Passiver und aktiver Scan: was jeder findet und wann Sie ihn brauchen
Der Unterschied zwischen passivem Audit und aktivem Schwachstellenscan, was jeder sieht und was nicht, die Risiken aktiver Tests und wie man beides sicher kombiniert.
Sicherheitswerkzeuge, die Ihre Domains von außen betrachten, gehören zu zwei Familien. Ein passives Audit liest nur, was bereits öffentlich ist. Ein aktiver Scan sendet Anfragen, die eine Schwachstelle sichtbar machen sollen. Beide sind nützlich; sie beantworten verschiedene Fragen, bergen verschiedene Risiken und brauchen verschiedene Erlaubnisse.
Was ein passives Audit tut
Ein passives Audit verhält sich wie ein vorsichtiger Besucher. Es fragt das DNS ab, liest die Certificate-Transparency-Logs, lädt Ihre Startseite, führt einen TLS-Handshake durch, begrüßt Ihre Mailserver und schlägt in öffentlichen Datensätzen nach, die das Internet bereits indexieren, etwa Listen offener Ports und bekannter Schwachstellen.
Es findet viel: eine fehlende DMARC-Richtlinie, ein bald ablaufendes Zertifikat, eine übernehmbare Subdomain, einen Datenbankport, der dem ganzen Internet antwortet, eine alte Bibliotheksversion, die Ihre Seite verrät, eine letzte Woche registrierte Lookalike-Domain. Weil es nichts Ungewöhnliches sendet, kann es jeden Tag für jede Domain laufen, ohne dass jemand etwas unterzeichnen muss.
Seine Grenze liegt im Wort vermuten. Wenn eine Seite WordPress 6.1 und ein Plugin mit bekannter Lücke verrät, kann das Audit sagen, dass die Lücke wahrscheinlich ist. Es kann nicht sagen, ob ein Sicherheits-Plugin, eine Firewall oder ein zurückportierter Patch sie blockiert. Hinter Ihre Anmeldeseite sieht es gar nicht.
Was ein aktiver Scan tut
Ein aktiver Scan sendet Testanfragen: Er fragt Pfade ab, die es nicht geben sollte, setzt unerwartete Zeichen in Formulare und Parameter, probiert die Anfragen, die eine bekannte Schwachstelle braucht, und beobachtet, wie die Anwendung antwortet. Zwei Arten von Werkzeugen erledigen den Großteil:
- Vorlagenbasierte Scanner wie Nuclei senden genaue Anfragen für bekannte Schwachstellen, Fehlkonfigurationen, offene Dateien und Admin-Oberflächen. Schnell und präzise finden sie, was bereits dokumentiert ist.
- Webanwendungsscanner wie OWASP ZAP erkunden die Anwendung und probieren dann Angriffsfamilien an jedem gefundenen Parameter: SQL- und Befehlsinjektion, Cross-Site-Scripting, Path Traversal. Langsamer, finden sie auch Lücken in Ihrem eigenen Code.
Mit einem Testkonto kommen beide hinter die Anmeldung, wo der Großteil des Werts einer Anwendung liegt.
Die Risiken aktiver Tests
Aktive Tests sind nicht harmlos, deshalb brauchen sie Regeln.
- Erlaubnis. Ein System ohne Zustimmung seines Inhabers zu testen, kann in vielen Ländern strafbar sein. Testen Sie nur, was Ihnen gehört oder wofür Sie eine schriftliche Erlaubnis haben, und bewahren Sie diese auf.
- Last. Tausende Anfragen in wenigen Minuten können eine kleine Website verlangsamen. Legen Sie eine Höchstrate und ein Zeitfenster fest.
- Nebenwirkungen. Ein Crawler, der auf „Löschen“, „Abmelden“ oder „Bezahlen“ klickt, tut es wirklich. Abmeldeseiten beenden die Sitzung, die der Scan braucht. Schließen Sie sie aus.
- Dritte. Eine Subdomain kann auf einen Server zeigen, den Sie nicht betreiben: einen Hoster, eine SaaS-Plattform, einen früheren Dienstleister. Prüfen Sie die Adressen, bevor Sie sie testen.
- Zugangsdaten. Ein Testkonto muss ein Testkonto sein, eigens angelegt, nie ein Produktionsadministrator, und sein Passwort darf weder im Klartext übertragen werden noch in einem Log bleiben.
Was brauchen Sie?
| Frage | Passives Audit | Aktiver Scan |
|---|---|---|
| Sind meine E-Mails gegen Spoofing geschützt? | Ja | Nein |
| Ist eine neue Subdomain oder ein neues Zertifikat aufgetaucht? | Ja | Nein |
| Ist eine Datenbank oder ein Remote-Desktop aus dem Internet erreichbar? | Ja, aus öffentlichen Daten | Nicht seine Aufgabe |
| Ist diese vermutete Schwachstelle wirklich ausnutzbar? | Vermutet sie | Bestätigt oder verwirft sie |
| Hat mein Anmelde- oder Suchformular eine Injection-Lücke? | Nein | Ja |
| Kann ich es jeden Tag für alle Domains laufen lassen? | Ja | Selten nötig, und aufwendiger |
Für die meisten kleinen Unternehmen und Agenturen lautet die Antwort: beides, in dieser Reihenfolge. Ein passives Audit für jede Domain, ständig, und ein aktiver Scan für die wichtigsten Anwendungen, einige Male im Monat und nach jeder größeren Veröffentlichung. Keines ersetzt einen Penetrationstest durch einen Menschen, der Logikfehler und Ketten kleiner Schwächen findet, die kein Werkzeug sieht.
Beides sicher kombinieren
- Beginnen Sie passiv. Beheben Sie, was das Audit findet: Das ist günstig und entfernt das Rauschen, das ein aktiver Scan sonst melden würde.
- Schreiben Sie den Umfang auf. Die Hosts, die Adressen, auf die sie zeigen, die zu meidenden Pfade, Daten und Uhrzeiten, die Höchstrate, die Person, die ihn erlaubt.
- Verwenden Sie ein Testkonto mit realistischen Daten und ohne echte Kunden.
- Informieren Sie Ihren Hoster und Ihr Sicherheitsteam und sagen Sie ihnen, von welcher Adresse die Anfragen kommen.
- Lesen Sie die Ergebnisse im Licht des Audits. Eine durch einen aktiven Test bestätigte Vermutung kommt an die Spitze der Liste; eine nicht reproduzierte kann warten, mit schriftlich festgehaltenem Grund.
Wie Perimetry Cloud es macht
Jeder Tarif von Perimetry Cloud führt das passive Audit aus. Der verifizierte aktive Scan, demnächst als Option pro Domain verfügbar, folgt den Schritten oben: Er läuft nur für eine Domain mit nachgewiesener Inhaberschaft, nach einer in der Anwendung unterzeichneten Ermächtigung mit Umfang, Zeitfenster und Rate, von einer veröffentlichten Adresse, mit Nuclei und OWASP ZAP. Zerstörende Tests, Passwortraten sowie Abmelde-, Lösch- und Zahlungsseiten bleiben außen vor, und jede Vermutung des Audits kommt bestätigt oder nicht reproduziert zurück.