Leitfaden
Audit, Schwachstellenscan oder Penetrationstest: Was sollten Sie beauftragen?
Ein automatisierter Scan listet wahrscheinliche Schwachstellen auf, ein Audit ordnet sie ein und sagt, was zu beheben ist, ein Penetrationstest beweist, was ein Angreifer daraus machen könnte. Hier finden Sie die Definitionen der ANSSI, den nötigen Inhalt eines Berichts und das, was DSGVO und ISO 27001 wirklich vorschreiben.
Aktualisiert am 18. Oktober 2026 · Die Zahlen sind unten auf der Seite belegt; die Bewertungen stammen von IT CyberWall.
Drei Leistungen, die oft verwechselt werden
| Leistung | Was sie tut | Was Sie erhalten |
|---|---|---|
| Schwachstellenscan | Ein Werkzeug fragt Ihre Maschinen automatisch ab und vergleicht das Gefundene mit einer Datenbank bekannter Schwachstellen. | Eine oft lange Liste wahrscheinlicher Schwachstellen, die sortiert werden muss. |
| Sicherheitsaudit | Auditoren untersuchen Ihre Architektur, Ihre Konfigurationen, Ihren Code oder Ihre Organisation. | Einen Bericht, der die Schwachstellen einordnet und sagt, was zuerst zu beheben ist. |
| Penetrationstest | Auditoren versetzen sich in die Lage eines Angreifers und prüfen, ob eine Schwachstelle tatsächlich ausnutzbar ist und mit welcher Auswirkung[1]. | Den Nachweis, was ein Angreifer tun könnte, Schritt für Schritt. |
Die fünf Audit-Arten laut ANSSI
Der Anforderungskatalog für qualifizierte Audit-Dienstleister (PASSI) unterscheidet fünf Tätigkeiten[1]:
- Architektur-Audit: Auswahl und Platzierung der Geräte, Verbindungen zum Internet und zu Netzwerken Dritter.
- Konfigurations-Audit: Einstellungen der Netzwerkgeräte, Systeme, Anwendungen und Sicherheitsprodukte.
- Quellcode-Audit: Schwachstellen im Code einer Anwendung.
- Penetrationstest: Ausnutzung der Schwachstellen unter realen Angriffsbedingungen.
- Organisatorisches und physisches Audit: Governance, Verfahren, Sicherheit der Räumlichkeiten.
Was der Bericht enthalten muss
Der PASSI-Katalog legt den Inhalt eines Auditberichts fest[1]. Er ist ein gutes Raster, um jeden Bericht zu beurteilen:
- eine für Nicht-Fachleute verständliche Zusammenfassung: Kontext, Umfang, kritische Schwachstellen und Einschätzung des Sicherheitsniveaus;
- eine Tabelle der Schwachstellen, geordnet nach Auswirkung und Ausnutzbarkeit;
- Empfehlungen zu jeder Schwachstelle, geordnet nach Kritikalität und Kosten;
- bei einem Penetrationstest der Ablauf des Tests und die angewandte Methode;
- die Grenzen: was nicht abgedeckt werden konnte und welche Phasen mit automatischen Werkzeugen durchgeführt wurden.
Ein Bericht, der nur eine Werkzeugausgabe ohne Zusammenfassung und Prioritäten ist, hilft Ihnen nicht bei der Entscheidung.
Was das Gesetz vorschreibt und was nicht
- Die DSGVO verlangt für die Verarbeitung personenbezogener Daten „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen“ zur Sicherheit (Artikel 32), mit einem dem Risiko angemessenen Niveau[2]. Sie schreibt weder ausdrücklich ein Audit noch einen Penetrationstest vor: Es liegt an Ihnen, ein verhältnismäßiges Verfahren zu wählen.
- Die Norm ISO/IEC 27001 ist eine freiwillige Norm: Ein Unternehmen entscheidet selbst, ob es sich zertifizieren lässt[3]. Sie ist keine gesetzliche Pflicht, auch wenn ein Kunde sie vertraglich verlangen kann.
- Eine PASSI-Qualifikation ist nur dann Pflicht, wenn ein Rechtstext oder ein Vertrag sie verlangt. Sie lässt sich auf der Website der ANSSI überprüfen.
Immer eine schriftliche Genehmigung
Ein Penetrationstest bedeutet, Systeme anzugreifen: Er erfolgt nur mit schriftlicher Zustimmung ihres Eigentümers. Der PASSI-Katalog sieht eine vor dem Audit unterzeichnete Vereinbarung vor und für einen Penetrationstest ein Genehmigungsformular, das vom Auftraggeber, vom Auditierten und von den betroffenen Dritten (zum Beispiel Ihrem Hoster) unterzeichnet wird und die Ziele, Daten und Uhrzeiten auflistet[1].
Was sollten Sie beauftragen?
| Ihre Situation | Was passt |
|---|---|
| Sie wissen nicht, wo Sie stehen | Ein Architektur- und Konfigurations-Audit mit einer Zusammenfassung für die Geschäftsleitung. |
| Sie möchten die Entwicklung über die Zeit verfolgen | Ein regelmäßiger Scan als Ergänzung zu einem Audit, niemals als Ersatz. |
| Eine im Internet erreichbare Website oder Anwendung | Ein Penetrationstest für diesen Bereich. |
| Ein Kunde oder eine Ausschreibung verlangt einen Nachweis | Lesen Sie die Anforderung genau: PASSI-Qualifikation, ISO-27001-Zertifizierung und ein einfacher Auditbericht sind nicht dasselbe. |
Unsere Audits sind auf der Seite Sicherheitsaudit beschrieben.
Sie wissen nicht, was Sie beauftragen sollen?
Beschreiben Sie Ihren Kontext und was von Ihnen verlangt wird: Wir sagen Ihnen, welche Art von Audit passt.
Quellen
Quellen abgerufen am 18. Oktober 2026. Die Preise der Anbieter sind ohne Steuern angegeben, in der Währung und Region der veröffentlichten Preisliste, und können sich ändern: Prüfen Sie vor einer Entscheidung immer die offizielle Seite.
- ANSSI – Prestataires d’audit de la sécurité des systèmes d’information (PASSI), référentiel d’exigences v2.1-a (1. September 2023) — cyber.gouv.fr/sites/default/files/document/R%C3%A9f%C3%A9rentiel%20PASSI%20%E2%80%93%20version%202.1-a%20%E2%80%93%20sans%20marque%20de%20r%C3%A9vision.pdf
- CNIL – Règlement européen sur la protection des données, chapitre 4 (article 32) — www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- ISO – ISO/IEC 27001, Information security management systems — www.iso.org/isoiec-27001-information-security.html