Einleitung
Security-Prüfungen werden oft unter einem einzigen Begriff zusammengefasst. In der Praxis unterscheiden sich Vulnerability Scan, Configuration Review, Security Assessment und Penetrationstest deutlich: Sie beantworten andere Fragen, liefern andere Evidenz und brauchen ein anderes Maß an Vorbereitung.
Dieser Decision Guide ordnet die Begriffe ein. Er hilft dabei, die passende Prüfung für Infrastruktur, Anwendungen, Kubernetes-Umgebungen und organisatorische Anforderungen auszuwählen, ohne aus jedem Thema sofort einen vollständigen Penetrationstest zu machen.
Vulnerability Scan
Ein Vulnerability Scan sucht automatisiert nach bekannten Schwachstellen, fehlenden Patches, exponierten Diensten, unsicheren Versionen und typischen Fehlkonfigurationen. Er ist schnell, wiederholbar und gut geeignet, um technische Basisrisiken sichtbar zu machen.
Die Grenzen sind wichtig: Ein Scan bewertet nicht zuverlässig, ob eine Schwachstelle unter realen Bedingungen tatsächlich ausnutzbar ist. Ergebnisse müssen priorisiert, fachlich geprüft und in den Kontext der betroffenen Systeme gesetzt werden.
Configuration Review
Ein Configuration Review prüft Konfigurationen, Policies, Rollen, Netzwerkregeln, Authentifizierung, Logging, Backup- und Betriebsparameter gegen definierte Anforderungen. Bei Kubernetes gehören dazu zum Beispiel RBAC, Service Accounts, NetworkPolicies und Pod Security Standards.
Diese Prüfung ist besonders sinnvoll, wenn Systeme grundsätzlich funktionieren, aber unklar ist, ob Sicherheits- und Betriebsstandards konsistent umgesetzt wurden. Sie liefert konkrete Härtungshinweise, ohne zwingend aktive Ausnutzung zu testen.
Security Assessment
Ein Security Assessment verbindet mehrere Prüfmethoden: Architekturverständnis, Konfigurationsanalyse, ausgewählte technische Checks, Risiko-Einordnung und Empfehlungen für Remediation. Es beantwortet nicht nur die Frage „Was ist offen?“, sondern auch „Welche Risiken zählen für diesen Betrieb wirklich?“.
Für viele Organisationen ist ein Assessment der passende Einstieg, weil es Scoping, technische Realität, Priorisierung und nächste Schritte zusammenführt. Daraus kann später ein gezielter Penetrationstest entstehen, wenn Umfang und Zielbild klar sind.
Penetrationstest
Ein Penetrationstest prüft kontrolliert, ob Schwachstellen wirklich ausnutzbar sind und welche Auswirkungen daraus entstehen. Dabei werden definierte Ziele, Grenzen, Testfenster, Kontaktwege und Abbruchkriterien vorab vereinbart.
Der Wert liegt nicht in einer möglichst langen Liste einzelner Findings, sondern in belastbarer Evidenz: Was lässt sich ausnutzen, wie kritisch ist es im konkreten Kontext, welche Maßnahmen schließen das Risiko und wie kann ein Retest die Wirksamkeit bestätigen?
Vergleich der Prüfarten
| Verfahren | Ziel | Automatisierung | Manuelle Analyse | Validiert Impact? | Typischer Output | Wann sinnvoll? |
|---|---|---|---|---|---|---|
| Vulnerability Scan | Bekannte Schwachstellen, Versionen und exponierte Dienste erkennen. | hoch | gering bis mittel | normalerweise nein | Findings, CVEs, Exposure und Priorisierungshinweise. | Wenn regelmäßig technische Schwachstellen sichtbar werden sollen. |
| Configuration Review | Konfigurationen, Rechte, Policies und Härtung gegen Anforderungen prüfen. | mittel | hoch | indirekt | Konkrete Fehlkonfigurationen und Härtungsmaßnahmen. | Wenn Plattformen, Kubernetes, Identity oder Netzwerkregeln sauber abgesichert werden sollen. |
| Security Assessment | Security Posture im technischen und organisatorischen Kontext bewerten. | mittel | hoch | teilweise | Risiko-Einordnung, priorisierte Maßnahmen und nächster Prüfpfad. | Wenn Architektur, Betrieb, Exposure und Kontrollen zusammen bewertet werden müssen. |
| Penetrationstest | Reale Angriffspfade unter autorisierten Bedingungen validieren. | mittel | sehr hoch | ja | Evidenz, Auswirkung, Risiko, Remediation und Retest-Punkte. | Wenn Ausnutzbarkeit und Auswirkungen belastbar nachgewiesen werden sollen. |
Vulnerability Scan
- Ziel
- Bekannte Schwachstellen, Versionen und exponierte Dienste erkennen.
- Automatisierung
- hoch
- Manuelle Analyse
- gering bis mittel
- Validiert Impact?
- normalerweise nein
- Typischer Output
- Findings, CVEs, Exposure und Priorisierungshinweise.
- Wann sinnvoll?
- Wenn regelmäßig technische Schwachstellen sichtbar werden sollen.
Configuration Review
- Ziel
- Konfigurationen, Rechte, Policies und Härtung gegen Anforderungen prüfen.
- Automatisierung
- mittel
- Manuelle Analyse
- hoch
- Validiert Impact?
- indirekt
- Typischer Output
- Konkrete Fehlkonfigurationen und Härtungsmaßnahmen.
- Wann sinnvoll?
- Wenn Plattformen, Kubernetes, Identity oder Netzwerkregeln sauber abgesichert werden sollen.
Security Assessment
- Ziel
- Security Posture im technischen und organisatorischen Kontext bewerten.
- Automatisierung
- mittel
- Manuelle Analyse
- hoch
- Validiert Impact?
- teilweise
- Typischer Output
- Risiko-Einordnung, priorisierte Maßnahmen und nächster Prüfpfad.
- Wann sinnvoll?
- Wenn Architektur, Betrieb, Exposure und Kontrollen zusammen bewertet werden müssen.
Penetrationstest
- Ziel
- Reale Angriffspfade unter autorisierten Bedingungen validieren.
- Automatisierung
- mittel
- Manuelle Analyse
- sehr hoch
- Validiert Impact?
- ja
- Typischer Output
- Evidenz, Auswirkung, Risiko, Remediation und Retest-Punkte.
- Wann sinnvoll?
- Wenn Ausnutzbarkeit und Auswirkungen belastbar nachgewiesen werden sollen.
Kubernetes als Beispiel
Kubernetes zeigt gut, warum die Unterscheidung wichtig ist. Ein Scan kann verwundbare Images oder exponierte Komponenten melden. Ein Configuration Review prüft RBAC, Service Accounts, Admission Controls, NetworkPolicies und Pod Security Standards. Ein Assessment bewertet zusätzlich Architektur, Mandantenfähigkeit, Betriebsmodell, Secrets, Logging und Backup.
Ein Penetrationstest geht einen Schritt weiter und prüft definierte Angriffspfade: Kann ein kompromittierter Workload Rechte erweitern, Secrets lesen, interne Services erreichen oder Cluster-Privilegien gewinnen? Solche Tests müssen klar abgegrenzt und betrieblich begleitet werden.
Welche Prüfung ist die richtige?
Ein Vulnerability Scan passt, wenn eine schnelle technische Bestandsaufnahme oder ein wiederkehrender Baseline-Check benötigt wird. Ein Configuration Review passt, wenn konkrete Systeme, Kubernetes-Cluster oder Identity- und Netzwerkregeln gehärtet werden sollen.
Ein Security Assessment passt, wenn Architektur, Betrieb und Risiken gemeinsam betrachtet werden müssen. Ein Penetrationstest passt, wenn Ausnutzbarkeit, Angriffspfade und Auswirkungen belastbar nachgewiesen werden sollen. In vielen Projekten ist die beste Reihenfolge: Assessment, priorisierte Härtung, gezielter Penetrationstest, Remediation und Retest.
Pentest und Remediation
Der eigentliche Nutzen entsteht nach der Prüfung. Findings müssen priorisiert, technisch verstanden und in umsetzbare Maßnahmen übersetzt werden. Dazu gehören klare Verantwortlichkeiten, realistische Fristen, sichere Workarounds, Härtung, Patching, Konfigurationsänderungen und Nachtests.
ForgeOne unterstützt diese Brücke zwischen Prüfung und Umsetzung: vom Scoping über technische Einordnung bis zu Remediation, Hardening und Retest. Für professionelle Penetrationstests arbeitet ForgeOne mit Ingram Micro Österreich zusammen.
Professionelle Unterstützung
Sicherheitsprüfung professionell planen
Wenn Sie nicht nur wissen möchten, welche Prüfart sinnvoll ist, sondern ein konkretes Security Assessment oder einen Penetrationstest planen, unterstützt ForgeOne bei Scoping, technischer Einordnung, Remediation und Retest.
