ein Schwachstellenscan ist – und was nicht

Ein Schwachstellenscan prüft Ihre Systeme automatisiert gegen eine ständig aktualisierte Datenbank bekannter Sicherheitslücken und typischer Fehlkonfigurationen. Er beantwortet eine einzige, sehr konkrete Frage: Wo ist mein Unternehmen heute angreifbar? Geprüft werden Betriebssysteme, Anwendungen, Netzwerkgeräte, Firewalls, von außen erreichbare Dienste und zunehmend auch Cloud-Konfigurationen.

Was ein Scan nicht ist: ein Angriff, ein Nachweis von Sicherheit oder ein Ersatz für Schutzmaßnahmen. Er liefert eine Liste – Sicherheit entsteht erst, wenn diese Liste abgearbeitet wird. Genau an dieser Stelle scheitern die meisten Projekte: Der erste Scan wird gemacht, der Bericht landet im Ordner, und ein Jahr später ist er wertlos.

Warum einmal scannen nicht genügt

Der wichtigste Punkt vorweg: Ein Scan ist eine Momentaufnahme. Er sagt Ihnen, wie Ihre IT an einem Dienstagvormittag aussah. Drei Dinge machen diese Aufnahme systematisch ungültig:

1. Neue Schwachstellen kommen täglich hinzu

Jedes Jahr werden rund 40.000 neue Schwachstellen (CVEs) veröffentlicht – etwa 100 pro Tag. Ein System, das im Januar sauber war, kann im Februar eine kritische Lücke haben, ohne dass sich an Ihrer IT irgendetwas geändert hat. Bei besonders schweren Lücken beginnen die ersten Massenscans von Angreifern oft innerhalb von Stunden nach Veröffentlichung.

2. Ihre IT verändert sich ständig

Ein neuer Server, eine freigegebene Portweiterleitung, ein Update, das eine Konfiguration zurücksetzt, ein Mitarbeiter, der einen Cloud-Dienst freischaltet, ein Testsystem, das nie abgeschaltet wurde. Jede dieser alltäglichen Änderungen kann eine Lücke öffnen, die im letzten Scan noch nicht existierte.

3. Konfigurationsdrift

Über Monate weichen Systeme von ihrem gehärteten Soll-Zustand ab: Ausnahmen, die „nur kurz" gelten sollten, Dienste, die für ein Projekt geöffnet und nie geschlossen wurden, Konten, die nach dem Austritt bestehen bleiben. Diese Drift ist unsichtbar, bis jemand danach sucht.

Deshalb ist der Schwachstellenscan keine Prüfung, sondern ein Prozess. Er gehört zum laufenden Betrieb wie Monitoring und Patch-Management – nicht in ein Projekt mit Enddatum.

Scan, Pentest, Audit: was wofür

Die drei Begriffe werden häufig verwechselt und teils gegeneinander ausgespielt. Sie beantworten unterschiedliche Fragen und ergänzen sich:

Für die meisten mittelständischen Betriebe ist die tragfähige Kombination: laufende Scans plus automatisierter Pentest als monatliche Kontrolle, dazu ein manueller Penetrationstest einmal jährlich für die kritischen Systeme und ein IT-Sicherheitsaudit für die organisatorische Seite.

Was Scans in der Praxis finden

Aus unseren Erstscans im Bergischen Land und im Rheinland wiederholen sich immer dieselben Fundklassen – und es sind selten die spektakulären:

• Ungepatchte Standardsoftware auf Clients: Browser, PDF-Reader, Archivprogramme, Java-Laufzeiten.
• Vergessene, von außen erreichbare Dienste: alte VPN-Gateways, offene Verwaltungsoberflächen, RDP-Zugänge „für den Notfall".
• Altsysteme ohne Herstellersupport, die eine einzige Maschine oder Fachanwendung am Leben halten.
• Netzwerkgeräte mit Werkseinstellungen: Switches, Drucker, Kameras, Zeiterfassung, Gebäudetechnik.
• Fehlkonfigurationen in Microsoft 365: fehlende MFA, zu weitreichende Freigaben, veraltete Authentifizierungsverfahren.
• Zertifikate und Verschlüsselung: abgelaufene Zertifikate, veraltete TLS-Versionen, schwache Verfahren.

Auffällig ist, wie oft der kritischste Fund ein System ist, von dem im Unternehmen niemand mehr wusste. Das ist die eigentliche Leistung des regelmäßigen Scans: Er hält Ihr IT-Inventar ehrlich.

Wie oft sollten Sie scannen?

Es gibt keine Zahl, die für jeden Betrieb gilt – aber es gibt einen belastbaren Richtwert nach Exposition. Je leichter ein System von außen erreichbar ist, desto kürzer das Intervall:

Wichtiger als das perfekte Intervall ist die Verlässlichkeit: Ein monatlicher Scan, der wirklich jeden Monat läuft und dessen Funde nachverfolgt werden, ist deutlich wertvoller als ein wöchentlicher Scan, dessen Berichte niemand liest.

Vom Fund zur Behebung: der Zyklus

Der Scan ist der einfachste Teil. Wert entsteht erst im Zyklus danach – bei uns in fünf Schritten:

• Inventarisieren. Alle Domains, öffentlichen IP-Adressen, Systeme und Cloud-Dienste erfassen. Was nicht bekannt ist, wird nicht gescannt – und ist damit blind.
• Scannen. Nach Intervall und Exposition, mit vorab abgestimmter Prüfintensität für empfindliche Systeme.
• Priorisieren. Nicht nach CVSS-Score allein, sondern nach tatsächlicher Erreichbarkeit und Geschäftsrisiko. Eine „mittlere" Lücke am Internet-Gateway ist dringender als eine „kritische" auf einem isolierten Testsystem.
• Beheben. Patchen, Konfiguration härten oder – wo ein Altsystem nicht patchbar ist – kompensierend abschirmen: Segmentierung, Zugriffsbeschränkung, verstärkte Überwachung.
• Nachscannen und dokumentieren. Erst der Nachscan beweist, dass die Lücke geschlossen ist. Die Dokumentation ist gleichzeitig Ihr Nachweis gegenüber Prüfern, Versicherern und Kunden.

Praktisch heißt das: Der Scan braucht einen Verantwortlichen und ein Zeitfenster für die Behebung. Wo diese Kapazität intern fehlt, übernehmen wir Scan, Priorisierung und Umsetzung als Teil der laufenden IT-Betreuung.

Was NIS2, Versicherer und Auftraggeber verlangen

Regelmäßige Schwachstellenscans sind längst nicht mehr nur eine technische Empfehlung. NIS2 verlangt von betroffenen Unternehmen ein Risikomanagement, das Schwachstellen erkennt, bewertet und behandelt – Scans mit dokumentierter Behebung sind der praktikabelste Nachweis dafür. Wer nicht direkt betroffen ist, gerät über die Lieferkette in die Anforderung: Auftraggeber geben ihre Pflichten weiter.

Parallel fragen Cyberversicherer im Antrag inzwischen sehr konkret ab, ob Schwachstellen regelmäßig geprüft und Patches zeitnah eingespielt werden. Falsche Angaben können im Schadenfall die Leistung kosten. Wer schon einen CyberRisikoCheck nach DIN SPEC 27076 gemacht hat, findet dort dieselben Punkte wieder.

Fünf Fehler, die wir immer wieder sehen

• Der Einmal-Scan. Ein Bericht zum Projektstart, danach nichts. Nach sechs Monaten ist er Papier.
• Scannen ohne Behebungskapazität. Wer keine Zeit für Patches einplant, produziert nur eine wachsende Liste.
• Nur von außen prüfen. Der Perimeter ist wichtig – aber nach dem ersten Klick auf eine Phishing-Mail zählt das Innere.
• Nach Score statt nach Risiko priorisieren. Der CVSS-Wert kennt Ihr Geschäft nicht.
• Nicht nachscannen. Ohne Nachweis wissen Sie nicht, ob der Patch wirklich griff – und haben nichts vorzulegen.

Schwachstellenscans in Solingen und der Region

Als IT-Systemhaus in Solingen betreuen wir Fertigungsbetriebe, Kanzleien, Praxen und Handelsunternehmen im gesamten Bergischen Land und Rheinland – von Wuppertal und Remscheid über Haan, Hilden, Langenfeld, Leichlingen, Monheim am Rhein, Wermelskirchen und Velbert bis Leverkusen, Düsseldorf und Köln. Gerade in produzierenden Betrieben der Region ist der kritische Punkt selten die Büro-IT, sondern die gewachsene Anlagentechnik: Steuerungen und Maschinen-PCs, die nicht patchbar sind und trotzdem im Netz hängen. Für diese Systeme prüfen wir mit reduzierter Intensität und schirmen ab, was nicht zu schließen ist.

Bei Kanzleien und Praxen steht die Nachweisbarkeit im Vordergrund: Der dokumentierte Scan-Verlauf ist im Ernstfall der Belegeteil der Rechenschaftspflicht. Wir liefern deshalb zu jedem Zyklus einen kurzen, lesbaren Bericht – nicht den Rohexport des Scanners. Einen Einstieg mit konkretem Ergebnis bietet unser automatisierter Pentest mit Hacktor: standardisiert, wiederholbar und ohne langes Projekt.

Schwachstellenscans – Fragen & Antworten

Wir setzen das als laufenden Zyklus um: wiederholbare Prüfung über den automatisierten Pentest, Tiefenprüfung im Penetrationstest, organisatorische Bewertung im IT-Sicherheitsaudit, Abschirmung nicht patchbarer Systeme über Managed Firewall und Erkennung dessen, was trotzdem durchkommt, im Managed SOC. Wie Sie Angriffe abwehren, wenn eine Lücke doch genutzt wird, lesen Sie im Ratgeber Ransomware-Schutz.