Für ein Firmennetz kommen vor allem Greenbone/OpenVAS, Tenable Nessus beziehungsweise Tenable Vulnerability Management, Qualys VMDR, Rapid7 InsightVM und Microsoft Defender Vulnerability Management infrage. Die passende Wahl hängt weniger von der Zahl gemeldeter Schwachstellen als von vier Punkten ab: Welche Geräte erfasst werden, ob authentifizierte Prüfungen möglich sind, wie gut sich Funde priorisieren lassen und wie viel Betriebsaufwand die Plattform verursacht. Für ein überwiegend aus Windows-PCs bestehendes Netz mit vorhandener Microsoft-Sicherheitsumgebung kann Microsoft Defender Vulnerability Management naheliegen. Für gemischte Netze mit Servern, Netzwerkgeräten und verschiedenen Betriebssystemen sind Greenbone, Tenable, Qualys oder Rapid7 meist breiter ausgerichtet.
Ein einzelner Scan beweist allerdings nicht, dass ein Firmennetz sicher ist. Nicht erreichbare Geräte, fehlende Anmeldedaten, abgeschaltete Dienste und falsch abgegrenzte Scanbereiche erzeugen blinde Flecken. Die Auswahl sollte daher mit einer kleinen Pilotgruppe beginnen, deren Bestand bekannt ist. Erst wenn Scannergebnisse und tatsächliche Geräte übereinstimmen, lohnt sich die Ausweitung auf das gesamte Netz.
Welche Scanner für welche Firmenumgebung passen
Die fünf Kandidaten verfolgen unterschiedliche Betriebsmodelle. Diese Unterschiede sind für die Auswahl wichtiger als eine lange Funktionsliste. Produktumfang, Lizenzierung und verfügbare Module können sich ändern; vor einer Beschaffung solltest du die Edition in der jeweiligen Produktdokumentation gegen die benötigten Funktionen prüfen.
Greenbone und OpenVAS: flexibel, aber betreuungsintensiver
OpenVAS ist die Scan-Komponente im Greenbone-Umfeld. Greenbone bietet darauf aufbauende Lösungen für Schwachstellenprüfungen und deren Verwaltung an. Die Plattform eignet sich besonders, wenn ein Unternehmen Kontrolle über den Scannerbetrieb behalten und eine selbst verwaltete Lösung einsetzen möchte. Sie kann Windows-Systeme, Linux-Server, erreichbare Netzwerkdienste und zahlreiche Netzwerkgeräte untersuchen.
Der wesentliche Vorteil liegt in der Flexibilität. Scan-Ziele, Zeitpläne, Zugangsdaten und Prüfprofile lassen sich auf die eigene Infrastruktur abstimmen. Dem steht ein höherer Betriebsaufwand gegenüber: Feeds müssen zuverlässig aktualisiert, Scan-Komponenten überwacht und Ergebnisse fachlich bewertet werden. Auch die sichere Hinterlegung von Anmeldedaten gehört in ein belastbares Betriebskonzept.
Greenbone ist damit eine gute Wahl für Firmen mit eigener IT-Kompetenz oder einen betreuenden Dienstleister. Weniger geeignet ist eine selbst betriebene Installation, wenn niemand Updates, Fehlalarme, Scanabbrüche und die Kapazität des Scanners regelmäßig kontrolliert. Für die genaue Abgrenzung zwischen Community-Komponenten und kommerziellen Greenbone-Angeboten sind die Greenbone-Dokumentation, die Feed-Beschreibung und die jeweilige Produktedition maßgeblich.
Tenable: klassische Netzwerkprüfung mit breitem Einsatzfeld
Nessus ist ein verbreiteter Schwachstellenscanner für einzelne Scanner-Installationen und überschaubare Prüfaufgaben. Tenable bietet daneben zentral verwaltete Plattformen für größere Umgebungen an. Das Angebot passt zu Unternehmen, die Windows, Linux, Netzwerkgeräte und erreichbare Dienste mit einem etablierten, pluginbasierten Prüfverfahren untersuchen möchten.
Ein wichtiger Entscheidungsunterschied besteht zwischen einem einzelnen Nessus-Scanner und einer zentralen Vulnerability-Management-Plattform. Ein lokaler Scanner kann für begrenzte Netze und punktuelle Audits genügen. Mehrere Standorte, verteilte Scan-Zonen, langfristige Risikoverfolgung und rollenbasierte Arbeitsabläufe sprechen eher für eine zentrale Verwaltung. Prüfe in der offiziellen Tenable-Dokumentation deshalb nicht nur die Scan-Funktionen, sondern auch Scannerverwaltung, Agent-Unterstützung, Berichtsexport und die Lizenzmetrik der vorgesehenen Edition.
Tenable ist stark, wenn klassische Netzwerkscans und authentifizierte Systemprüfungen im Mittelpunkt stehen. Eine Grenze entsteht, wenn die Organisation lediglich Berichte erzeugt, aber keinen verbindlichen Prozess für Zuständigkeit, Behebung und erneute Prüfung einführt. Diese organisatorische Grenze gilt zwar für jedes Produkt, fällt bei umfangreichen Ergebnislisten aber besonders schnell auf.
Qualys VMDR: cloudzentrierte Verwaltung verteilter Systeme
Qualys VMDR verbindet Bestandsaufnahme, Schwachstellenerkennung, Bewertung und weitere Verwaltungsfunktionen in einer cloudverwalteten Plattform. Scanner-Appliances und Agenten können unterschiedliche Netzbereiche und Geräte erfassen. Dieses Modell eignet sich für Unternehmen mit mehreren Standorten, mobilen Endgeräten oder Systemen, die nicht dauerhaft aus einem zentralen LAN erreichbar sind.
Der Vorteil liegt in der zentralen Sicht auf verteilte Assets. Zugleich muss vor der Einführung geklärt werden, welche Daten die Cloud-Plattform verarbeitet, in welcher Region sie betrieben werden und welche internen Vorgaben für Datenschutz, Aufbewahrung und Rollen gelten. Die technische Reichweite hängt außerdem davon ab, ob ein System über eine Scanner-Appliance erreichbar ist, einen Agenten besitzt oder nur von außen geprüft wird.
Qualys VMDR ist weniger passend, wenn eine vollständig intern betriebene Lösung zwingend vorgeschrieben ist. Vor der Entscheidung solltest du in der Qualys-Dokumentation die Rubriken zu Cloud Agents, Scanner Appliances, unterstützten Betriebssystemen, Asset-Erfassung und Datenstandort prüfen. So lässt sich vermeiden, dass eine gewünschte Funktion nur in einem zusätzlichen Modul oder einer anderen Lizenz enthalten ist.
Rapid7 InsightVM: Fokus auf Priorisierung und Arbeitsabläufe
Rapid7 InsightVM kombiniert Scan-Engines mit zentraler Analyse und Funktionen zur Risikopriorisierung. Die Lösung richtet sich an Unternehmen, die technische Funde nicht nur sammeln, sondern nach Risiko, betroffenen Systemen und Behebungsfortschritt organisieren möchten. Verteilte Scan-Engines können getrennte Netzbereiche erreichen; Agenten können bei Geräten helfen, die nicht zuverlässig im internen Netz verfügbar sind.
InsightVM ist besonders interessant, wenn Sicherheits- und Betriebsteams Aufgaben gemeinsam verfolgen müssen. Vorher sollte jedoch feststehen, wie Tickets, Verantwortliche und Fristen im Unternehmen abgebildet werden. Ohne diesen Prozess liefert auch eine gute Priorisierung lediglich eine anders sortierte Liste.
Als Prüfpunkte dienen die Rapid7-Dokumentationsbereiche zu Scan Engines, Insight Agents, unterstützten Assets, Remediation Projects und Integrationen. Entscheidend ist, ob die gewünschte Erfassungsart und die benötigte Anbindung in der vorgesehenen Ausführung enthalten sind. Unternehmen mit strikten Vorgaben zur lokalen Datenhaltung müssen zudem das Betriebsmodell früh bewerten.
Microsoft Defender Vulnerability Management: naheliegend für Windows-zentrierte Netze
Microsoft Defender Vulnerability Management nutzt Endpunkt- und Sicherheitsinformationen, um Schwachstellen und unsichere Softwarekonfigurationen auf verwalteten Geräten sichtbar zu machen. Die Lösung kann besonders gut in eine Umgebung passen, in der Microsoft Defender for Endpoint und eine zentrale Microsoft-Geräteverwaltung bereits zum Sicherheitsbetrieb gehören.
Der Hauptvorteil ist der Bezug zu den tatsächlich verwalteten Endpunkten. Geräte müssen nicht ausschließlich in einem bestimmten Büronetz stehen, damit vorhandene Endpunktdaten ausgewertet werden können. Empfehlungen lassen sich zudem enger mit dem Zustand von Windows-Geräten und installierter Software verbinden als bei einem reinen Netzwerkportscan.
Als alleinige Lösung ist die Plattform weniger überzeugend, wenn zahlreiche Switches, Drucksysteme, Appliances, fremde Betriebssysteme oder isolierte Servernetze untersucht werden müssen. Welche Plattformen und Geräteklassen unterstützt werden, hängt vom gebuchten Microsoft-Produkt und dessen Funktionsumfang ab. Prüfe dafür im Microsoft Defender-Portal die vorhandenen Bereiche für Assets, Endpunkte, Schwachstellen und Empfehlungen sowie in der Microsoft-Dokumentation die Lizenzvoraussetzungen von Defender Vulnerability Management. Ein fehlender Menüpunkt kann auf Lizenz, Rolle, Mandantenkonfiguration oder noch nicht eingebundene Geräte zurückgehen.
Vergleich nach denselben fünf Entscheidungskriterien
Eine belastbare Bestenliste ist ohne das tatsächliche Netzwerk, die Editionen und vergleichbare Messungen nicht möglich. Die folgende Einordnung benennt deshalb keine pauschale Sieger-Software, sondern ordnet alle Kandidaten nach demselben Raster ein.
- Abdeckung: Greenbone, Tenable, Qualys und Rapid7 sind auf heterogene Netze mit verschiedenen Betriebssystemen und Netzwerkdiensten ausgelegt. Microsoft Defender Vulnerability Management spielt seine Stärken vor allem bei eingebundenen Endpunkten und einer bestehenden Microsoft-Sicherheitsumgebung aus.
- Betriebsmodell: Greenbone kann mit hoher Eigenverantwortung betrieben werden. Tenable bietet je nach Produkt lokale beziehungsweise zentral verwaltete Varianten. Qualys und Rapid7 setzen bei ihren Plattformangeboten auf zentrale Cloud-Verwaltung mit Komponenten im Kundennetz. Microsoft integriert die Schwachstellenverwaltung in sein Sicherheitsportal und die Endpunktumgebung.
- Prüfmethode: Alle Produktfamilien können mehr als einen einfachen Portscan leisten, der genaue Weg unterscheidet sich jedoch. Netzwerkbasierte Prüfungen, authentifizierte Scans und Agentendaten sind nicht gleichwertig: Sie sehen unterschiedliche Ausschnitte eines Systems.
- Priorisierung: Kommerzielle Plattformen verbinden technische Schwere typischerweise mit Asset- und Risikokontext. Bei einer selbst verwalteten Greenbone-Umgebung hängt die praktische Priorisierung stärker von Konfiguration, Edition und dem eigenen Prozess ab. Kein Risikowert ersetzt die Prüfung, ob ein betroffenes System erreichbar, geschäftskritisch oder bereits durch andere Maßnahmen geschützt ist.
- Betriebsaufwand: Eine lokale, flexibel konfigurierbare Lösung benötigt Wartung und Fachwissen. Cloudverwaltete Plattformen reduzieren Teile dieses Aufwands, verlangen dafür aber eine Prüfung von Datenflüssen, Mandantenrollen, Agentenverteilung und laufender Lizenzierung.
Für ein kleines IT-Team mit hauptsächlich verwalteten Windows-Notebooks ist eine vorhandene Microsoft-Integration oft der kürzeste Weg zu verwertbaren Ergebnissen. Ein gemischtes Rechenzentrumsnetz profitiert eher von Greenbone, Tenable, Qualys oder Rapid7. Muss die Scan-Infrastruktur vollständig im eigenen Netz bleiben, rücken selbst verwaltete oder entsprechend bereitstellbare Varianten in den Vordergrund. Bei vielen mobilen Geräten gewinnen Agenten und cloudbasierte Auswertung an Bedeutung.
Warum ein authentifizierter Scan mehr findet
Ein nicht authentifizierter Netzwerkcheck sieht ein Gerät ähnlich wie ein fremder Rechner im Netz: offene Ports, erreichbare Dienste, Protokolle und teilweise erkennbare Produktversionen. Das ist für die Prüfung der Angriffsfläche wichtig, reicht bei Windows-PCs und Servern aber nicht aus. Installierte Updates, lokale Softwarestände und manche unsicheren Einstellungen bleiben von außen verborgen oder können nur ungenau abgeleitet werden.
Bei einem authentifizierten Scan meldet sich der Scanner mit einem dafür eingerichteten Konto am Zielsystem an und liest freigegebene Systeminformationen aus. Dadurch kann er fehlende Updates und installierte Software oft verlässlicher zuordnen. Das verwendete Konto sollte nur die erforderlichen Rechte erhalten, sicher gespeichert und überwacht werden. Ein persönliches Administratorkonto ist dafür ungeeignet.
Agenten liefern wiederum Daten direkt vom Endgerät. Das hilft bei Notebooks außerhalb des Firmennetzes oder Systemen, die nur unregelmäßig erreichbar sind. Ein Agent ersetzt trotzdem nicht jede Netzwerkprüfung: Er zeigt nicht zwangsläufig, welche Dienste aus einem anderen Segment tatsächlich erreichbar sind. Für ein aussagekräftiges Bild werden daher häufig externe Sicht, interne Netzwerkscans und Endpunktdaten kombiniert.
Der Pilot entscheidet mehr als ein Funktionsprospekt
Ein sinnvoller Test umfasst keine zufällige Adressspanne, sondern eine bekannte Auswahl: mindestens einen Windows-Client, einen Windows-Server, ein anderes Betriebssystem, ein Netzwerkgerät und einen absichtlich nicht authentifizierbaren Testkandidaten, sofern diese Klassen im Unternehmen vorkommen. Produktionskritische Systeme sollten erst nach Abstimmung mit den Verantwortlichen geprüft werden, weil intensive Tests Last erzeugen oder empfindliche Dienste beeinflussen können.
- Erstelle eine bestätigte Liste der Pilotgeräte mit Eigentümer, Betriebssystem, Netzsegment und erwarteter Erreichbarkeit.
- Führe zunächst eine schonende Erkennung aus. Vergleiche die gefundenen Geräte mit der Liste. Fehlt ein System, prüfe Routing, Firewall, VPN, Scan-Zone und Gerätelaufzeit.
- Aktiviere für geeignete Testgeräte die authentifizierte Prüfung. Kontrolliere im Scanprotokoll, ob die Anmeldung erfolgreich war; ein abgeschlossener Scan ist nicht automatisch ein authentifizierter Scan.
- Wähle einige Funde aus und vergleiche sie direkt am Gerät mit installierter Software, Updateverlauf und Konfiguration. So erkennst du Fehlzuordnungen und veraltete Bestandsdaten.
- Behebe einen risikoarmen Testfund nach dem internen Änderungsverfahren und starte danach eine erneute Prüfung. Der Fund sollte verschwinden oder nachvollziehbar seinen Status ändern.
- Bewerte den Arbeitsablauf: Kann ein Fund einem Systemverantwortlichen zugeordnet, dokumentiert, ausgenommen und später erneut geprüft werden?
Ein Scanner besteht diesen Pilotversuch nur, wenn er den bekannten Bestand ausreichend erfasst und die IT aus einem Fund eine überprüfbare Maßnahme ableiten kann. Eine hohe Fundzahl allein ist kein Qualitätsbeleg.
Fundlisten richtig lesen und Fehlentscheidungen vermeiden
Scanner ordnen Schwachstellen häufig bekannten CVE-Kennungen und Schweregraden zu. Der technische Schweregrad beschreibt jedoch nicht vollständig das Risiko im jeweiligen Unternehmen. Eine kritische Lücke auf einem isolierten Testsystem kann weniger dringlich sein als eine etwas niedriger bewertete Schwachstelle auf einem öffentlich erreichbaren Anmeldedienst.
Für die Reihenfolge der Behebung sollten mindestens Erreichbarkeit, ausnutzbare Funktion, Datenwert, Benutzerrechte, vorhandene Schutzmaßnahmen und Verfügbarkeit eines Updates zusammen betrachtet werden. Auch der Nachweis des Scanners ist wichtig: Wurde eine installierte Version authentifiziert gelesen, eine Dienstversion erkannt oder nur aus einem Antwortmuster vermutet? Je indirekter der Nachweis, desto wichtiger ist die Gegenprüfung.
Ausnahmen dürfen nicht dazu dienen, störende Meldungen dauerhaft auszublenden. Eine belastbare Ausnahme enthält den betroffenen Fund, das Gerät, die Begründung, eine kompensierende Schutzmaßnahme, eine verantwortliche Person und einen Prüftermin. Unterstützt die Software keine nachvollziehbare Ausnahmeverwaltung, muss dieser Prozess in einem anderen kontrollierten System abgebildet werden.
Scan-Konten, Netzlast und sensible Ergebnisse absichern
Ein Vulnerability Scanner verarbeitet sicherheitskritische Daten: Gerätenamen, IP-Adressen, Softwarestände, bekannte Schwächen und möglicherweise privilegierte Zugangsdaten. Der Zugriff auf Konsole, Berichte und Exporte muss daher beschränkt und protokolliert werden. Mehrfaktor-Authentifizierung sollte genutzt werden, sofern die gewählte Plattform sie für Administrationskonten unterstützt.
Scan-Zugangsdaten gehören in den vorgesehenen geschützten Anmeldedatenspeicher der Lösung oder in eine unterstützte Geheimnisverwaltung. Rechte, Rotation und Verwendung müssen dokumentiert sein. Vor der Einführung ist außerdem zu testen, ob Kontosperrregeln durch fehlgeschlagene Anmeldungen ausgelöst werden können.
Leistungsintensive Prüfungen startest du zunächst in einem Wartungsfenster mit begrenzter Parallelität. Wenn Antwortzeiten steigen, Dienste Fehler melden oder Netzwerküberwachung ungewöhnliche Last zeigt, wird der Scan gestoppt und mit einem schonenderen Profil wiederholt. Für Produktionssteuerungen, medizinische Systeme und andere empfindliche Spezialgeräte ist vor aktiven Prüfungen die Freigabe des Herstellers oder des verantwortlichen Betreibers erforderlich.
Eine klare Auswahl für vier typische Ausgangslagen
- Windows-zentrierte Firma mit bestehender Defender-Umgebung: Prüfe zuerst Microsoft Defender Vulnerability Management. Reicht die Geräteabdeckung für Netzwerkkomponenten und fremde Systeme nicht aus, ergänze einen netzwerkbasierten Scanner.
- Heterogenes Netz mit eigener Sicherheitskompetenz: Greenbone ist interessant, wenn Eigenbetrieb, Anpassbarkeit und interne Kontrolle wichtiger sind als geringer Verwaltungsaufwand.
- Gemischte Infrastruktur mit klassischer Scan-Ausrichtung: Tenable eignet sich als enger Kandidat, wenn lokale Scanner, authentifizierte Prüfungen und die Abdeckung vieler Gerätetypen im Mittelpunkt stehen.
- Viele Standorte und mobile Geräte: Vergleiche Qualys VMDR und Rapid7 InsightVM anhand von Agentenabdeckung, Scan-Engine-Platzierung, Datenhaltung, Priorisierung und Einbindung in den vorhandenen Ticketprozess.
Die endgültige Entscheidung sollte erst nach einem Pilotlauf fallen. Dokumentiere dabei Erkennungsquote, erfolgreiche Authentifizierung, Zahl überprüfter Fehlzuordnungen, Zeit bis zur Zuweisung eines Fundes und Ergebnis des erneuten Scans. Diese Werte sind für das eigene Firmennetz aussagekräftiger als eine allgemeine Rangliste. Der geeignete Vulnerability Scanner ist am Ende die Software, die den relevanten Bestand zuverlässig sieht und deren Ergebnisse tatsächlich bis zur bestätigten Behebung bearbeitet werden.
