„Wir haben doch letztes Jahr einen Scan machen lassen” — dieser Satz fällt in Audits regelmäßig, und er ist fast immer der Anfang eines unangenehmen Gesprächs. Denn die Regelwerke, die für die meisten Unternehmen relevant sind, verlangen keine einmalige Bestandsaufnahme, sondern einen kontinuierlichen Prozess: Schwachstellen identifizieren, bewerten, beheben, nachprüfen — und das in einem Rhythmus, der zur Bedrohungslage passt. Dieser Beitrag sortiert, welches Regelwerk was genau fordert und woran sich eine angemessene Scan-Frequenz bemisst.
Die Regelwerke im Überblick
ISO 27001: Kontrolle A.8.8. Die Norm verlangt, dass Informationen über technische Schwachstellen der genutzten Systeme rechtzeitig beschafft, die eigene Exposition bewertet und angemessene Maßnahmen ergriffen werden. In der Zertifizierungspraxis bedeutet das: Ein Auditor will einen dokumentierten Prozess sehen — Scan-Ergebnisse, Priorisierung nach Schweregrad, Behebungsfristen und den Nachweis, dass die Fristen auch eingehalten werden. Ein einzelner PDF-Report ohne Folgeprozess fällt durch.
NIS-2. Die Richtlinie zählt den Umgang mit Schwachstellen ausdrücklich zu den Risikomanagementmaßnahmen, die betroffene Einrichtungen umsetzen müssen — einschließlich Schwachstellenbehandlung und -offenlegung. Wer unter NIS-2 fällt, kommt um systematisches Schwachstellenmanagement nicht herum, und die Geschäftsleitung haftet für die Umsetzung.
PCI DSS. Wer Kreditkartendaten verarbeitet, unterliegt den härtesten Frequenzvorgaben: quartalsweise externe Schwachstellenscans durch einen zugelassenen Scanning-Dienstleister, zusätzlich interne Scans und erneute Prüfungen nach jeder wesentlichen Änderung an der Infrastruktur.
BSI IT-Grundschutz und KRITIS. Das IT-Grundschutz-Kompendium verankert Schwachstellen- und Patch-Management als eigenen Baustein; Betreiber kritischer Anlagen müssen seit dem NIS2-Umsetzungsgesetz (in Kraft seit 6. Dezember 2025) nach § 39 BSIG alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachweisen, dass ihre Maßnahmen den Anforderungen der §§ 30 und 31 BSIG entsprechen — regelmäßige Schwachstellenanalysen sind dabei ein fester Bestandteil der Nachweisführung.
TISAX. Die Automobilindustrie verlangt über den VDA-ISA-Katalog ebenfalls einen etablierten Umgang mit technischen Schwachstellen — für Zulieferer ist das Assessment ohne funktionierendes Schwachstellenmanagement praktisch nicht zu bestehen.
DSGVO Art. 32. Oft übersehen: Auch der Datenschutz fordert ein „Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen”. Wer personenbezogene Daten auf Systemen mit bekannten, ungepatchten Sicherheitslücken verarbeitet, hat im Fall einer Datenpanne ein doppeltes Problem — den Vorfall selbst und die Frage der Aufsichtsbehörde, warum die Lücke offen war.
Wie oft scannen? Die Frequenzfrage
Eine pauschale Antwort gibt es nicht, aber belastbare Faustregeln:
- Extern erreichbare Systeme (Webserver, VPN-Gateways, Mail): mindestens monatlich, besser kontinuierlich. Hier ist die Angriffsfläche öffentlich, und zwischen Veröffentlichung einer kritischen Lücke und ihrer massenhaften Ausnutzung vergehen oft nur Tage.
- Interne Netze und Server: quartalsweise als Untergrenze, in regulierten Umgebungen monatlich.
- Nach jeder wesentlichen Änderung: neue Systeme, größere Updates, Firewall-Änderungen — immer ein anlassbezogener Scan zusätzlich zum Rhythmus.
- Kritische Umgebungen (Produktion, Medizintechnik, KRITIS): kontinuierliches Monitoring mit angepasster Scan-Intensität, damit empfindliche Systeme nicht gestört werden.
Entscheidend ist weniger die Frequenz allein als die Reaktionskette danach: Eine kritische Schwachstelle, die drei Monate im Report steht, ist schlimmer als eine, die nie gefunden wurde — denn jetzt ist die Kenntnis dokumentiert. Kennzahlen wie die durchschnittliche Behebungszeit (MTTR) und der Anteil überfälliger kritischer Findings gehören deshalb in jedes Management-Reporting.
Scan ist nicht gleich Pentest
Ein häufiges Missverständnis: Der automatisierte Schwachstellenscan ersetzt keinen Penetrationstest — und umgekehrt. Der Scan findet bekannte Lücken in der Breite (veraltete Versionen, Fehlkonfigurationen, fehlende Patches) und lässt sich beliebig oft wiederholen. Der Penetrationstest prüft in der Tiefe, ob sich Lücken tatsächlich ausnutzen und verketten lassen — manuell, kreativ, aber punktuell und deutlich aufwendiger. Ein reifes Sicherheitsprogramm kombiniert beides: kontinuierliche Scans als Grundrauschen, periodische Pentests als Härtetest. Wie sich die beiden Verfahren im Detail unterscheiden und wann welches sinnvoll ist, zeigt unser Portal-Beitrag zur Schwachstellenanalyse; für die manuelle Tiefenprüfung haben wir die wichtigsten Fragen zum Penetrationstest zusammengefasst.
Der pragmatische Einstieg
Für Unternehmen, die bisher gar nicht oder nur sporadisch scannen, hat sich ein dreistufiger Einstieg bewährt:
- Externe Angriffsfläche zuerst. Ein Scan der öffentlich erreichbaren Systeme liefert schnell die kritischsten Befunde — und deckt regelmäßig vergessene Subdomains, offene Testsysteme und veraltete Dienste auf.
- Prozess vor Tooling. Bevor in Scanner-Lizenzen investiert wird: klären, wer Befunde bewertet, wer Fristen setzt und wer die Behebung nachhält. Ohne diese Kette produziert jedes Tool nur Reports für den Ordner.
- Frequenz schrittweise erhöhen. Vom Quartalsrhythmus zu monatlichen Scans, von manuellen Auswertungen zu automatischen Tickets — der Reifegrad wächst mit.
So wird aus der lästigen Audit-Anforderung ein Prozess, der tatsächlich Vorfälle verhindert — und der beim nächsten Zertifizierungsaudit, der nächsten Kundenanfrage oder der nächsten NIS-2-Nachweispflicht schlicht abrufbar ist.