Exposure-Scanning vs. Schwachstellen-Scanning vs. Penetrationstests
Aktualisiert am 29. August 2026 · 8 Min. Lesezeit
Drei verschiedene Dinge werden „Sicherheits-Scan“ genannt, und sie finden völlig unterschiedliche Probleme. Ein Schwachstellen-Scan sucht nach verwundbarem Code; ein Exposure- (oder Hardening-)Scan sucht nach dem, was offen gelassen wurde; ein Penetrationstest versucht aktiv einzubrechen. Dieser Guide erklärt, was jedes tut, was jedes übersieht, warum die beiden sicheren kontinuierlich laufen und das dritte nicht, und wie Relvatos Exposure-Scan funktioniert – mit einer Vergleichstabelle.
Drei verschiedene Fragen
„Ist meine Site sicher?“ ist nicht eine Frage – es sind mindestens drei. Ist eine meiner Softwarekomponenten bekanntermaßen verwundbar? Habe ich etwas offen gelassen, das nicht offen sein sollte? Und könnte gerade jetzt jemand einbrechen? Jede hat ihre eigene Art von Prüfung, und sie zu verwechseln lässt Lücken.
Die drei Prüfungen unten beantworten diese drei Fragen. Die ersten beiden lassen sich sicher kontinuierlich und automatisch ausführen; die dritte – die Site tatsächlich anzugreifen – ist mächtig, aber riskant, gelegentlich und meist von einem Menschen durchgeführt. Die meisten echten Einbrüche werden dadurch ermöglicht, dass die ersten beiden unbeobachtet bleiben.
Schwachstellen-Scanning – ist meine Software bekanntermaßen verwundbar?
Ein Schwachstellen-Scan erstellt eine Bestandsaufnahme deiner Software – WordPress-Core, Plugins, Themes – und prüft jede Version gegen Datenbanken bekannter Schwachstellen (CVEs). Hat ein installiertes Plugin einen veröffentlichten Fehler, der in deiner Version nicht gepatcht ist, wird es gemeldet. Relvatos Schwachstellen-Journey tut das gegen den Wordfence-Intelligence-Feed und WPScan und priorisiert nach Schweregrad und danach, ob ein Fehler aktiv ausgenutzt wird (CISA KEV).
Es ist unverzichtbar – die meisten WordPress-Hacks kommen über ein Plugin mit einer bekannten, ungepatchten CVE. Seine Grenze: Es weiß nur von OFFENGELEGTEN Schwachstellen in Software, die es identifizieren kann. Über deine Konfiguration sagt es nichts, auch nicht über ein sauberes Plugin, das etwas Gefährliches tut, oder über Dateien, die du versehentlich erreichbar gelassen hast.
Exposure-/Hardening-Scanning – was habe ich offen gelassen?
Ein Exposure-Scan nimmt die Angreiferperspektive von AUSSEN ein: Er ruft URLs auf und liest die Antworten, um Dinge zu finden, die nicht erreichbar sein sollten. Kein verwundbarer Code – Fehlkonfiguration und Exposition. Eine vergessene .env oder ein Datenbank-Backup im Web-Root, ein offener .git-Ordner (dein gesamter Quellcode und Verlauf), aktiviertes Directory-Listing, für Brute-Force aktiviertes XML-RPC, über die REST-API durchsickernde Nutzernamen, fehlende Security-Header.
Genau hier beginnt ein riesiger Anteil echter Einbrüche – nicht mit einem raffinierten Exploit, sondern mit einer Tür, die jemand offen gelassen hat. Und es ist für einen Schwachstellen-Scan unsichtbar, weil nichts davon eine CVE ist. Relvatos Exposure-Scan macht das kontinuierlich, read-only (er nutzt nie etwas aus), auf der Site, deren Besitz du nachgewiesen hast, und meldet ein neu offengelegtes Secret am Tag, an dem es auftaucht.
Weil er nicht-intrusiv ist – reine GET-Anfragen, keine Payloads, kein Brute-Force –, lässt er sich sicher automatisch und häufig ausführen, und genau das findet ein Backup, das nach einer Migration liegen geblieben ist.
Penetrationstests – könnte jemand tatsächlich einbrechen?
Ein Penetrationstest geht weiter: Ein Tester (meist ein Mensch, manchmal mit schwerem Werkzeug) versucht aktiv, das Gefundene auszunutzen – Payloads einschleusen, Schwächen verketten, Zugang erlangen –, um echte, ausnutzbare Auswirkung zu beweisen. Er ist der gründlichste und der einzige, der einen Befund bestätigt, indem er ihn vorführt.
Die Kompromisse erklären, warum er nicht kontinuierlich ist: Er ist naturgemäß intrusiv (er kann Dinge kaputt machen, Mülldaten erzeugen, Schutzmechanismen auslösen oder eine Site lahmlegen), er braucht eine ausdrückliche Autorisierung für die konkreten Systeme und das Hosting, und er ist typischerweise ein geplanter Auftrag, kein Dauer-Monitor. Ein gutes Sicherheitsprogramm führt regelmäßig einen Pentest durch UND überwacht Exposition und Schwachstellen kontinuierlich dazwischen.
Warum Relvato die ersten beiden kontinuierlich macht – und nicht das dritte
Relvato ist ein kontinuierlicher Monitor von Sites, deren Besitz die Kunden nachgewiesen haben, also macht es die beiden Prüfungen, die sich sicher automatisieren lassen – Schwachstellen-Scanning und Exposure-Scanning – und führt sie bei jeder relevanten Änderung erneut aus. Den aktiven, exploit-getriebenen Teil macht es bewusst NICHT: Auf einem laufenden Shop könnte das Einschleusen von Payloads oder Brute-Force Daten beschädigen, echte Kunden aussperren oder den Shop lahmlegen, und es würde überschreiten, was die Domain-Verifizierung autorisiert (du kontrollierst die Seite, nicht unbedingt den Server oder den Host).
Die ehrliche Einordnung lautet also: Relvato deckt die Fragen „Ist es verwundbar?“ und „Was ist offen gelassen?“ kontinuierlich ab und ergänzt – statt ersetzt – einen gelegentlichen menschlichen Penetrationstest für die Frage „Könnte jemand tatsächlich einbrechen?“.
Wie Relvatos Exposure-Scan funktioniert
Er führt eine kleine, kuratierte Menge read-only-Anfragen gegen deine verifizierte Site aus, von einem ausgewiesenen User-Agent (kein heimlicher Angreifer), mit niedriger Rate. Er bestätigt jeden Befund über den Inhalt – eine offengelegte .env muss tatsächlich wie eine env-Datei aussehen, damit eine Soft-404-Seite nie einen Fehlalarm auslöst – und trennt kritische Exposition (ein erreichbares Secret oder Backup, was die Prüfung fehlschlagen lässt und dich alarmiert) von Hardening-Lücken (fehlende Header, aktiviertes XML-RPC, Enumeration, die warnen). Was auf deiner Site erwartet ist, kannst du als geprüft markieren.
Er funktioniert auf jeder Site – die generischen Prüfungen (offene Dateien, Directory-Listing, Header) gelten überall, und die WordPress-spezifischen Proben treffen auf einer Nicht-WordPress-Site einfach nicht zu. Kein Plugin nötig.
Die drei Sicherheitsprüfungen im direkten Vergleich
| Schwachstellen-Scan | Exposure-Scan | Penetrationstest | |
|---|---|---|---|
| Beantwortete Frage | Ist meine Software bekanntermaßen verwundbar? | Was habe ich offen gelassen? | Könnte jemand tatsächlich einbrechen? |
| Betrachtet | Installierte Plugin-/Theme-Versionen vs. CVEs | Erreichbare Dateien, Endpunkte, Header (von außen) | Alles – aktiv |
| Methode | Versionen mit einer Schwachstellen-DB abgleichen | Read-only-Anfragen an öffentliche URLs | Aktive Ausnutzung (Payloads, Brute-Force, Verkettung) |
| Intrusiv? | Nein | Nein | Ja – kann Dinge kaputt machen |
| Sicher kontinuierlich? | Ja | Ja | Nein – geplante, autorisierte Aufträge |
| Meist durchgeführt von | Einem Tool / Monitor | Einem Tool / Monitor | Einem menschlichen Tester |
| Erkennt | Ein Plugin mit bekannter CVE | Eine vergessene .env, offenes .git, schwache Header | Einen echten, verkettbaren, ausnutzbaren Weg hinein |
| Übersieht | Konfiguration & Exposition; saubere, aber gefährliche Software | Verwundbaren Code ohne Exposition | Nichts zwischen Aufträgen (Momentaufnahme) |
| In Relvato | Journey „Schwachstellen-Scan“ | Journey „Exposure-Scan“ | Nicht angeboten (ergänzt ihn) |
Fragen, beantwortet
Ist Relvatos Exposure-Scan ein Penetrationstest?
Nein – und das bewusst. Es ist nicht-intrusive Erkundung: read-only GET-Anfragen an öffentliche URLs auf einer Site, deren Besitz du nachgewiesen hast. Er nutzt nie etwas aus, macht kein Brute-Force und ändert keinen Zustand, ist also sicher kontinuierlich auf einem laufenden Shop auszuführen. Ein Penetrationstest greift aktiv an und ist ein separater, menschlich geführter, autorisierter Auftrag.
Brauche ich noch einen Schwachstellen-Scan, wenn ich den Exposure-Scan nutze?
Ja – sie finden unterschiedliche Probleme. Der Schwachstellen-Scan erkennt ein Plugin oder Theme mit bekannter CVE (verwundbarer Code); der Exposure-Scan erkennt, was offen gelassen wurde (Fehlkonfiguration und erreichbare Dateien). Keiner sieht, was der andere sieht. Relvato führt beide aus.
Wie werden WordPress-Sites am häufigsten tatsächlich gehackt?
Zwei Wege dominieren: ein Plugin oder Theme mit einer öffentlichen, ungepatchten Schwachstelle (durch einen Schwachstellen-Scan erkannt), und etwas Offengelassenes oder Fehlkonfiguriertes – ein erreichbares Backup, per XML-RPC brute-geforcte schwache Zugangsdaten, ein offenes Admin-Panel (durch einen Exposure-Scan erkannt). Beide lassen sich kontinuierlich prüfen, und genau darum geht es.
Kann automatisiertes Scannen einen Penetrationstest ersetzen?
Nein. Kontinuierliches Scannen deckt das Bekannte und das Offengelegte günstig und ständig ab; ein Penetrationstest beweist, was tatsächlich ausnutzbar ist, und findet verkettete, Logik- und neuartige Probleme, die ein Scanner nicht kann. Die stärksten Programme machen beides: kontinuierliches Exposure- und Schwachstellen-Monitoring plus einen regelmäßigen menschlichen Pentest.
Ist es legal, meine eigene Website so zu scannen?
Eine Site zu scannen, die du besitzt oder testen darfst, ist legitim – es ist die Grundlage aller defensiven Sicherheitsarbeit. Relvato läuft nur auf einer Domain, deren Kontrolle du verifiziert hast, hält sich strikt an nicht-intrusive read-only-Anfragen und weist sich aus. Die aktive Ausnutzung von Infrastruktur, die dir nicht gehört (oder ohne Autorisierung), ist etwas anderes – genau deshalb macht Relvato diesen Teil nicht.