Das Wichtigste in Kürze
- Schwachstellenanalyse (Vulnerability Assessment): Ein primär automatisierter Prozess, der bekannte Schwachstellen (CVEs) durch Versionsabgleiche identifiziert. Schnell, aber voller Falschmeldungen.
- Penetrationstest (Pentest): Ein zielgerichteter, menschlicher Angriffsversuch auf einen definierten Bereich, um Schwachstellen aktiv auszunutzen und tatsächliche Schadenspotenziale aufzuzeigen.
- Bedrohungsanalyse (Threat Assessment): Der ganzheitliche Ansatz von Suisse Guard: Vollständige Erfassung der Aussenfläche (EASM), KI-gestützte Korrelation, manuelle Verifikation jedes Befunds, Massnahmenplan und Nachprüfung.
1. Die Schwachstellenanalyse: Der automatisierte Inventar-Check
Bei einer klassischen Schwachstellenanalyse sendet eine Software (wie Nessus, OpenVAS oder Qualys) vordefinierte Anfragen an IP-Adressen und Serverdienste. Die Software liest die Server-Banner aus (z. B. Apache/2.4.41 oder OpenSSH 8.2p1) und gleicht diese Versionsnummern mit öffentlichen Datenbanken bekannter Schwachstellen (National Vulnerability Database, NVD) ab.
Die Vorteile:
- Sehr hohe Geschwindigkeit: Tausende IP-Adressen können in wenigen Stunden abgetastet werden.
- Geringe Kosten: Reine Scan-Dienstleistungen sind bereits ab einigen hundert Franken erhältlich.
- Guter Überblick über veraltete Software-Pakete und fehlende Patch-Stände.
Die gravierenden Grenzen:
- Hohe Falschalarm-Rate (False Positives): Viele Linux-Distributionen (z. B. Debian, Ubuntu, Red Hat) patchen Sicherheitslücken zurück («Backporting»), ohne die offizielle Versionsnummer zu erhöhen. Der Scanner meldet Alarm, obwohl das System sicher ist. Umgekehrt meldet der Scanner «Grün», wenn ein Dienst zwar aktuell ist, aber ohne Passwort im Netz steht.
- Keine Logikprüfung in Webanwendungen: Ein Scanner erkennt nicht, ob eine Zugriffskontrolle in einer Webanwendung fehlerhaft ist (z. B. IDOR/BOLA) oder ob ein Benutzer ohne MFA administrative Rechte erlangen kann. Moderne Single-Page-Apps (React, Vue) mit komplexen JSON-APIs überfordern Scanner völlig.
- Keine Verkettung von Schwachstellen (Exploit Chaining): Echte Hacker kombinieren drei scheinbar unkritische Schwachstellen («Low Severity») zu einer vollständigen Systemübernahme. Scanner bewerten jeden Befund isoliert und verfehlen dadurch das reale Gesamtrisiko.
2. Der Penetrationstest: Der simulierte Angriff
Ein Penetrationstest setzt dort an, wo die Schwachstellenanalyse aufhört. Ein erfahrener ethischer Hacker («Penetration Tester») versucht aktiv, in die Systeme einzudringen. Dabei werden mehrere scheinbar harmlose Schwachstellen zu einer gefährlichen Angriffskette kombiniert.
Beispiel aus unserer Praxis: Eine veraltete Hilfsanwendung erlaubt das Auslesen von Konfigurationsdateien (Local File Inclusion). Darin findet der Pentester einen API-Schlüssel, mit dem er administrative Rechte im Microsoft-365-Tenant erlangt. Ein reiner Scanner hätte die erste Lücke als «Medium» eingestuft und den Gesamtzusammenhang niemals erkannt.
| Kriterium | Schwachstellenanalyse | Penetrationstest | Suisse Guard Bedrohungsanalyse |
|---|---|---|---|
| Durchführung | Vollautomatisiert | Manuell durch Sicherheitsexperten | KI-gestützte Aufklärung + manuelle Verifikation |
| Fokus | Bekannte Softwareversionen | Konkreter Ausbruchsversuch in Teilbereich | Gesamte Internet-Aussenfläche (12 Prüfbereiche) |
| Fehlalarme | Sehr hoch (bis 40 %) | Sehr gering (durch Nachweis) | 0 % (jeder Befund wird manuell belegt) |
| Ergebnis | Lange Liste von CVE-Treffern | Angriffsbericht mit Erfolgsnachweis | Handlungsanleitung, Nachprüfung & Zertifikat |
| Kostenrahmen (Schweiz) | CHF 500 – 1'500 | CHF 8'000 – 25'000 | CHF 2'800 Festpreis |
3. Die Suisse Guard Bedrohungsanalyse: Das Beste aus beiden Welten
Klassische Pentests sind für viele Schweizer Organisationen schlicht zu teuer für regelmässige Wiederholungen; reine Scans bieten keine belastbare Sicherheit. Deshalb verbindet die Bedrohungsanalyse von Suisse Guard beide Ansätze:
- Vollständige Aussenflächen-Erfassung: Unsere Aufklärungssysteme scannen nicht nur die vom Kunden genannten Adressen, sondern finden vergessene Subdomains, Cloud-Instanzen und externe Dienstleisterzugänge.
- KI-gestützte Hypothesenbildung: Algorithmen verknüpfen Indikatoren, Datenlecks und Versionsstände zu potenziellen Angriffspfaden.
- Verifikation durch Fachpersonen: Jeder potenziell kritische Einstieg wird von unseren Analysten von Hand nachgestellt. Es gibt keine ungeprüften Berichte.
- Konkrete Behebungsanleitung: Statt unverständlicher Theorie erhält Ihre IT oder Ihr IT-Dienstleister eine priorisierte Schritt-für-Schritt-Anleitung.
- Nachprüfung & Zertifikat: Nach Umsetzung der Massnahmen prüfen wir kostenfrei nach und bescheinigen die Schliessung der Lücken.
Möchten Sie echte Sicherheit statt langer Scanner-Listen?
Erfahren Sie, wie angreifbar Ihr Unternehmen tatsächlich ist. Wir prüfen Ihre Systeme mit denselben Methoden wie reale Angreifer.
