Monatlicher Schwachstellenscan: was er sieht und was nicht

Der monatliche Bericht zum Schwachstellenscan ist sauber: null kritische Funde, zwei mittlere, ein grünes Diagramm. Sie leiten ihn an die Geschäftsleitung weiter und wenden sich anderem zu. Auf Seite eins steht nicht, ob der Scanner auf die Server gelangt ist oder nur angeklopft hat, welche Geräte er von vornherein übersprungen hat und was seit dem Tag des Scans auf der Liste der Angreifer gelandet ist.

Den letzten Punkt kann man zählen. In den vergangenen 365 Tagen kamen in den CISA-Katalog der Schwachstellen mit bestätigter Ausnutzung (KEV) 315 Einträge hinzu, rund 26 alle 30 Tage, nach unserer Zählung im offiziellen Feed vom 4. November 2026. Nicht alle betreffen Sie. Aber zwischen zwei monatlichen Scans bewegt sich die Liste der Angreifer, während Ihr Bericht bleibt, wie er ist.

Warum ein sauberer Bericht kein sauberes Netz bedeutet

Ein Scanner meldet, was er prüfen konnte. Was er nicht geprüft hat, fehlt auf der Liste, und eine kurze Liste sieht genauso aus wie ein gut gepflegtes Netz. Vier konkrete Wege, wie das passiert:

• Der Scanner blieb draußen. Tenable, der Hersteller von Nessus, sagt, dass ein nicht authentifizierter Scan das Netz so sieht wie ein Angreifer von außen und kein vollständiges Bild liefert; lokale Prüfungen setzen eine Authentifizierung voraus. Nessus hat dafür sogar ein eigenes Plugin, 21745, das meldet, dass die Patch-Bewertung nicht gelaufen ist, etwa weil die Anmeldung mit den Zugangsdaten fehlgeschlagen ist.
• Der Scanner hat Geräte übersprungen. Nessus markiert Drucker und Multifunktionsgeräte standardmäßig als „Dead“ und überspringt sie, weil sie schlecht auf Scans reagieren. Was übersprungen wird, taucht im Bericht nicht auf.
• Dem Scanner fehlte die Prüfung. In einem Benchmark vom Januar 2024, durchgeführt von Pentest-Tools.com (ein Wettbewerber mit eigenem Scanner im Test), beanspruchte Nessus bei 128 verwundbaren Umgebungen, die aus der Ferne, ohne Authentifizierung und mit Standardeinstellungen erkennbar sind, die Erkennung für 67,19 % und identifizierte tatsächlich 22,66 %. Das ist keine Erkennungsrate aus dem Produktivbetrieb und zeigt nicht, dass Nessus schwach wäre. Es zeigt, dass eine Signaturdatenbank keine Garantie ist.
• Die Liste enthält Rauschen. Red Hat behebt Fehler per Backport, ohne die Versionsnummer zu ändern, und Werkzeuge, die nur nach der Versionsnummer entscheiden, melden Fehlalarme. Die Zeit dafür fehlt demselben Team, das den Rest beheben sollte.

Dazu kommt, was ein Scanner gar nicht erst sehen will: Berechtigungen, Anwendungslogik, Angriffsketten. Den Unterschied zwischen Scan, Audit und Pentest erklären wir in einem eigenen Artikel.

Der naheliegende Ausweg, „wir installieren einfach einen kostenlosen Scanner“, scheitert schnell an der Lizenz. Nessus Essentials bedeutet bis zu 5 IP-Adressen, eine 30-Tage-Lizenz, Plugins mit 30 Tagen Verzögerung und ausschließlich nichtkommerzielle Nutzung, ist für ein Unternehmen also keine Option (Sie finden noch Seiten Dritter mit 16 IPs; maßgeblich ist die Seite von Tenable). Nessus Professional kostet 4.790 US-Dollar pro Jahr bei einer Einjahreslizenz. OpenVAS hat einen kostenlosen Community-Feed für weit verbreitete Software und Systeme, während Netzwerkgeräte wie Cisco oder Palo Alto zu dem gehören, was der kostenpflichtige Enterprise-Feed ergänzt. Steht Ihr Perimeter auf dieser Liste, prüfen Sie vorher, was die kostenlose Variante abdeckt.

Ein Schwachstellenscan ist ein Messinstrument

Die übliche Frage lautet, wie viele kritische Funde der Scanner hatte. Die nützliche Frage lautet, wie die Messung eingestellt war. Wie weit Sie sich auf die Liste verlassen können, hängt von vier Einstellungen ab: wie oft Sie messen, von wo aus Sie schauen, mit welchem Zugriff Sie hineingehen und was Sie zwischen zwei Messungen tun. Ändern Sie Position oder Zugriff, erhalten Sie im selben Netz eine andere Liste.

Ein sauberer Bericht sagt Ihnen, was der Scanner nicht gefunden hat. Über Ihr Netz sagt er nur so viel, wie Sie ihn haben sehen lassen.

Wie oft: Die Standards nennen nicht dieselbe Zahl

Suchen Sie die Antwort in den Standards, bekommen Sie fünf Antworten:

• Technischer Leitfaden der ENISA v1.0, Juni 2025: Eine Orientierungsliste schlägt wöchentliche Scans auf neue Schwachstellen vor, mit dem Hinweis, dass die Häufigkeit von der Risikobewertung abhängt, dazu Scans nach Vorfällen oder wesentlichen Änderungen. Der Leitfaden ist nicht verbindlich.
• CIS Controls: monatlich oder häufiger für extern exponierte Assets (Safeguard 7.6, Scanner läuft im Abstand von höchstens 30 Tagen) und vierteljährlich oder häufiger intern (Safeguard 7.5). Das gilt für die Gruppen IG2 und IG3, nicht für IG1.
• PCI DSS v4.0.1: intern und extern mindestens alle drei Monate, externe Scans über einen ASV, laut den herangezogenen Sekundärquellen.
• Durchführungsverordnung (EU) 2024/2690: Scans, wo angemessen, mit Nachweisen, in geplanten Abständen. Keine Zahl. Sie richtet sich an digitale Einrichtungen (DNS, Cloud, Rechenzentren, verwaltete Dienste und andere), nicht an alle NIS2-Einrichtungen.
• ISO 27001:2022, A.8.8: keine feste Häufigkeit in den herangezogenen Sekundärquellen.

Die Zahlen schließen sich nicht aus. Manche sind Compliance-Schwellen, andere Empfehlungen, und sie richten sich an unterschiedliche Adressaten. In Rumänien genehmigt die Anordnung Nr. 1 vom 6. August 2026 der nationalen Cybersicherheitsbehörde DNSC, veröffentlicht im Amtsblatt Nr. 712 vom 27. August, die Risikomanagementmaßnahmen; die Anhänge stehen in 712 bis. Den Anhang konnten wir nicht lesen, deshalb sagen wir nichts dazu, was er zum Scannen vorgibt: Prüfen Sie dort die Maßnahme für Ihre Stufe. Die Pflichten gegenüber der DNSC haben wir gesondert zusammengestellt. Wer in einem anderen EU-Land sitzt, prüft die entsprechenden nationalen Vorgaben.

Die praktische Schlussfolgerung: Es gibt keine Zahl zum Abschreiben. Sie wählen einen Rhythmus, begründen ihn mit dem Risiko und halten ihn schriftlich fest. Monatlich für alles Exponierte und mindestens vierteljährlich intern ist die CIS-Schwelle, ein guter Bezugspunkt für die Begründung. Wir haben keine Daten gefunden, die zeigen, dass häufigeres Scannen auch zu schnellerem Beheben führt. Zahlen Sie also nicht für eine Frequenz, die Ihr Team nicht verarbeiten kann.

Von wo aus: Extern und intern messen etwas anderes

Ein externer Scan zeigt, was jeder im Internet sieht, auch diejenigen, die rund um die Uhr automatisiert scannen. Ein interner Scan zeigt, was jemand findet, der schon drin ist. Der Unterschied zeigt sich in den Daten: Im Edgescan-Report 2026 sind auf der Netzwerkebene 24,62 % der Schwachstellen auf nicht öffentlichen Assets kritisch oder hoch, gegenüber rund 10 % auf öffentlichen. Die Grundgesamtheit sind Edgescan-Kunden, die Schwere folgt dem eigenen Score des Anbieters, das Ganze ist also kein Abbild kleiner und mittlerer Unternehmen. Unsere Lesart: Wer nur den Perimeter scannt, misst den Teil, der besser aussieht.

Im selben Report machen CVEs mit Kennungen aus 2020 oder früher rund 44 % der Vorkommen auf öffentlichen Assets und rund 38 % auf internen aus (die Summen stammen von uns, aus den Tabellen des Reports; die Kennung entspricht nicht immer dem Veröffentlichungsjahr). Unsere Lesart: Ein guter Teil dessen, was ein Scan findet, ist nicht erst diesen Monat aufgetaucht.

Mit welchem Zugriff: Hier zeigen die Standards in dieselbe Richtung

Beim Rhythmus unterscheiden sie sich, beim Zugriff nicht. CIS zählt die von authentifizierten Scans abgedeckten Assets gesondert, der ENISA-Leitfaden schlägt sie vor, wo es möglich ist, und PCI DSS v4.0.1 verlangt sie für interne Scans seit dem 31. März 2025, laut denselben Sekundärquellen. Authentifizierter Scan heißt: Der Scanner meldet sich mit einem Konto am System an, oft mit erhöhten Rechten, und führt lokale Prüfungen durch, statt nur aus dem Netz zu schauen. Wie viel mehr er findet, wissen wir nicht: Hinter den kursierenden Zahlen steht keine Studie, also nennen wir Ihnen keine.

Die praktische Frage ist, auf wie vielen Hosts die Authentifizierung geklappt hat. Ein auf dem Papier authentifizierter Scan, dessen Zugangsdaten auf einem Teil der Systeme abgewiesen wurden, misst weniger, als auf dem Deckblatt steht.

Was die Zeit zwischen zwei Scans abdeckt

Das reine Volumen sagt wenig. Von Januar bis April 2026 wurden 20.293 CVEs veröffentlicht, rund 5.073 pro Monat (der Durchschnitt ist unsere Rechnung), und FIRST prognostiziert rund 66.000 für das ganze Jahr, mit dem Zusatz vom Juni, dass die handlungsrelevante Last, gemessen über KEV und EPSS über 10 %, flach bleibt. Unsere Zählung im CISA-Feed zeigt inzwischen 284 Zugänge in 2026 bis zum 4. November, gegenüber 245 im gesamten Jahr 2025, mit 43 im September und 36 im Oktober. Zeiträume und Messgrößen unterscheiden sich, und zwei Monate machen keinen Trend, daraus folgt also nicht, dass FIRST sich geirrt hätte.

Für Ihr Intervall zählt etwas anderes: 50 dieser 284 tragen Kennungen aus 2024 oder früher. Auf die Liste bestätigter Ausnutzung geraten auch alte Schwachstellen, die Reihenfolge im Bericht des Vormonats kann also veralten, ohne dass der Scanner gelaufen wäre. Auch Tempo hilft nicht: M-Trends 2026 schätzt die mittlere Zeit bis zur Ausnutzung auf -7 Tage, die Ausnutzung kommt also meist vor dem Fix, bei einer Grundgesamtheit von Organisationen, die Mandiant gerufen haben. Dort sind Exploits auch der häufigste Erstzugang, mit 32 % der Intrusionen; der DBIR 2026 nennt 31 %, bei einer anderen Grundgesamtheit.

Verlassen Sie sich auch nicht auf eine Benachrichtigung. 2025 informierte die rumänische DNSC 2.020 öffentliche Einrichtungen und Betreiber wesentlicher Dienste über mehr als 43.000 ausnutzbare Schwachstellen. Ein gewöhnliches Privatunternehmen steht nicht auf dieser Liste, das Intervall decken Sie also selbst ab.

So wird ein Schwachstellenscan belastbar

1. 1Schreiben Sie auf, was gescannt werden soll, und vergleichen Sie das mit dem, was das Werkzeug tatsächlich gescannt hat. Genau das schlägt der ENISA-Leitfaden als Nachweis vor: die Konfiguration, die zeigt, dass der Scanner die gesamte relevante Infrastruktur abdeckt und aktuelle Definitionen hat.
2. 2Legen Sie den Rhythmus schriftlich fest, mit Begründung: extern mindestens monatlich, intern mindestens vierteljährlich, dazu ein Scan nach jeder wesentlichen Änderung.
3. 3Nutzen Sie für authentifizierte Scans ein eigenes Konto und prüfen Sie bei jedem Bericht, auf wie vielen Hosts es geklappt hat. In Nessus ist Plugin 21745 der Ausgangspunkt.
4. 4Führen Sie eine eigene Liste dessen, was vom Scan ausgenommen ist, von Druckern bis zu OT-Geräten, die gesondert behandelt werden, und schreiben Sie auf, wie Sie diese anders prüfen. Ein übersprungenes Gerät bleibt im Netz.
5. 5Gleichen Sie wöchentlich die neuen Einträge im CISA-KEV-Feed mit Ihrem Inventar ab und verfolgen Sie die Kanäle, die die Verordnung 2024/2690 als Beispiel nennt: CSIRTs, Behörden, Hersteller.
6. 6Fordern Sie die kostenlosen täglichen Shadowserver-Berichte für Ihren Netzbereich an. Sie gehen an den, der diesen Bereich kontrolliert, mit Identitätsprüfung.
7. 7Bewahren Sie die Nachweise auf: Scan-Plan, Ergebnisse und was Sie daraus gemacht haben. Die Verordnung 2024/2690 verlangt von den erfassten Einrichtungen Nachweise der Ergebnisse, der ENISA-Leitfaden schlägt zusätzlich Protokolle mit Plan und Folgemaßnahmen vor, und laut veröffentlichten Zusammenfassungen der DNSC-Anordnung ist die Selbstbewertung in Rumänien jährlich. Mit Protokollen müssen Sie dann nichts rekonstruieren.

Für die Zeit zwischen den Scans haben wir auch ein eigenes Produkt, Sentinel, bei dem die Priorisierung nach mehreren Kriterien zum Produkt gehört, nicht zum Scan-Paket.

Was Sie jeden Anbieter fragen sollten, auch uns

Das Paket Monatliches Vulnerability Scanning aus unserer Paketliste umfasst einen monatlichen externen und internen Scan mit Nessus/OpenVAS, einen priorisierten CVSS-Report, konkrete Empfehlungen zur Behebung und einen Retest nach dem Fix auf Anfrage. Pentests sind eine eigene Leistung unter Cybersicherheit. Die Katalogpreise pro Monat:

• Micro, bis 10 Hosts: 340 € zzgl. MwSt.
• Small, 10-50 Hosts: 720 € zzgl. MwSt.
• Medium, 50-100 Hosts: 1.400 € zzgl. MwSt.
• Large, 100+ Hosts: 2.600 € zzgl. MwSt.

Im Katalog steht CVSS, also sagen wir direkt, wie Sie es lesen sollten: als Startpunkt der Reihenfolge, nicht als ihr Ziel. Bei Edgescan machen drei Kategorien fast 60 % der kritischen und hohen Funde in Netzwerk und Host aus (Diffie-Hellman DoS 24 %, OpenSSH 22 %, SWEET32 13,2 %), und rund 6,2 % der entdeckten Schwachstellen stehen in Verbindung mit Ransomware-Kampagnen. Die mittlere Behebungszeit bei Edgescan-Kunden liegt für kritische und hohe Funde bei 39 Tagen auf Gerät und Netzwerk, erreicht aber 134,3 Tage bei EPSS über 0,7, und der Report kommt zu dem Schluss, dass sich die Priorisierung noch immer mehr an CVSS orientiert als an EPSS oder KEV. Außerdem ergänzt NIST nicht mehr routinemäßig einen eigenen Score, wenn bereits einer existiert, woraus wir schließen, dass der Score im Bericht immer öfter vom Produkthersteller stammt. Wie Sie die Liste ordnen, sobald Sie sie haben, steht im Artikel über ungepatchte Schwachstellen.

Bevor Sie unterschreiben, bei uns oder anderswo, fragen Sie:

• Ist der interne Scan authentifiziert? Auf wie vielen Hosts hat es im letzten Bericht geklappt?
• Was wurde vom Scan ausgenommen, und wo sehe ich das im Bericht?
• Welches Werkzeug und welcher Feed laufen auf meinen Perimetergeräten?
• Nennt der Bericht nur CVSS oder auch KEV und EPSS?
• Wer validiert Fehlalarme, und in welchen Zeitfenstern laufen die Scans? Orange Business Rumänien nennt zum Beispiel manuelle Validierung und Scans in Wartungsfenstern, das ist ein Marktvergleich für diese Frage.
• Ist der Retest im Preis enthalten? Was zählt als Host?

Ein Teil unserer Antworten steht nicht im Paketblatt, stellen Sie uns die Fragen also genauso direkt. Ein Anbieter, der der Frage nach den authentifizierten Hosts ausweicht, verkauft Ihnen eine Liste, ohne zu sagen, was sie gemessen hat.

Fazit

Ein monatlicher Schwachstellenscan ist sein Geld so weit wert, wie Sie wissen, was er gemessen hat: in welchem Rhythmus, aus welcher Position, mit welchem Zugriff und was Sie zwischen zwei Läufen getan haben. Ohne diese vier Antworten ist ein sauberer Bericht nur eine kurze Liste. Wenn Sie Ihren letzten Bericht gemeinsam mit uns ansehen wollen, um zu klären, was ungemessen geblieben ist, sprechen wir 30 Minuten.

Quellen

• CISA — Known Exploited Vulnerabilities, offizieller Feed, Version 2026.11.04, eigene Zählung (cisa.gov)
• CIS Controls Assessment Specification — Safeguards 7.5 und 7.6 (controls-assessment-specification.readthedocs.io)
• Durchführungsverordnung (EU) 2024/2690, Anhang, Nr. 6.10.2, und ENISA — Technical implementation guidance v1.0, 26. Juni 2025 (enisa.europa.eu); McCann FitzGerald, zur Unverbindlichkeit des Leitfadens (mccannfitzgerald.com)
• SecurityMetrics und WithPCI — Scan-Anforderungen nach PCI DSS v4.0.1 (securitymetrics.com); ISMS.online — ISO 27001:2022 A.8.8 (isms.online)
• DNSC-Anordnung Nr. 1/2026, rumänisches Amtsblatt Nr. 712 vom 27. August 2026 (lege5.ro, legis.medleg.ro); veröffentlichte Zusammenfassungen: Awarely Monitor, Business Generator, Optimizor
• DNSC — Jahresbericht 2025, S. 16
• Jerry Gamblin — CVE 2026 Half-Year Forecast Update, 5. Mai 2026 (jgamblin.github.io); FIRST — Vulnerability Forecast Update, 15. Juni 2026 (first.org)
• Google Cloud / Mandiant — M-Trends 2026, 23. März 2026 (cloud.google.com); Edgescan — Analyse des Verizon DBIR 2026 (edgescan.com)
• NIST — Update zum NVD-Betrieb, 15. April 2026 (nist.gov)
• Edgescan — Vulnerability Statistics Report 2026 (edgescan.com)
• Tenable — Scan-Dokumentation, Nessus-Plugins 21745 und 11933, Nessus Essentials und Preise (tenable.com)
• Pentest-Tools.com — Network Vulnerability Scanner Benchmark, 2024 (pentest-tools.com); Red Hat — Backporting (access.redhat.com); Greenbone — Feed-Vergleich (greenbone.net)
• Shadowserver — Get Reports (shadowserver.org); Orange Business Rumänien — SCUT Vulnerability Assessment (orange.ro)