Vulnerability Scanning: CHF 500 bis 5’000 pro Einmalscan. CHF 200 bis 2’000 monatlich als Abo. Professionelles Vulnerability Assessment mit Bericht und Massnahmenplan: CHF 3’500 bis 15’000. Self-Service-Tools wie Tenable Nessus oder Qualys starten ab CHF 200 pro Monat.
Vulnerability Scanning ist die günstigste Sicherheitsmassnahme mit dem schnellsten ROI. Ein Scanner findet bekannte Schwachstellen automatisiert. Er ersetzt keinen Penetrationstest, bei dem ein Mensch aktiv Schwachstellen ausnutzt und verkettet. Aber als Basismassnahme ist er Pflicht. Nachfolgend Tools, Preise und Modelle für Schweizer KMU.
Was ist Vulnerability Scanning – und was nicht?
Vulnerability Scanning ist ein automatisierter Prozess, bei dem spezialisierte Software (Scanner) Systeme, Netzwerke und Applikationen auf bekannte Sicherheitslücken untersucht. Das Tool vergleicht die gefundenen Konfigurationen und Softwareversionen mit einer Datenbank bekannter Schwachstellen (CVEs – Common Vulnerabilities and Exposures).
Was ein Vulnerability Scan leistet:
- Identifikation bekannter CVEs in Software und Betriebssystemen
- Erkennung fehlkonfigurierter Dienste und offener Ports
- Überprüfung auf Standard-Passwörter und schwache Authentifizierung
- Compliance-Checks (z.B. CIS Benchmarks, PCI DSS)
- Priorisierung nach Schweregrad (CVSS-Score)
Was ein Vulnerability Scan nicht leistet:
- Ausnutzung der gefundenen Schwachstellen (das ist Penetrationstest)
- Erkennung von Zero-Day-Schwachstellen (unbekannte Lücken)
- Bewertung von Geschäftsprozess-Risiken
- Manuelle Verifikation aller Befunde
“Vulnerability Scanning ist die Routine-Blutuntersuchung der IT-Sicherheit: günstig, regelmässig, aber kein Ersatz für die gründliche Untersuchung beim Spezialisten.” — IT-Sicherheitsbeauftragter, Schweizer Industrieunternehmen, 2025
Vulnerability Scanning Kostenübersicht 2026
Gesamtübersicht: Preismodelle im Vergleich
| Modell | Anbietertyp | Kosten | Für wen geeignet |
|---|---|---|---|
| Self-Service Tool (Abo) | Software-Anbieter | CHF 200–2’000/Monat | KMU mit IT-Ressourcen |
| Einmaligem Scan (extern) | Schweizer IT-Dienstleister | CHF 500–5’000 | Anlassbezogen, z.B. vor Audit |
| Vulnerability Assessment | Sicherheitsdienstleister | CHF 3’500–15’000 | Tiefgreifende Analyse mit Report |
| Continuous Scanning (Managed) | MSSP | CHF 800–4’000/Monat | KMU ohne eigene Security-Ressourcen |
| Penetrationstest (inkl. Scanning) | Spezialist | CHF 8’000–35’000 | Validierung der Schwachstellen |
Die wichtigsten Vulnerability-Scanner im Preisvergleich
Tool-Vergleich: Preise und Leistungsumfang
| Tool | Anbieter | Preismodell | Kosten/Jahr (KMU) | Stärken | Schwächen |
|---|---|---|---|---|---|
| Tenable Nessus Professional | Tenable | Jahresabo | CHF 3’500–4’500 | Umfangreichste CVE-Datenbank | Nur 1 Scanner-Instanz |
| Tenable.io / Tenable One | Tenable | Asset-basiert | CHF 5’000–25’000 | Cloud, kontinuierlich | Teuer bei vielen Assets |
| Qualys VMDR | Qualys | Asset-basiert | CHF 4’000–20’000 | Compliance + VM kombiniert | Komplex zu konfigurieren |
| Rapid7 InsightVM | Rapid7 | Asset-basiert | CHF 5’000–22’000 | Gute Dashboards, SIEM-Integration | Höhere Lernkurve |
| OpenVAS / Greenbone | Greenbone | Open Source / Community | CHF 0 (GCE kostenpflichtig) | Kostenlos, flexibel | Wartungsaufwand hoch |
| Microsoft Defender VM | Microsoft | Im Defender-Abo inkl. | CHF 0–15/Gerät/Monat | Microsoft-Ökosystem | Nur Microsoft-Plattformen |
| Orca Security | Orca | Cloud-Asset-basiert | CHF 8’000–30’000 | Agentless Cloud-Scanning | Primär Cloud-fokussiert |
| Burp Suite Professional | PortSwigger | Jahresabo | CHF 550–700 | Web-Applikationen | Nur Web, manuell |
Preise in CHF, Wechselkurs EUR/CHF ~0.97, USD/CHF ~0.88 (Stand März 2026). Jahrespreise variieren je nach Lizenzvolumen.
Tenable Nessus: Der Industriestandard
Tenable Nessus ist seit Jahren die meistgenutzte Vulnerability-Scanner-Plattform weltweit. Für Schweizer KMU gibt es zwei relevante Produkte:
Tenable – Produktvergleich für KMU
| Produkt | Zielgruppe | Kosten/Jahr | Max. Assets | Besonderheiten |
|---|---|---|---|---|
| Nessus Essentials | Einsteiger | Kostenlos | 16 IP-Adressen | Eingeschränkte Features |
| Nessus Professional | IT-Teams | CHF 3’500–4’500 | Unbegrenzt | Vollumfänglich, 1 Scanner |
| Tenable.io VMDR | Wachsende KMU | CHF 8’000–18’000 | 65–500 Assets | Cloud, kontinuierlich, APIs |
| Tenable One | Grössere KMU | CHF 18’000–40’000 | 200–1’000 Assets | Attack Surface Mgmt, CSPM |
Empfehlung für KMU: Nessus Professional (CHF 3’500–4’500/Jahr) ist für KMU mit einem dedizierten IT-Mitarbeitenden die beste Einstiegsoption. Wer Cloud-Infrastruktur hat oder kontinuierliches Scanning benötigt, sollte Tenable.io evaluieren.
Qualys VMDR: Enterprise-Klasse auch für KMU
Qualys VMDR (Vulnerability Management, Detection and Response) kombiniert Schwachstellenscanning mit Compliance-Prüfungen und bietet eine vollständig cloudbasierte Plattform. Der Preis richtet sich nach der Anzahl überwachter Assets.
Qualys VMDR – Preisstaffelung
| Assets | Jahreskosten (Richtwert) | Inklusivleistungen |
|---|---|---|
| bis 64 Assets | CHF 4’000–6’000 | VM, Compliance, Web App Scanning |
| 65–256 Assets | CHF 8’000–15’000 | VM, Compliance, PC, Container |
| 257–512 Assets | CHF 14’000–28’000 | VM, PC, CS, Container, Patch Mgmt |
| 513–1’024 Assets | CHF 25’000–50’000 | Vollpaket inkl. EDR-Integration |
Stärke von Qualys: Integrierte Patch-Management-Funktionalität und vorgefertigte Compliance-Reports (PCI DSS, ISO 27001, CIS). Für KMU, die regelmässige Audits durchführen müssen, ein grosser Vorteil.
Professionelles Vulnerability Assessment: Was Dienstleister berechnen
Für viele Schweizer KMU ist es sinnvoller, das Vulnerability Scanning einem externen Dienstleister zu überlassen, der nicht nur scannt, sondern auch bewertet und Empfehlungen gibt.
Vulnerability Assessment – Preistabelle Schweizer Anbieter
| Leistungsumfang | Aufwand | Kosten (CHF) | Ergebnis |
|---|---|---|---|
| Basis Netzwerk-Scan | 0.5–1 Tag | CHF 800–2’000 | Schwachstellenliste, CVSS-Score |
| Standard Vulnerability Assessment | 1–3 Tage | CHF 3’500–8’000 | Bericht, Priorisierung, Quick Wins |
| Erweitertes Assessment (Netz + Web) | 3–5 Tage | CHF 8’000–15’000 | Umfassender Bericht, Massnahmenplan |
| Vulnerability Assessment + Pentest | 5–10 Tage | CHF 15’000–35’000 | Validierung inkl. Ausnutzung |
| Kontinuierliches Managed Scanning | laufend | CHF 800–4’000/Monat | Monatliche Reports, Trendanalyse |
Was ein professioneller Report enthält:
- Executive Summary für die Geschäftsleitung
- Technische Schwachstellenliste mit CVSS-Scores
- Priorisierung nach Risiko und Aufwand (Quick Wins zuerst)
- Konkrete Remediation-Empfehlungen pro Schwachstelle
- Compliance-Mapping (ISO 27001, DSG)
- Retesting nach Behebung (optional)
Kontinuierliches vs. einmaliges Scanning: Was ist sinnvoller?
Eine häufige Frage bei Schweizer KMU: Reicht ein einmaliger Scan pro Jahr, oder braucht es kontinuierliches Scanning?
Vergleich: Einmaliger Scan vs. Continuous Scanning
| Kriterium | Einmaliger Scan (jährlich) | Continuous Scanning |
|---|---|---|
| Kosten | CHF 1’500–5’000/Jahr | CHF 2’400–24’000/Jahr |
| Aktualität | Momentaufnahme | Laufend aktuell |
| Reaktionszeit auf neue CVEs | Wochen bis Monate | Stunden bis Tage |
| Compliance-Eignung | Basisanforderungen | Höhere Standards (PCI DSS, FINMA) |
| Personalbedarf | Gering (Bericht lesen) | Mittel (Alarme bearbeiten) |
| Empfehlung | KMU bis 30 MA ohne Compliance-Druck | KMU ab 30 MA mit regulatorischen Anforderungen |
Faustregel: Neue Schwachstellen werden täglich veröffentlicht – 2024 wurden über 29’000 neue CVEs registriert (NVD, 2024). Ein einmaliger Jahresscan lässt Ihr Unternehmen während 364 Tagen im Unklaren über neue kritische Lücken. Für KMU mit sensiblen Daten oder regulatorischen Anforderungen ist Continuous Scanning die klügere Investition.
Vulnerability Scanning vs. Penetrationstest: Die entscheidenden Unterschiede
Viele KMU fragen sich, ob ein Vulnerability Scan einen Penetrationstest ersetzt – oder umgekehrt. Die Antwort ist klar: Nein, sie sind komplementär.
| Merkmal | Vulnerability Scanning | Penetrationstest |
|---|---|---|
| Methode | Automatisiert | Manuell + automatisiert |
| Tiefe | Bekannte Schwachstellen | Bekannte + unbekannte Lücken |
| Ausnutzung | Nein | Ja (kontrolliert) |
| False Positives | Hoch (10–40%) | Niedrig (manuell verifiziert) |
| Dauer | Stunden | Tage bis Wochen |
| Kosten | CHF 200–5’000 | CHF 8’000–35’000 |
| Häufigkeit | Monatlich / kontinuierlich | 1–2x pro Jahr |
| Bericht | Technische Liste | Technisch + Business Risk |
| Regulatorisch | Basisanforderung | Erweiterte Anforderung |
Mehr zu den Kosten und Unterschieden lesen Sie in unserem Artikel zu Penetrationstest Kosten Schweiz und im Vergleich Red Teaming vs. Penetrationstest.
Statistiken: Warum regelmässiges Scanning entscheidend ist
- 29’000+ neue CVEs wurden 2024 veröffentlicht – ein Rekordwert (NVD / NIST, 2024).
- 60% aller Datenschutzverletzungen weltweit nutzen Schwachstellen aus, für die bereits seit über 30 Tagen ein Patch verfügbar war (Ponemon Institute, 2024).
- 85% der erfolgreichen Angriffe auf KMU hätten durch regelmässiges Patching bekannter Schwachstellen verhindert werden können (ENISA, 2024).
- Ø CHF 1,4 Mio. kosten Cyberangriffe auf Schweizer KMU durchschnittlich – inkl. Betriebsausfall, Wiederherstellung und Reputationsschaden (Allianz Risk Barometer, 2024).
- Nur 31% der Schweizer KMU führen laut einer Hochschule-Luzern-Studie (2024) regelmässige Schwachstellenscans durch.
“Die meisten Angriffe, die wir bei Schweizer KMU forensisch untersuchen, hätten durch regelmässiges Vulnerability Scanning und konsequentes Patching verhindert werden können. Die Technologie kostet weniger als eine Arbeitsstunde eines Anwalts.” — Forensik-Spezialist, Schweizer Cybersecurity-Unternehmen, 2025
Vulnerability Scanning für Webanwendungen: Sonderfall WAF und DAST
Neben dem Netzwerk- und Infrastruktur-Scanning gibt es spezialisierte Tools für Web-Applikationen (DAST – Dynamic Application Security Testing). Diese sind für KMU mit eigenen Webshops, Kundenportalen oder SaaS-Anwendungen besonders relevant.
Web-Applikations-Scanner: Preisübersicht
| Tool | Typ | Kosten/Jahr | Stärken |
|---|---|---|---|
| Burp Suite Professional | DAST (manuell/auto) | CHF 550–700 | Industriestandard, flexibel |
| Burp Suite Enterprise | DAST (Continuous) | CHF 4’500–15’000 | CI/CD-Integration |
| OWASP ZAP | Open Source | Kostenlos | Einstieg, Community-Support |
| Acunetix (Invicti) | DAST | CHF 5’000–20’000 | Umfassend, wenig False Positives |
| Detectify | SaaS DAST | CHF 3’000–12’000 | Einfach zu bedienen, aktuell |
| PortSwigger Scanning as Service | Managed | CHF 2’000–8’000 | Kein Setup nötig |
Für KMU, die keine eigenen Security-Tester beschäftigen, ist ein professionelles Web-Applikations-Assessment durch einen externen Anbieter (CHF 3’000–10’000) oft wirtschaftlicher als die Eigenentwicklung mit teuren Tools.
Einen detaillierten Überblick über alle Sicherheitsprüfungen finden Sie in unserer Cybersecurity-Checkliste für KMU.
Kosten-Nutzen-Analyse: Lohnt sich Vulnerability Scanning?
Eine einfache Rechnung verdeutlicht den ROI:
Szenario: KMU mit 80 Mitarbeitenden
| Position | Betrag |
|---|---|
| Jährliche Kosten Continuous Scanning (Managed) | CHF 12’000 |
| Wahrscheinlichkeit eines erfolgreichen Angriffs ohne Scanning | ~35% |
| Wahrscheinlichkeit mit Scanning | ~12% |
| Durchschnittlicher Schadensfall KMU Schweiz | CHF 800’000 |
| Erwarteter Schaden ohne Scanning (35% × CHF 800’000) | CHF 280’000 |
| Erwarteter Schaden mit Scanning (12% × CHF 800’000) | CHF 96’000 |
| Risikoreduktion durch Scanning | CHF 184’000/Jahr |
| ROI (CHF 184’000 – CHF 12’000) / CHF 12’000 | ~1’433% |
Diese vereinfachte Berechnung zeigt: Selbst wenn man konservative Annahmen trifft, übersteigt der Nutzen von Vulnerability Scanning die Kosten um ein Vielfaches. Mehr zur Budgetplanung lesen Sie im Artikel Security Audit Kosten Schweiz.
Schritt-für-Schritt: Vulnerability Scanning richtig aufsetzen
Für KMU, die Vulnerability Scanning erstmals einführen, empfehlen wir folgendes Vorgehen:
- Asset-Inventar erstellen: Welche Systeme, Server und Applikationen sollen gescannt werden? (Scope definieren)
- Tool auswählen: Self-Service (Nessus Professional) oder Managed Service (MSSP)?
- Scan planen: Ausserhalb der Geschäftszeiten scannen, um Performance-Beeinträchtigungen zu vermeiden.
- Erstmal vollständig scannen: Credential-basierter Scan liefert bis zu 80% mehr Befunde als unauthentifizierter Scan.
- Ergebnisse priorisieren: CVSS-Score ≥ 9.0 (Critical) sofort patchen, ≥ 7.0 (High) innerhalb 30 Tage.
- Remediation nachverfolgen: Retesting nach Behebung, Tracking im Ticketsystem.
- Wiederholung planen: Mindestens monatlich, bei kritischer Infrastruktur wöchentlich.
Verbindung zu Red Teaming und ISO 27001
Vulnerability Scanning ist ein wichtiger Baustein, aber nur ein Teil des Sicherheitsprogramms. Die Verbindung zu anderen Massnahmen:
- ISO 27001 verlangt in Annex A.12.6 aktives Schwachstellenmanagement – Vulnerability Scanning ist der Nachweis dafür. Mehr zu ISO 27001 Kosten Schweiz.
- Red Teaming geht über das Scanning hinaus und nutzt gefundene Schwachstellen aktiv aus. Red Teaming ist der realistische Stresstest, Scanning die Checkliste.
- Penetrationstests verifizieren manuell, ob die Scanner-Befunde wirklich ausnutzbar sind.
Informationen zu allen Sicherheitskosten finden Sie in der Übersicht Cybersecurity Budget für KMU und Red Team Kosten Schweiz.
Fazit
Vulnerability Scanning ist die kostengünstigste und effektivste Grundmassnahme im Sicherheitsportfolio eines Schweizer KMU. Die Kosten von CHF 200–2’000/Monat für kontinuierliches Scanning oder CHF 1’500–5’000 für einen jährlichen professionellen Assessment sind im Vergleich zum potenziellen Schaden eines unentdeckten Angriffs minimal.
Unsere Empfehlung für Schweizer KMU:
- Sofortmassnahme: Nessus Essentials (kostenlos, bis 16 IPs) oder ein einmaliger externer Scan (CHF 1’500–3’500).
- Kurzfristig (1–3 Monate): Nessus Professional (CHF 3’500/Jahr) oder Managed Scanning (CHF 800–2’000/Monat).
- Mittelfristig: Integration ins Sicherheitsprogramm mit Penetrationstest und Red Teaming.
Machen Sie den nächsten Schritt mit Red Teaming: Ein Vulnerability Scan zeigt, welche Lücken existieren. Ein Red-Teaming-Engagement zeigt, wie ein echter Angreifer diese ausnutzt und wie weit er in Ihre Organisation eindringen kann. Unsere CREST-zertifizierten Experten in Zürich liefern Ihnen die Antworten, die ein automatisierter Scanner nie geben kann.
Red Teaming anfragen – ab CHF 11’900 | CREST-zertifiziert | Standort Zürich | Ergebnis in 2–4 Wochen