Scan, Pentest oder Audit: Welche Prüfung wofür
„Wir haben unsere Website prüfen lassen“ kann sehr Verschiedenes bedeuten — von zwei Minuten automatischer Messung bis zu zwei Wochen Handarbeit für einen fünfstelligen Betrag. Dieser Text erklärt die drei Prüfarten, was sie jeweils finden, was sie kosten und wann welche angemessen ist. Einschließlich der Fälle, in denen ein Scan nicht ausreicht.
Die drei Arten auf einen Blick
| Scan | Penetrationstest | Audit | |
|---|---|---|---|
| Was passiert | Automatische Messung gegen bekannte Muster | Menschen versuchen einzudringen | Prüfung von Prozessen und Nachweisen gegen einen Standard |
| Dauer | Sekunden bis Minuten | Tage bis Wochen | Wochen bis Monate |
| Wiederholbarkeit | täglich, automatisch | ein- bis zweimal im Jahr | meist jährlich |
| Kostenrahmen | 0 bis wenige hundert Euro im Jahr | mittlerer vierstelliger bis fünfstelliger Betrag | fünfstellig aufwärts |
| Ergebnis | Liste messbarer Abweichungen | Bericht mit tatsächlich ausgenutzten Wegen | Nachweis gegenüber Dritten |
| Findet | bekannte, sichtbare Schwächen | Verkettungen und Logikfehler | fehlende Prozesse und Dokumentation |
Der Scan
Ein Werkzeug ruft die Website auf und prüft eine feste Liste von Kriterien: Verschlüsselung, Zertifikat, Weiterleitungen, Sicherheitskopfzeilen, eingebundene Drittdienste, Cookies vor der Einwilligung, erreichbare Pflichtseiten, offen liegende Dateien, Softwareversionen.
Die Stärke ist nicht die Tiefe, sondern die Wiederholung. Ein Scan kostet fast nichts und lässt sich täglich laufen lassen. Damit findet er eine Kategorie von Problemen, die kein Test findet — solche, die neu entstehen:
- ein Zertifikat, dessen automatische Erneuerung nach einem Serverumzug nicht mehr greift,
- ein Theme-Update, das die lokal eingebundenen Schriften auf Google zurücksetzt,
- ein neu eingebautes Marketingwerkzeug, das vor der Einwilligung lädt,
- eine Sicherungsdatei, die jemand ins öffentliche Verzeichnis gelegt und vergessen hat,
- eine PHP-Version, die seit dem letzten Blick aus der Wartung gefallen ist.
Was ein Scan nicht kann: Er sieht nur die Außenhaut. Hinter einer Anmeldung, in der Rechtevergabe und in der Ablauflogik ist er blind. Und er bewertet nach Regeln — was keine Regel abbildet, taucht nicht auf.
Ein zweiter, seltener genannter Punkt: Ein Scan kann falsch positiv melden. Eine Seite, die einen Header bewusst weglässt, weil eine Anwendung ihn braucht, erscheint als Mangel. Deshalb gehört zu jedem Scanbericht jemand, der die Befunde einordnet — sonst arbeitet man eine Liste ab, die zum Teil keine Liste von Problemen ist.
Der Penetrationstest
Hier versuchen Menschen tatsächlich, in das System zu kommen — mit denselben Mitteln wie ein Angreifer, aber mit Auftrag und in vereinbarten Grenzen. Ein Test findet, was Werkzeuge nicht finden:
- Fehler in der Rechtevergabe. Ein angemeldeter Kunde ändert die Nummer in der Adresse und sieht die Rechnung eines anderen. Kein Scanner kann das feststellen, weil er die Bedeutung der Nummer nicht kennt.
- Logikfehler. Ein Rabattcode, der sich beliebig oft einlösen lässt. Ein Bestellvorgang, bei dem sich der Preis im Zwischenschritt verändern lässt.
- Verkettungen. Drei für sich harmlose Kleinigkeiten, die zusammen einen Weg ergeben. Das ist die eigentliche Domäne von Handarbeit.
- Alles hinter der Anmeldung, wenn Zugänge bereitgestellt werden.
Die Varianten
| Ansatz | Was der Tester bekommt | Sinnvoll wenn |
|---|---|---|
| Black Box | nur die Adresse | man wissen will, was ein Fremder erreicht |
| Grey Box | Zugänge und grobe Architektur | meist die beste Wahl — mehr Tiefe je eingesetztem Tag |
| White Box | zusätzlich Quellcode | bei eigenentwickelter Software mit hohem Schutzbedarf |
Ohne Vorwissen verbringt ein Tester einen erheblichen Teil der bezahlten Zeit damit, sich zu orientieren. Wer Grey Box beauftragt, bekommt für dasselbe Geld mehr geprüfte Fläche.
Woran man ein seriöses Angebot erkennt
- Der Aufwand wird in Personentagen genannt, nicht in „Seiten“.
- Es gibt eine schriftliche Vereinbarung über Umfang, Zeitraum und erlaubte Methoden.
- Der Bericht enthält nachvollziehbare Schritte zur Reproduktion, nicht nur Werkzeugausgaben.
- Ein Nachtest nach der Behebung ist enthalten oder benannt.
- Es wird gesagt, was nicht geprüft wurde.
Warnzeichen: Ein „Penetrationstest“ für wenige hundert Euro ist in aller Regel ein automatisierter Scan unter teurerem Namen. Der erkennbare Unterschied liegt im Bericht: Enthält er nur Werkzeugausgaben mit Kennnummern und Schweregraden, war kein Mensch am Werk.
Und ein rechtlicher Punkt: Ein Test ohne schriftliche Beauftragung durch den Betreiber ist nicht zulässig — auch nicht „zur Sicherheit“ oder als ungefragte Dienstleistung. Läuft die Website bei einem Hoster, sollte auch der informiert sein, weil Testverkehr sonst als Angriff gewertet wird.
Das Audit
Ein Audit prüft nicht, ob jemand hineinkommt, sondern ob die Organisation dahinter funktioniert: Gibt es dokumentierte Prozesse? Werden sie eingehalten? Sind Zuständigkeiten geregelt, Zugriffe dokumentiert, Sicherungen getestet?
Der typische Anlass ist ein Nachweis gegenüber Dritten:
- eine Zertifizierung nach ISO 27001 oder einem branchenspezifischen Standard,
- Anforderungen aus einer Ausschreibung, gerade im öffentlichen Bereich,
- Fragebögen großer Auftraggeber vor einer Zusammenarbeit,
- Auflagen von Versicherern.
Ein Audit sagt wenig darüber, ob die Website morgen angreifbar ist. Es sagt, ob es einen Prozess gibt, der so etwas bemerkt und behandelt. Beides ist wertvoll, aber es ist nicht dasselbe.
Was wofür — eine Entscheidungshilfe
| Ausgangslage | Angemessen |
|---|---|
| Unternehmenswebsite ohne Anmeldung, ohne Zahlung | Regelmäßiger Scan. Ein Pentest hätte hier wenig Fläche zu prüfen. |
| Onlineshop mit Kundenkonten | Scan laufend, dazu ein Pentest — vor allem für Kasse und Kundenbereich. |
| Eigenentwickelte Anwendung mit Nutzerdaten | Pentest, wiederkehrend, ergänzt um Scans zwischen den Terminen. |
| Agentur mit vielen Kundenwebsites | Scan über alle Seiten, damit Abweichungen auffallen. Pentests einzeln nach Bedarf. |
| Ausschreibung oder Zertifizierung steht an | Audit — der Scan ist trotzdem sinnvoll, weil er Belege liefert. |
| Nach einem Sicherheitsvorfall | Zuerst forensische Aufarbeitung, danach Pentest. Ein Scan hilft in dieser Lage wenig. |
Warum sich die Arten nicht ersetzen
Der häufigste Denkfehler ist, die drei als Stufen derselben Leiter zu sehen — als sei ein Pentest ein besserer Scan. Sie beantworten unterschiedliche Fragen:
- Der Scan beantwortet: Hat sich seit gestern etwas verschlechtert?
- Der Pentest beantwortet: Käme jemand hinein, der es ernsthaft versucht?
- Das Audit beantwortet: Können wir belegen, dass wir uns kümmern?
Ein Pentest ist eine Momentaufnahme. Drei Wochen nach dem Bericht kann ein Plugin-Update eine neue Lücke aufreißen, und der Bericht sagt darüber nichts. Umgekehrt findet ein Scan nie das, wofür man einen Menschen braucht.
In der Praxis ist die Kombination naheliegend: ein Test in Abständen, dazwischen die laufende Messung. Wer nur eines bezahlen kann, sollte danach entscheiden, was auf der Seite überhaupt zu holen ist — eine Website ohne Anmeldung und ohne Zahlungsverkehr bietet einem Pentest wenig Fläche, und dasselbe Geld ist dort in einer Aufräumaktion besser angelegt.
Wo wir selbst stehen
Damit das eingeordnet ist: Apexly ist ein Scanner. Das Werkzeug misst regelmäßig, was von außen sichtbar ist, protokolliert Veränderungen und meldet Abweichungen. Es ersetzt keinen Penetrationstest und kein Audit — und wo ein Test die richtige Antwort ist, sagen wir das lieber hier, als es im Verkaufsgespräch zu umgehen.
Was ein Scanner besser kann als jeder Test: Er ist am Montag noch da. Die häufigste Ursache eines Problems ist nicht, dass eine Seite unsicher gebaut wurde, sondern dass sie es geworden ist — durch eine Änderung, die niemand als sicherheitsrelevant wahrgenommen hat.
Häufige Fragen
Was ist der Unterschied zwischen einem Scan und einem Pentest?
Ein Scan prüft automatisiert gegen bekannte Muster und sieht, was von außen sichtbar ist. Ein Penetrationstest ist Handarbeit: Menschen versuchen tatsächlich, in das System zu kommen, kombinieren mehrere kleine Schwächen und finden Fehler in der Ablauflogik, die kein Werkzeug erkennt.
Was kostet ein Penetrationstest?
Für eine überschaubare Webanwendung liegen die Angebote meist im mittleren vierstelligen bis unteren fünfstelligen Bereich. Der Preis richtet sich nach dem Aufwand in Personentagen, nicht nach der Zahl der Seiten. Deutlich günstigere Angebote sind in der Regel automatisierte Scans unter anderem Namen.
Reicht ein Scan für die DSGVO?
Für den technischen Teil deckt er viel ab: Verschlüsselung, Drittdienste, Cookies vor der Einwilligung, erreichbare Pflichtseiten. Die organisatorischen Pflichten — Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge, Löschfristen — kann kein Werkzeug von außen prüfen. Die vollständige Liste steht in der DSGVO-Checkliste.
Wann brauche ich ein Audit statt eines Tests?
Wenn ein Nachweis gegenüber Dritten gefordert ist — bei Zertifizierungen, in Ausschreibungen, bei Anforderungen von Auftraggebern oder Versicherern. Ein Audit bewertet Prozesse und Dokumentation gegen einen Standard, nicht die technische Angreifbarkeit.
Kann ein Scan einen Pentest ersetzen?
Nein, und umgekehrt genauso wenig. Ein Scan läuft regelmäßig und findet Abweichungen am Tag, an dem sie entstehen. Ein Pentest ist eine Momentaufnahme in großer Tiefe. Sinnvoll ist die Kombination: der Test in Abständen, der Scan dazwischen.
Darf ich einen Pentest bei meinem Hoster einfach beauftragen?
Du brauchst die Zustimmung des Betreibers — bei der eigenen Seite bist du das selbst — und solltest den Hoster informieren. Testverkehr wird sonst als Angriff gewertet und die Adresse gesperrt, was den Test abbricht und im ungünstigen Fall die Seite lahmlegt.
Den Scan-Teil kannst du sofort haben
Ein Scan pro Tag ist kostenlos — ohne Anmeldung, ohne Installation.
Stand: 6. August 2026. Dieser Text erklärt technische Zusammenhänge und ist keine Rechtsberatung.