Vulnerability Scanning mit OpenVAS / Greenbone: Schritt-für-Schritt

Einleitung

Ohne Scan weißt du nicht, was offen ist. Vulnerability Scanning ist die Grundlage jedes ernsthaften Schwachstellenmanagements – und mit der Greenbone Community Edition bekommst du dafür ein professionelles Werkzeug ohne Lizenzkosten. Dieser Artikel führt dich von der Installation bis zum ersten aussagekräftigen Scan-Report.

Warum das Thema wichtig ist

Ein Vulnerability Scanner sieht deine Infrastruktur so wie ein Angreifer, der nach Einfallstoren sucht: systematisch, reproduzierbar, ohne Vorurteile. Er testet auf bekannte Schwachstellen, Fehlkonfigurationen, veraltete Dienste und schwache Authentifizierung. Ohne regelmäßige Scans bist du blind: Du weißt nicht, welche Schwachstellen du hast, und kannst folglich nicht priorisieren. Greenbone CE ist die erste Wahl im Open-Source-Bereich – basiert auf dem kommerziellen Produkt, ist vollständig funktionsfähig und für KMU mehr als ausreichend.

OpenVAS vs. Greenbone CE: Was ist was?

• OpenVAS ist die Scanner-Engine (Kern des Systems).
• Greenbone Community Edition (GCE) ist die vollständige Lösung inkl. Web-UI, Datenbank, Feed-Management.
• Greenbone Enterprise ist das kommerzielle Produkt mit Support und schnelleren Feed-Updates.

Für KMU ist die Community Edition die richtige Wahl.

Installation: Docker-basiertes Setup

Voraussetzung: Linux-Host (Ubuntu 22.04 empfohlen) mit ≥ 4 GB RAM und 20 GB Plattenplatz.

Docker installieren

sudo apt update && sudo apt install -y docker.io docker-compose-plugin
sudo systemctl enable --now docker
sudo usermod -aG docker $USER

Greenbone Community Edition deployen

curl -f -L \
  https://greenbone.github.io/docs/latest/_static/docker-compose-22.4.yml \
  -o docker-compose.yml

docker compose -f docker-compose.yml -p greenbone-community-edition up -d

Der erste Start dauert 10–30 Minuten – die NVT-Feeds (Network Vulnerability Tests) werden geladen und die Datenbank initialisiert.

Admin-Passwort setzen

docker compose -f docker-compose.yml -p greenbone-community-edition \
  exec -u gvmd gvmd gvmd --user=admin --new-password='DeinSicheresPasswort'

Login unter https://localhost:9392 mit admin / dein Passwort.

Den ersten Scan konfigurieren

Target anlegen

Configuration → Targets → New Target

• Name: z. B. „Internes Netz 192.168.1.0/24“
• Hosts: IP-Range oder einzelne IPs
• Credentials: für authentifizierte Scans (siehe unten)
• Port List: „All IANA assigned TCP and UDP“ für vollständigen Scan

Task erstellen

Scans → Tasks → New Task

• Name: z. B. „Wöchentlicher interner Scan“
• Scan Config: Full and fast (Standard-Empfehlung)
• Target: dein Target
• Scanner: OpenVAS Default

Scan-Configs im Überblick

Für den Alltag: Full and fast. Für gelegentliche Tiefen-Scans: ultimate – aber teste das in einer Wartungsnacht, nicht zur Stoßzeit.

Authentifizierte vs. nicht-authentifizierte Scans

Nicht-authentifiziert: Der Scanner sieht nur, was ein externer Angreifer ohne Credentials sieht – offene Ports, Service-Banner. Gut als Baseline, aber viele Schwachstellen bleiben unsichtbar.

Authentifiziert: Der Scanner meldet sich an und prüft installierte Software, Patch-Stand, Konfiguration. Liefert ein Vielfaches an Findings.

Credentials anlegen

Windows (Configuration → Credentials → New Credential):

• Type: Username + Password (für SMB)
• Domänen-Account mit lokalem Admin-Recht auf den Zielsystemen

Linux:

• SSH-Key empfohlen (sicherer als Passwort)
• User mit sudo-Rechten für vollständige Scans

Reports lesen und priorisieren

Scans → Reports → letzter Report

Wichtige Filter:

• Severity: Critical, High, Medium, Low, Log
• Solution Type: VendorFix (Patch verfügbar), Mitigation, WillNotFix
• QoD (Quality of Detection): ≥ 70 % als Filter eliminiert die meisten False Positives

Workflow:

Report exportieren (CSV/XML)
│
├── Filter: Severity = Critical/High
├── Filter: Solution Type = VendorFix
├── Filter: QoD ≥ 70 %
│
└── Pro Finding:
    ├── CVSS + EPSS prüfen
    ├── CISA-KEV-Status checken
    ├── Betroffene Systeme identifizieren
    ├── Ticket erstellen, SLA setzen
    └── Re-Scan nach Patch

Typische Findings in KMU-Umgebungen

• Veraltete TLS-Versionen (TLS 1.0/1.1 noch aktiv)
• Schwache SSH-Ciphers
• Veraltete Web-Applikationen (WordPress, CMS)
• Default-Credentials auf Druckern und Routern
• Unverschlüsselte Protokolle (HTTP, Telnet, FTP)
• Fehlende Security-Header

Scan-Zeitplan einrichten

Manuelle Scans reichen nicht.

Edit Task → Schedule → New Schedule

• Frequency: weekly, z. B. So 02:00 Uhr
• Alerts: Configuration → Alerts → E-Mail bei Critical-Findings

Gotchas

• Performance: Greenbone CE auf 4 GB RAM ist knapp. Bei größeren Netzen 8 GB+ einplanen.
• Feed-Updates: dauern beim ersten Start sehr lange. Geduld haben, nicht abbrechen.
• False Positives: Bei „Authentication failed“ zuerst Credentials prüfen, bevor man dem Finding glaubt.
• Netzwerklast: Full-and-fast-Scans erzeugen Traffic. IDS/IPS vorab informieren, sonst gibt es Tickets aus der falschen Richtung.

Praxis-Checkliste

• Greenbone Community Edition via Docker auf dediziertem Scan-System installiert
• Admin-Credentials gesetzt, erste Anmeldung erfolgreich
• Targets für alle relevanten Netzsegmente angelegt
• Authentifizierte Credentials für Windows und Linux konfiguriert
• Erster Full-and-fast-Scan durchgeführt und Report analysiert
• Report-Filter (Critical/High + VendorFix + QoD ≥ 70 %) etabliert
• Top-10-Findings im Ticket-System mit SLA hinterlegt
• Wöchentlicher Scan-Zeitplan aktiv
• E-Mail-Alert bei Critical-Findings konfiguriert
• Quartalsweise Delta-Report: Was hat sich verbessert?

Fazit

Vulnerability Scanning ist kein Einmal-Projekt, sondern ein Loop: scannen, priorisieren, beheben, erneut scannen. Greenbone CE liefert dir das Werkzeug ohne Lizenzkosten. Der Aufwand für die Einrichtung ist überschaubar – der Erkenntnisgewinn erheblich.

Wenn du tiefer einsteigen willst: Im Newsletter zeigen wir jeden Monat konkrete Schwachstellen-Workflows und Tool-Setups. Trag dich ein.