Auf Englisch heißt das Verfahren Vulnerability Scanning, die Werkzeuge Schwachstellenscanner. Sie sind das Messinstrument des Schwachstellenmanagements: Ohne regelmäßige Scans weiß ein Unternehmen nicht, wo veraltete Software oder unsichere Einstellungen laufen. Das US-Institut NIST beschreibt den Scan in seinem Leitfaden SP 800-115 als Technik, mit der Hosts, ihre Eigenschaften und die zugehörigen Schwachstellen ermittelt werden.
Wie läuft ein Schwachstellenscan ab?
- Ziele festlegen: Welche Netzbereiche, Server, Clients oder Webanwendungen werden geprüft, und wer hat das freigegeben?
- Erkennen: Der Scanner findet aktive Systeme und offene Dienste und ermittelt Betriebssysteme und Softwareversionen.
- Abgleichen: Die gefundenen Versionen und Einstellungen werden mit einer Datenbank bekannter Lücken verglichen, meist mit CVE-Kennung und CVSS-Bewertung. Die Signaturen müssen dafür vor jedem Lauf aktuell sein.
- Bewerten: Fachleute prüfen die Befunde, sortieren Falschmeldungen aus und ordnen sie nach Risiko.
- Nachprüfen: Nach der Behebung bestätigt ein erneuter Scan, dass die Lücke geschlossen ist.
Welche Arten gibt es?
- Extern und intern: Ein externer Scan zeigt, was aus dem Internet sichtbar ist. Ein interner Scan findet in der Regel deutlich mehr. NIST empfiehlt beide Blickwinkel.
- Mit und ohne Anmeldung: Scans mit Administrator-Zugangsdaten sehen installierte Software und Einstellungen im Detail; Scans ohne Anmeldung sehen nur, was ein Dienst nach außen verrät.
- Netzwerk-, Agenten- und Webanwendungsscans: Agenten auf den Geräten liefern laufend Daten, auch von Laptops außerhalb des Firmennetzes. Webanwendungsscanner suchen gezielt nach Fehlern wie Injection oder fehlenden Zugriffsprüfungen.
Schwachstellenscan oder Penetrationstest?
Ein Scan arbeitet breit und automatisch, ein Penetrationstest tief und manuell. Das BSI beschreibt den nicht invasiven Schwachstellenscan als Prüfung, die Lücken nicht ausnutzt und deshalb häufiger Falschmeldungen erzeugt, weil Scanner nach Versionsständen urteilen. Kombinationen mehrerer Schwachstellen erkennt ein Scanner nicht. NIST empfiehlt daher regelmäßige Scans, ergänzt durch Penetrationstests in größeren Abständen. Im IT-Grundschutz des BSI sind automatisierte Tests auf Schwachstellen eine Anforderung bei erhöhtem Schutzbedarf.
Praxis für KMU und Gemeinden
- Mit einem vollständigen Inventar beginnen, siehe IT-Asset-Management. Systeme, die nicht bekannt sind, werden auch nicht gescannt.
- Regelmäßig und nach größeren Änderungen scannen, die von außen erreichbaren Systeme besonders eng.
- Alte Geräte, Maschinensteuerungen und Gebäudetechnik behutsam prüfen, da aggressive Scans sie stören können.
- Nur Systeme scannen, für die eine Erlaubnis vorliegt, auch bei Cloud-Diensten und Hostinganbietern.
- Einen ersten Blick von außen auf die eigene Website liefert der kostenlose Website-Sicherheitscheck. Er prüft öffentlich sichtbare Merkmale und ersetzt keinen Schwachstellenscan.
Bezug zu TOMORIS
GRID.scout untersucht die vereinbarte Umgebung regelmäßig, bewertet Befunde mit Erreichbarkeit, Auswirkungen und Kontext und verfolgt die Maßnahmen bis zur Behebung nach. Die Updates selbst plant GRID.patch.