Ein offener Scanner-Kern schafft Transparenz statt Blackbox, ersetzt aber nicht jede Enterprise-Funktion. Mit OPENVAS Schwachstellen automatisiert identifizieren und priorisieren.
Kostenfreie Beratung sichernWer die Sicherheit seiner IT-Infrastruktur prüfen will, muss nicht zwangsläufig auf eine geschlossene, teure Lösung setzen. Open Source Vulnerability Management nutzt einen offen einsehbaren Scanner-Kern, um Schwachstellen zu finden, zu bewerten und zu priorisieren, transparent statt als Blackbox. Wie weit dieser Ansatz allein trägt und wo eine kommerzielle Ergänzung sinnvoll wird, zeigt dieser Überblick.
Open Source Vulnerability Management beschreibt den Einsatz von Sicherheits-Scannern, deren Quellcode öffentlich einsehbar ist, um Schwachstellen in Netzwerken, Servern und Endgeräten automatisiert zu identifizieren, zu bewerten und zu priorisieren. Im Zentrum steht dabei nicht in erster Linie der Lizenzpreis, sondern die Nachvollziehbarkeit: Jede Prüfroutine lässt sich einsehen, statt sich allein auf das Versprechen eines Herstellers verlassen zu müssen.
Der Begriff wird häufig mit einem anderen Thema verwechselt: der Absicherung von Open-Source-Komponenten in eigener Software, auch Software Composition Analysis genannt. Dabei geht es darum, Schwachstellen in verwendeten Programmbibliotheken aufzuspüren, nicht um die Wahl des Scan-Werkzeugs selbst. Open Source Vulnerability Management im hier beschriebenen Sinn meint dagegen die Suche nach Schwachstellen in der gesamten IT-Infrastruktur mit einem offen einsehbaren Werkzeug. Die technische Grundlage dazu liefert die Seite IT-Sicherheit & Informationssicherheit.
Der bekannteste Vertreter dieses Ansatzes ist OPENVAS: 2005 entstanden, als der Vorläufer Nessus von einer offenen auf eine proprietäre Lizenz wechselte. Seither wird der Scanner unter der GPL weiterentwickelt, ursprünglich mit Unterstützung des BSI, heute unter der Leitung der deutschen Greenbone AG. Mehr zur Historie und zum Vergleich mit dem kommerziellen Pendant liefert die Seite OPENVAS vs. Nessus.
Ob ein offener Scanner allein ausreicht oder eine kommerzielle Ergänzung sinnvoll ist, hängt von der eigenen IT-Umgebung ab:
Genau an dieser Schnittstelle setzt der OPENVAS ENTERPRISE FEED an: Er ergänzt den offenen Scanner-Kern um eine kommerziell gepflegte, tagesaktuelle Datenbasis, Compliance-Richtlinien und Herstellersupport.
Wie schnell sich die Bedrohungslage entwickelt und warum rein manuelle Auswertung an Grenzen stößt, zeigen aktuelle Kennzahlen:
Quellen: CVE-Programm (2025); Verizon Data Breach Investigations Report (2026); National Vulnerability Database, NIST (2025).
Ein Überblick über die häufigsten Einschränkungen, wenn ausschließlich mit einem freien Community-Scanner gearbeitet wird:
Je nach Unternehmensgröße und Anforderungen eignet sich eine andere Kombination aus offenem Scanner und kommerziellem Feed:
Der zentrale Unterschied zwischen dem freien und dem kommerziellen Open-Source-Ansatz liegt im zugrunde liegenden Feed:
| Merkmal | OPENVAS COMMUNITY FEED | OPENVAS ENTERPRISE FEED |
|---|---|---|
| Kosten | Kostenlos | Kostenpflichtiges Abonnement |
| Abdeckung Heimanwender-Software | Ja | Ja |
| Abdeckung Unternehmenssoftware | Nein | Ja |
| Update-Frequenz | Unregelmäßig | Mehrfach täglich |
| Compliance-Richtlinien (z. B. CIS Benchmarks) | Nein | Ja |
| Herstellersupport mit SLA | Nein | Ja |
Eine ausführliche Gegenüberstellung liefert die Seite OPENVAS Feedvergleich.
OPENVAS ist selbst ein Open-Source-Projekt: Der Scanner-Kern steht unter der GPL und wird von der deutschen Greenbone AG weiterentwickelt. Je nach Anforderung lässt er sich mit dem kostenlosen Community Feed oder dem kommerziellen Enterprise Feed betreiben.
Für einen unverbindlichen Test im eigenen Tempo steht zudem OPENVAS FREE zur Verfügung.
Ein erster, konkreter Fahrplan, um den passenden Open-Source-Ansatz für Ihre IT zu finden:
Was versteht man unter Open Source Vulnerability Management?
Open Source Vulnerability Management bezeichnet den Einsatz von Scan-Technologie mit offen einsehbarem Quellcode, um Schwachstellen in der eigenen IT-Infrastruktur zu finden, zu bewerten und zu priorisieren.
Ist das dasselbe wie Vulnerability Management für Open-Source-Software?
Nein. Dabei geht es um die Absicherung von Open-Source-Bibliotheken in eigener Software, auch Software Composition Analysis genannt. Open Source Vulnerability Management meint dagegen die Wahl eines offenen Scan-Werkzeugs für die gesamte IT-Infrastruktur.
Ist OPENVAS wirklich Open Source?
Ja, der Scanner-Kern von OPENVAS steht unter der GPL und ist damit frei einsehbar. Die kommerziellen Produkte OPENVAS BASIC und OPENVAS SCAN ergänzen diesen offenen Kern um einen kostenpflichtigen Enterprise Feed und Support.
Was unterscheidet Community Feed und Enterprise Feed?
Der Community Feed deckt vor allem Heimanwender-Software ab und wird unregelmäßig aktualisiert. Der Enterprise Feed testet zusätzlich verbreitete Unternehmenssoftware, wird mehrfach täglich aktualisiert und umfasst Compliance-Richtlinien sowie Support.
Reicht der kostenlose Community Feed für ein Unternehmen aus?
Für den ersten Einstieg oder private Umgebungen ja. Sobald Unternehmenssoftware im Einsatz ist oder Compliance-Nachweise gefordert werden, wird der kommerzielle Enterprise Feed in der Regel notwendig.
Ist eine Open-Source-Lösung genauso sicher wie ein proprietärer Scanner?
Der offen einsehbare Quellcode wird von einer breiten Community geprüft, was Fehler oft schneller sichtbar macht als bei geschlossener Software. Entscheidend für die tatsächliche Erkennungsrate bleibt jedoch die Aktualität der verwendeten Tests.
Welche Kosten entstehen bei Open Source Vulnerability Management?
Der Scanner selbst ist kostenlos nutzbar. Kosten entstehen erst durch den optionalen Enterprise Feed, dessen Preis sich nach der zu scannenden Umgebung richtet, von wenigen Euro monatlich bis zu umfangreichen Unternehmenslizenzen.
Wie unterscheidet sich das von klassischem Schwachstellenmanagement?
Klassisches Schwachstellenmanagement beschreibt den allgemeinen Prozess aus Identifizieren, Bewerten und Beheben von Schwachstellen, unabhängig vom eingesetzten Werkzeug. Open Source Vulnerability Management legt den Fokus zusätzlich auf die Wahl einer transparenten, offen einsehbaren Scan-Technologie. Mehr zum allgemeinen Prozess liefert die Seite Schwachstellenmanagement.
Lassen Sie uns gemeinsam prüfen, ob der offene Ansatz für Ihre IT ausreicht oder wo eine kommerzielle Ergänzung sinnvoll ist.
