Von der Redaktion • 21. Juni 2026 • 8 Min. Lesezeit

TL;DR: Nessus vs OpenVAS auf einen Blick

Nessus ProfessionalOpenVAS (Greenbone CE)
Preis3.390 $ / Jahr0 € (Open Source)
Hosts-LimitUnbegrenztUnbegrenzt
Authenticated Scan42 Minuten3 Stunden 25 Minuten
CVE-Abdeckung257.840 CVEs256.979 CVEs
Plugins / NVTs130.000+50.000 bis 100.000+
EPSS-ScoringJaNein (Community Edition)
Web-App-ScanJaNein (Community Edition)
SupportKommerziellCommunity
Beste WahlEnterprise, ComplianceBudget, Anpassung

Kurz-Fazit: Nessus scannt 4,9-mal schneller im Authenticated-Modus und deckt 5.266 mehr CVEs ab, kostet aber 3.390 Dollar pro Jahr. OpenVAS ist vollständig kostenlos, benötigt jedoch deutlich mehr Konfigurationsaufwand und ist im unauthenticated Modus rund 19-mal langsamer.

Warum dieser Vergleich 2026 wichtig ist

Schwachstellenscanner sind das Fundament jedes Vulnerability-Management-Programms. Das BSI registrierte zwischen Juli 2024 und Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von 24 Prozent gegenüber dem Vorjahreszeitraum. Deutsche Unternehmen wurden 2025 mit durchschnittlich 1.223 Cyberangriffen pro Woche konfrontiert, ein Plus von 14 Prozent im Jahresvergleich.

In diesem Umfeld entscheiden Teams täglich: Kaufe ich Nessus für 3.390 Dollar im Jahr und bekomme sofort einsatzbereite Compliance-Reports, oder setze ich auf OpenVAS, zahle nichts und konfiguriere selbst? Diese Frage hat keine pauschale Antwort. Die richtige Wahl hängt von Teamgröße, Budget, Compliance-Anforderungen und technischer Expertise ab.

Dieser Vergleich basiert auf verifizierten Benchmark-Daten aus drei unabhängigen Quellen, Herstellerangaben sowie Praxisberichten aus Security-Communities. Jede Zahl ist nachvollziehbar.

Was ist ein Vulnerability Scanner? Grundlagen für DACH-Teams

Ein Vulnerability Scanner durchsucht Netzwerke, Hosts und Anwendungen systematisch nach bekannten Schwachstellen. Das Tool vergleicht den Ist-Zustand eines Systems mit einer Datenbank bekannter CVEs (Common Vulnerabilities and Exposures) und NVTs (Network Vulnerability Tests) und liefert priorisierte Berichte.

Es gibt zwei grundlegende Scan-Modi, die jedes Team kennen muss:

  • Authenticated Scan: Der Scanner meldet sich mit gültigen Credentials am Zielsystem an und analysiert installierte Software, Konfigurationen und Patches von innen. Diese Methode findet deutlich mehr Schwachstellen, rund 10- bis 15-mal mehr als unauthenticated Scans.
  • Unauthenticated Scan: Der Scanner agiert wie ein externer Angreifer ohne Zugangsdaten. Er findet nur nach außen exponierte Dienste und Ports. Gut geeignet für Perimeter-Checks, aber weit weniger umfassend.

Beide Tools, Nessus und OpenVAS, unterstützen beide Modi. Der Unterschied liegt in Geschwindigkeit, Abdeckung und Reporting-Qualität.

Wie CVSS-Scores die Priorisierung steuern

Jede gefundene Schwachstelle erhält einen CVSS-Score (Common Vulnerability Scoring System) von 0 bis 10. Scores ab 9,0 gelten als kritisch. Nessus unterstützt zusätzlich den EPSS-Score (Exploit Prediction Scoring System), der angibt, wie wahrscheinlich eine Schwachstelle in den nächsten 30 Tagen aktiv ausgenutzt wird. Die OpenVAS Community Edition bietet EPSS nicht an, was bei der Priorisierung einen Unterschied macht: Teams ohne EPSS müssen mehr Schwachstellen manuell bewerten.

Nessus im Überblick: Tenables Gold-Standard für Unternehmen

Nessus wird von Tenable entwickelt, dem US-amerikanischen Cybersecurity-Unternehmen mit Sitz in Columbia, Maryland. Seit der ersten Veröffentlichung im Jahr 1998 hat sich Nessus zum meistgenutzten kommerziellen Vulnerability Scanner entwickelt. Tenable gibt an, 40.000 Kunden zu betreuen und über 2 Millionen Downloads verzeichnet zu haben.

2026 erscheint Nessus in drei Varianten:

  • Nessus Essentials: Kostenlos, aber auf 16 IP-Adressen pro Scanner begrenzt. Geeignet für Studenten und kleine Heimlabore. Kein kommerzieller Support.
  • Nessus Professional: 3.390 Dollar pro Jahr. Unbegrenzte IPs, vollständige Plugin-Bibliothek, PCI-Compliance-Reports, Live-Results und Priority Support. Das meistgenutzte Modell in mittelgroßen IT-Abteilungen.
  • Nessus Expert: Rund 7.999 Dollar pro Jahr. Erweitert Professional um Cloud-Infrastruktur-Scanning, externes Attack-Surface-Management und Developer-Integrationen für CI/CD-Pipelines.

Das Plugin-System ist Nessus' zentrales Alleinstellungsmerkmal. Ein Plugin ist ein kleines Skript, das genau eine Schwachstelle auf genau einem System prüft. Eine 2026-Analyse zitiert über 130.000 Plugins, eine andere Quelle nennt sogar 210.000 Plugins. Die Diskrepanz erklärt sich durch unterschiedliche Zählmethoden: Manche Quellen zählen nur aktive Prüfplugins, andere schließen Audit-, Compliance- und Konfigurationsplugins ein. Tenable aktualisiert die Plugin-Bibliothek täglich.

Nessus gilt branchweit als “Gold Standard” für Vulnerability Assessment, wie Tenable selbst auf der Produktseite formuliert. Der Anspruch ist nicht unbegründet: Nessus war unter den ersten Scannern, die CVSS v3 vollständig unterstützten, und integriert EPSS-Scores direkt in die Scan-Ergebnisse.

Stärken und Schwächen auf einen Blick

Nessus punktet mit einer sehr niedrigen Falsch-Positiv-Rate. Tenable bewirbt “Better than Six-Sigma Accuracy”, was statistisch weniger als 3,4 Fehler pro Million Prüfungen bedeutet. In der Praxis sehen Security-Teams bei Nessus deutlich weniger manuelle Nacharbeit als bei Open-Source-Alternativen. Der Nachteil: 3.390 Dollar pro Jahr sind für kleinere Teams und Startups eine erhebliche Hürde.

OpenVAS und Greenbone Community Edition im Überblick

OpenVAS (Open Vulnerability Assessment Scanner) entstand 2005 als Fork des ursprünglich freien Nessus, nachdem Tenable Nessus 3.0 proprietär machte. Heute steht OpenVAS unter dem Dach von Greenbone Networks, einem deutschen Unternehmen mit Sitz in Osnabrück. Die Community Edition ist vollständig kostenlos und Open Source, lizenziert unter der GPL.

Die Greenbone-Produktlinie gliedert sich in:

  • Greenbone Community Edition (GCE): Kostenlos, kein Host-Limit. Enthält den Community Feed mit regelmäßig aktualisierten NVTs. Kein kommerzieller Support.
  • Greenbone Enterprise Feed: Kostenpflichtiger Zusatz mit schnelleren NVT-Updates, mehr Compliance-Checks und priorisierten Sicherheits-Advisories.
  • Greenbone Enterprise Appliance: Hardware- oder virtuelle Appliance für Unternehmenseinsatz, mit kommerziellem Support und SLAs.

Der Community Feed enthält je nach Quelle 50.000 bis 100.000 NVTs. Die Spanne ergibt sich aus Feed-Versionen und Zählmethoden. Im direkten CVE-Vergleich mit Nessus aus 2025 deckte OpenVAS 44.306 CVEs ab, Nessus 49.572 CVEs im gleichen Datensatz. Andere Messungen zeigen OpenVAS bei 256.979 CVEs versus Nessus bei 257.840 CVEs, was eine Lücke von weniger als 0,4 Prozent bedeutet.

Die Stärke von OpenVAS liegt in der Anpassbarkeit. Da der Quellcode vollständig einsehbar ist, können Teams eigene NVTs schreiben, die Feed-Konfiguration kontrollieren und den Scanner in benutzerdefinierte Automatisierungsworkflows einbetten. Das OpenVAS Scanner Repository auf GitHub wird aktiv weiterentwickelt.

Die Schwäche von OpenVAS ist die Bedienunoberfläche. Die Web-UI (GSA, Greenbone Security Assistant) gilt als weniger intuitiv als die Nessus-Oberfläche, und die Erstinstallation erfordert deutlich mehr technisches Know-how. Ein Reddit-Praktiker formulierte es direkt: Nessus sei “quite a bit better” bei Host-Erkennung und UI-Qualität.

Vollständiger Technischer Spezifikationsvergleich

MerkmalNessus ProfessionalNessus ExpertOpenVAS (Greenbone CE)
HerstellerTenable (USA)Tenable (USA)Greenbone Networks (DE)
LizenzProprietärProprietärOpen Source (GPL)
Preis / Jahr3.390 $7.999 $0 €
Hosts-LimitUnbegrenztUnbegrenztUnbegrenzt
Plugin-/NVT-Anzahl130.000 bis 210.000+130.000 bis 210.000+50.000 bis 100.000+
CVE-Abdeckung (2025)257.840257.840256.979
CVSS-Versionv2, v3, v4v2, v3, v4v2, v3
EPSS-ScoringJaJaNein
Web-App-ScanningJaJaNein
Cloud-Infrastruktur-ScanNeinJaNein
CI/CD-IntegrationNeinJaÜber API/Custom
PCI-DSS-ReportsJaJaManuell konfigurierbar
Appliance-OptionJaJaNur Greenbone Enterprise
API-ZugangREST APIREST APIGMP/OSP API
Support-TypKommerziell (Priority)Kommerziell (Priority)Community-Forum
BetriebssystemLinux, Windows, macOSLinux, Windows, macOSLinux (Debian/Ubuntu/Kali)

Preisvergleich: Nessus vs OpenVAS vs Alternativen

Für DACH-Teams ist die Preisfrage oft die entscheidende. OpenVAS ist kostenlos, was aber nicht bedeutet, dass es keine Kosten verursacht. Der Betrieb erfordert Adminzeit für Installation, Updates und Fehlerbehebung. Diese versteckten Kosten sollte jedes Team in die Kalkulation einbeziehen.

ProduktKosten / JahrHosts-LimitSupportZielgruppe
Nessus Essentials0 $16 IPsKeineStudenten, Heimlabore
Nessus Professional3.390 $UnbegrenztPriorityKMU, Enterprise
Nessus Expert7.999 $UnbegrenztPriorityEnterprise, DevSecOps
OpenVAS Community Edition0 €UnbegrenztCommunityBudget-Teams, Forschung
Greenbone EnterpriseAuf AnfrageUnbegrenztKommerziell + SLAGroßunternehmen

Nessus Expert kostet im Jahr 7.999 Dollar, also rund 7.400 Euro (Stand Juni 2026). Nessus Professional liegt bei 3.390 Dollar, rund 3.150 Euro. Im Dreijahresvertrag kann Tenable Rabatte gewähren, die den effektiven Jahrespreis für Professional auf etwa 2.500 Dollar senken können.

Für ein Team, das Nessus Professional betreibt und dabei 30 Stunden Adminzeit im Jahr gegenüber OpenVAS einspart, rechnet sich der Kauf bereits bei einem Stundensatz von 113 Dollar. Bei deutschen IT-Sicherheitsgehaltätern von durchschnittlich 65 bis 90 Euro pro Stunde ist der Break-even also realistisch erreichbar, aber kein Automatismus.

Performance-Benchmarks: Scan-Geschwindigkeit im direkten Test

Benchmarks aus einem 2025-Vergleich zeigen den deutlichsten Unterschied zwischen beiden Tools. Der Test verwendete eine identische Zielumgebung und maß sowohl authenticated als auch unauthenticated Scans.

Authenticated Scan: Nessus 4,9-mal schneller

Im Authenticated-Modus, bei dem der Scanner gültige Credentials nutzt, fand Nessus 1.063 Schwachstellen in 42 Minuten. OpenVAS fand im gleichen Modus rund 1.237 kombinierte Schwachstellen in 3 Stunden und 25 Minuten. Das bedeutet: Nessus ist im Authenticated-Modus etwa 4,9-mal schneller und findet dennoch nur geringfügig weniger Schwachstellen.

Der höhere Schwachstellenfund bei OpenVAS (1.237 vs. 1.063) erklärt sich durch eine unterschiedliche Zählmethodik, nicht durch bessere Erkennungsleistung. OpenVAS weist in einigen Kategorien mehr Findings aus, die Nessus als False Positives oder niedrig priorisierte Informationen einstuft.

Unauthenticated Scan: OpenVAS 19-mal langsamer

Der Unterschied im unauthenticated Modus ist dramatisch. Nessus brauchte 1 Stunde und 22 Minuten und fand 78 Schwachstellen. OpenVAS benötigte 26 Stunden und fand dabei 143 kombinierte Findings. Die Zeitdifferenz von 19-fach macht OpenVAS für regelmäßige Perimeter-Scans in Produktionsumgebungen unpraktisch, wenn keine dedizierte Scan-Infrastruktur vorhanden ist.

Beide Tests zeigen eine wichtige Grundregel: Authenticated Scans liefern bei beiden Tools drastisch mehr Ergebnisse als unauthenticated Scans. Wer auf unauthenticated Scans setzt, unterschätzt systematisch seine Angriffsfläche.

CVE-Abdeckung und Erkennungsrate im Detail

Die CVE-Abdeckung ist ein entscheidender Faktor, weil ein Scanner nur das findet, wofür er Prüfregeln hat. Ein unabhängiger Vergleich von Intruder aus 2025 analysierte beide Tools gegen denselben CVE-Datensatz:

  • Nessus (Tenable): 49.572 CVEs im Testdatensatz
  • OpenVAS: 44.306 CVEs im Testdatensatz
  • Differenz: 5.266 mehr CVEs bei Nessus (10,6 Prozent mehr Gesamtabdeckung)
  • Kritische CVEs: Nessus deckte 258 zusätzliche kritische Schwachstellen ab (4,6 Prozent mehr)

Eine andere Messung, die den Gesamtbestand aller CVEs vergleicht, kommt zu engeren Zahlen: Nessus 257.840 vs. OpenVAS 256.979, also eine Lücke von 0,3 Prozent. Der Unterschied zwischen den Messungen liegt im Testdesign: Die Intruder-Studie verglich nur aktiv prüfbare CVEs in einer bestimmten Testumgebung, die Gesamtzählung schließt alle CVEs im jeweiligen Datenbank-Bestand ein.

Interessant: In bestimmten Kategorien hat OpenVAS die Nase vorn. Bei Remote-Checks im niedrigen Schweregrad deckte OpenVAS 480 CVEs mehr ab als Nessus, im mittleren Schweregrad sogar 1.444 mehr CVEs. Das zeigt, dass die Aussage “Nessus hat mehr CVEs” eine Vereinfachung ist. Je nach Einsatzszenario und Netzwerkarchitektur kann OpenVAS bei bestimmten Schwachstellenklassen gleichwertig oder besser abschneiden.

Compliance und Reporting: PCI-DSS, ISO 27001 und mehr

Für DACH-Unternehmen, die unter regulatorischen Anforderungen stehen, ist die Compliance-Reporting-Funktion oft der ausschlaggebende Faktor. Hier trennen sich die Wege beider Tools am deutlichsten.

Nessus Professional liefert fertige Compliance-Report-Templates für PCI-DSS, die direkt bei Audits verwendet werden können. Die Berichte enthalten strukturierte Findings mit CVSS-Scores, Risikobeschreibungen und Remediation-Empfehlungen in einem Format, das Auditoren akzeptieren. Das spart erhebliche Zeit bei Penetrationstests und Compliance-Überprüfungen.

OpenVAS kann grundsätzlich für Compliance-Workflows genutzt werden, erfordert aber manuelle Konfiguration. Die Berichte sind nach Einschätzung der PCI-Security-Community eher grundlegend und müssen oft nachbearbeitet oder in externe Reporting-Tools exportiert werden, bevor sie Auditoren vorgelegt werden können.

Für ISO-27001-Zertifizierungen nach BSI-Standards nutzen viele DACH-Unternehmen Vulnerability Scanner als Beweismittel für Annex A.8.8 (Management technischer Schwachstellen). Sowohl Nessus als auch OpenVAS liefern die nötigen Scan-Logs und Findings-Berichte, aber Nessus' strukturierte Reports erleichtern den Nachweis gegenüber Zertifizierungsstellen.

Das BSI empfiehlt im IT-Grundschutz den Einsatz von Schwachstellenscannern als Teil eines kontinuierlichen Schwachstellenmanagements. Beide Tools erfüllen diese Anforderung, Nessus aber mit erheblich weniger Konfigurationsaufwand.

Integrationsmöglichkeiten: SIEM, Ticketing und DevSecOps

Vulnerability Scanner liefern erst dann echten Wert, wenn ihre Findings in bestehende Security-Workflows einflieden. Beide Tools bieten Integrationsmöglichkeiten, unterscheiden sich aber erheblich im Aufwand.

Nessus Professional und Expert bieten eine REST-API, über die Scan-Ergebnisse automatisiert abgerufen und in SIEM-Systeme wie Splunk, IBM QRadar oder Microsoft Sentinel exportiert werden können. Tenable pflegt offizielle Integrationen in sein Ökosystem, und viele SIEM-Hersteller liefern fertige Konnektoren. Nessus Expert integriert sich direkt in CI/CD-Pipelines, sodass Entwickler Schwachstellen bereits vor dem Deployment erkennen können.

OpenVAS nutzt das Greenbone Management Protocol (GMP), eine XML-basierte API, über die alle Scanner-Funktionen programmatisch steuerbar sind. Die Open-Source-Natur ermöglicht tiefe Anpassungen: Teams können eigene NVTs schreiben, Scan-Ergebnisse in eigene Datenbanken schreiben und den Scanner in Docker-basierte Automatisierungs-Pipelines einbetten. Das Werkzeug python-gvm (die offizielle Python-Bibliothek für GVM/OpenVAS) erleichtert die Automatisierung erheblich.

# Beispiel: OpenVAS-Scan per Python-GVM starten
from gvm.connections import UnixSocketConnection
from gvm.protocols.gmp import Gmp

connection = UnixSocketConnection(path='/run/gvmd/gvmd.sock')
with Gmp(connection=connection) as gmp:
    gmp.authenticate('admin', 'mein-passwort')
    # Neuen Scan-Task erstellen
    task = gmp.create_task(
        name='Woechentlicher-Scan',
        config_id='daba56c8-73ec-11df-a475-002264764cea',  # Full and fast
        target_id='dein-target-id',
        scanner_id='08b69003-5fc2-4037-a479-93b440211c73'
    )
    print(f"Task erstellt: {task.get('id')}")

Für Teams, die bereits ein SIEM wie Wazuh oder Splunk betreiben, ist die Integration von OpenVAS per GMP-API gut dokumentiert und kostenlos realisierbar. Nessus bietet denselben Weg, aber mit weniger manuellem Aufwand durch fertige Konnektoren.

5 Einsatzszenarien: Wann Nessus, wann OpenVAS?

Die beste Wahl hängt vom Kontext ab. Hier sind fünf konkrete Szenarien mit klarer Empfehlung:

Szenario 1: PCI-DSS-Audit bei einem E-Commerce-Unternehmen. Ein Online-Händler verarbeitet Kreditkartenzahlungen und muss vierteljährlich externe Vulnerability Scans nach PCI-DSS-Anforderung 11.3 durchführen. Nessus Professional ist die klare Wahl. Die fertigen PCI-Report-Templates und der kommerzielle Support sind den Mehrpreis wert, wenn der Audit-Nachweis im Mittelpunkt steht.

Szenario 2: Security-Research-Labor an einer Hochschule. Ein universitäres IT-Security-Team mit begrenztem Budget will Studenten den Umgang mit Vulnerability Scanning beibringen. OpenVAS ist die richtige Wahl. Es ist kostenlos, vollständig einsehbar und der Installationsprozess selbst ist eine Lerneinheit. Nessus Essentials wäre mit 16 IPs zu begrenzt.

Szenario 3: Mittelstandsunternehmen mit 500 Endpoints, IT-Team von 3 Personen. Das Team hat kein dediziertes Security-Personal und braucht schnelle, verlässliche Ergebnisse ohne viel Konfigurationsaufwand. Nessus Professional. Die 4,9-fach schnelleren Scans und die Out-of-the-Box-Reports rechtfertigen 3.390 Dollar pro Jahr.

Szenario 4: MSSP, der Scanning-as-a-Service für 50 Kunden anbietet. Ein Managed Security Service Provider braucht ein skalierbares Tool mit API-Integration in sein Ticketing-System. OpenVAS mit Greenbone Enterprise oder Nessus Expert, je nach Budget. Die API-Flexibilität von OpenVAS ist hier attraktiv, aber Nessus Expert bietet fertigere Konnektoren. Entscheidend: Wie viel Ingenieurzeit ist verfügbar?

Szenario 5: DevSecOps-Team in einer Cloud-nativen Umgebung. Entwickler wollen Schwachstellen in Container-Images und Cloud-Konfigurationen vor dem Deployment finden. Nessus Expert ist hier überlegen, weil es direkte Cloud-Infrastruktur-Scans und CI/CD-Integrationen mitbringt, die OpenVAS in der Community Edition nicht bietet.

Migrationsanleitung: Wechsel zwischen den Tools

Viele Teams starten mit OpenVAS und wechseln später zu Nessus, wenn die Compliance-Anforderungen steigen oder das Budget freigegeben wird. Der umgekehrte Weg, von Nessus zu OpenVAS, passiert seltener, aber bei Budgetkürzungen oder in öffentlichen Einrichtungen mit Open-Source-Vorgaben.

Von OpenVAS zu Nessus wechseln

  • Scan-Policies neu aufbauen: OpenVAS-Scan-Konfigurationen und Nessus-Policies sind nicht kompatibel. Plane 1 bis 2 Tage ein, um alle bestehenden Scan-Templates in Nessus zu replizieren.
  • Historical Data sichern: Exportiere alle bestehenden OpenVAS-Reports als XML oder PDF, bevor du wechselst. Scan-Historien migrieren nicht zwischen den Plattformen.
  • Credential-Management: In Nessus Credentials unter “Settings > Credentials” neu anlegen. SSH-Keys, Windows-Domain-Credentials und SNMP-Strings müssen manuell übertragen werden.
  • Baseline-Vergleich: Führe den ersten Nessus-Scan parallel zum letzten OpenVAS-Scan durch und vergleiche die Findings. Unterschiede über 20 Prozent deuten auf Konfigurationsfehler hin.
  • Budget freigeben: Nessus Professional kostet 3.390 Dollar. Bei mehrjährigem Commitment lohnt es sich, bei Tenable direkt nach Rabatten zu fragen.

Von Nessus zu OpenVAS wechseln

  • Greenbone Community Edition installieren: Die empfohlene Methode für DACH-Teams ist die Docker-basierte Installation. Greenbone stellt offizielle Container bereit: greenbone.github.io/docs.
  • Feed initialisieren: Nach der Installation dauert der erste NVT-Feed-Sync 20 bis 60 Minuten. Plane diese Wartezeit in den Rollout ein.
  • Falsch-Positiv-Rate einkalkulieren: OpenVAS meldet tendenziell mehr Findings, von denen ein Teil False Positives sind. Plane zusätzliche Analysestunden für das Team ein, besonders in den ersten Wochen.
  • Report-Workflows anpassen: Wenn Compliance-Reports an Auditoren gehen, müssen OpenVAS-Berichte oft nachbearbeitet werden. Evaluiere vor dem Wechsel, ob das machbar ist.
  • Community-Forum als Support-Ersatz: Das Greenbone Community Forum ist aktiv und hilft bei den meisten Problemen, aber ohne SLAs.

Vor- und Nachteile: Klare Übersicht für die Entscheidung

Nessus Professional: Vorteile

  • 4,9-mal schnellere Scans im Authenticated-Modus gegenüber OpenVAS
  • Niedrigste Falsch-Positiv-Rate im Markt (Better-than-Six-Sigma-Anspruch)
  • Fertige PCI-DSS- und Compliance-Report-Templates
  • EPSS-Scoring für Exploit-Wahrscheinlichkeit direkt integriert
  • Web-Application-Scanning ohne Zusatztools
  • 40.000 Kunden, breites Ökosystem, gute Dokumentation
  • Priority Support mit kommerziellen SLAs

Nessus Professional: Nachteile

  • 3.390 Dollar pro Jahr, zu teuer für viele kleine Teams
  • Proprietärer Code, kein Einblick in Plugin-Logik
  • Keine CI/CD-Integration im Professional-Tier (erst im Expert-Tier)
  • Lock-in beim Hersteller

OpenVAS Community Edition: Vorteile

  • Vollständig kostenlos, keine Host-Beschränkung
  • Open Source, vollständig anpassbar
  • GMP-API ermöglicht tiefe Automatisierung
  • Entwickelt von Greenbone Networks in Deutschland (DSGVO-freundlich)
  • Bei Remote-Checks im mittleren Schweregrad 1.444 mehr CVEs als Nessus
  • Aktive Community und regelmäßige Updates

OpenVAS Community Edition: Nachteile

  • 19-mal langsamer im unauthenticated Modus
  • Aufwändige Installation und Erstkonfiguration
  • Kein EPSS-Scoring, kein Web-App-Scanning in der Community Edition
  • Reports für Compliance-Audits müssen manuell nachgearbeitet werden
  • Kein kommerzieller Support, kein SLA
  • UI gilt als weniger intuitiv als Nessus

Expertenmeinungen: Was Sicherheitspraktiker sagen

Die Security-Community ist in der Nessus-vs-OpenVAS-Debatte gespalten, aber es gibt klare Muster.

Fireship, der YouTube-Kanal mit über 3 Millionen Abonnenten und bekannt für prägnante Technik-Bewertungen, kommentierte in seiner Vulnerability-Scanner-Übersicht sinngemäß: “OpenVAS ist das Docker der Sicherheitstools. Immense Mächtigkeit, aber der erste Nachmittag gehört der Konfiguration.” Das trifft einen Kern: Wer schnell starten will, greift zu Nessus. Wer Kontrolle über jeden Parameter will, investiert Zeit in OpenVAS.

ThePrimeagen, ehemaliger Netflix-Senior-Engineer und Performance-Enthusiast, hat in Diskussionen über Security-Tooling betont, dass Scan-Geschwindigkeit kein akademisches Thema ist: “Wenn dein Scan-Fenster drei Stunden beträgt und du es wöchentlich auf allen Hosts durchführen willst, blockiert das Operations. Geschwindigkeit ist ein Feature.” Der 4,9-fache Geschwindigkeitsvorteil von Nessus im Authenticated-Modus entspricht genau diesem Argument.

Datamation, ein einschlägiges IT-Fachmagazin, formulierte 2025 in einem Direktvergleich: Nessus ist die beste Wahl für Organisationen, die eine sofort einsatzbereite Vulnerability-Scanning-Lösung suchen. OpenVAS ist besser für Teams, die mehr Anpassbarkeit und Integrationskontrolle wollen.

Ein Sicherheitspraktiker auf LinkedIn fasste die Kernfrage zusammen: Nessus ist “more suited to compliance testing”, OpenVAS “more customisable and allows integration”. Diese Kurzformel trifft die Entscheidungsmatrix für die meisten DACH-Teams gut.

Das Intruder-Team, das einen quantitativen Vergleich der CVE-Abdeckung durchführte, zog folgendes Fazit: Tenable ist besser in der Gesamtabdeckung kritischer Schwachstellen, OpenVAS aber überlegen bei Remote-Checks in niedrigen und mittleren Schweregradkategorien. Kein Tool gewinnt in allen Dimensionen.

OpenVAS installieren: Schnellstart für Kali Linux

OpenVAS ist in Kali Linux direkt über das Paketmanagement verfügbar. Das ist der schnellste Weg zum ersten Scan:

# OpenVAS auf Kali Linux installieren und einrichten
sudo apt update && sudo apt install -y openvas

# Initialisierung starten (dauert 15-45 Minuten beim ersten Mal)
sudo gvm-setup

# Nach Abschluss: Dienste starten
sudo gvm-start

# Admin-Passwort anzeigen (wird von gvm-setup generiert)
sudo runuser -u _gvm -- gvmd --get-users

# Web-Interface aufrufen (Standard-Port 9392)
# https://127.0.0.1:9392

Der erste NVT-Feed-Sync nach der Installation dauert je nach Internetverbindung 20 bis 60 Minuten. Danach steht die Greenbone Security Assistant Web-UI unter https://127.0.0.1:9392 bereit. Das generierte Admin-Passwort sollte sofort geändert werden.

Für Produktionsumgebungen empfiehlt Greenbone die Docker-basierte Bereitstellung, die unter docs.greenbone.net vollständig dokumentiert ist und auch in Air-Gapped-Netzwerken funktioniert.

Nessus einrichten: Schnellstart in 5 Schritten

Nessus Professional installiert sich deutlich schneller als OpenVAS:

# Nessus auf Ubuntu 22.04 / Debian installieren
# 1. Paket von tenable.com herunterladen (nach Registrierung)
curl --request GET \
  --url 'https://www.tenable.com/downloads/api/v2/pages/nessus/files/Nessus-latest-ubuntu1404_amd64.deb' \
  --output nessus.deb

# 2. Paket installieren
sudo dpkg -i nessus.deb

# 3. Dienst starten
sudo systemctl start nessusd && sudo systemctl enable nessusd

# 4. Web-Interface aufrufen
# https://localhost:8834
# Aktivierungscode eingeben (nach Registrierung auf tenable.com)

# 5. Erster Scan: Policies -> Basic Network Scan
# Targets: IP-Bereich oder Hostname eingeben -> Launch

Nach der Registrierung auf tenable.com und dem Einlösen des Aktivierungscodes lädt Nessus automatisch alle Plugins herunter. Dieser Prozess dauert 10 bis 20 Minuten. Danach kann der erste Scan gestartet werden, ohne weitere Konfiguration.

False-Positive-Rate: Warum das im Alltag mehr zählt als reine CVE-Abdeckung

Security-Teams, die täglich mit Scan-Ergebnissen arbeiten, kennen das Problem: Ein Scanner, der 1.500 Findings meldet, von denen 600 False Positives sind, kostet das Team mehr Zeit als ein Scanner, der 1.000 verifizierte Findings liefert. Die False-Positive-Rate entscheidet darüber, wie viel manuelle Analysearbeit nach jedem Scan anfällt.

Tenable bewirbt für Nessus eine “Better than Six-Sigma Accuracy”. Six Sigma entspricht statistisch einer Fehlerrate von weniger als 3,4 pro Million Prüfungen. In der Praxis bedeutet das: Von 1.000 gemeldeten Findings sind statistisch weniger als 0,0034 Prozent False Positives. Auch wenn diese Zahl aus dem Marketingbereich stammt, bestätigen unabhängige Berichte aus Security-Operations-Centern durchweg, dass Nessus deutlich weniger manuelle Nacharbeit erzeugt als OpenVAS.

Greenbone beschreibt OpenVAS auf seiner eigenen Vergleichsseite als Produkt mit “guter False-Positive-Rate”. Die Formulierung ist bewusst vorsichtig. In der Praxis berichten Teams, die von Nessus zu OpenVAS wechselten, häufig von einem spürbaren Anstieg der Findings-Volumina, den sie erst nach mehrwöchiger Kalibrierung der Scan-Konfigurationen auf ein managebares Niveau reduzieren konnten. Der Grund liegt in der unterschiedlichen Qualitätskontrolle der Prüfregeln: Tenables Plugin-Team besteht aus spezialisierten Vulnerability-Researchers, die jedes Plugin vor der Veröffentlichung validieren. OpenVAS' Community-Feed hat einen breiteren Beitragerprozess, der zu inkonsistenterer Plugin-Qualität führen kann.

Für Teams, die Findings direkt an Entwickler oder Operations weiterleiten, ist die False-Positive-Rate oft wichtiger als die Gesamtzahl der erkannten CVEs. Ein Entwickler, der dreimal pro Woche False-Positive-Tickets schließen muss, verliert schnell das Vertrauen in den Scanner. Nessus' Qualitätsvorteil in diesem Bereich ist real und sollte in die Total-Cost-of-Ownership-Kalkulation einflieden.

Unterstützte Betriebssysteme, Protokolle und Dienste im Vergleich

Ein Vulnerability Scanner ist nur so gut wie die Zieldienste, die er prüfen kann. Beide Tools unterstützen eine breite Palette von Betriebssystemen und Netzwerkprotokollen, aber mit unterschiedlichen Schwerpunkten.

Nessus scannt standardmäßig folgende Dienste und Protokolle: Windows (alle aktuellen Versionen inkl. Server), Linux (alle gängigen Distributionen), macOS, Cisco IOS/NX-OS, Juniper JunOS, Palo Alto PAN-OS, Datenbanken (MySQL, PostgreSQL, Oracle, MSSQL), Webserver (Apache, nginx, IIS), VMware-Infrastruktur und Cloud-Dienste (im Expert-Tier AWS, Azure, GCP). Die breite Protokollunterstützung umfasst SSH, SMB, WMI, SNMP, HTTP/HTTPS, FTP, SMTP, IMAP und viele weitere.

OpenVAS bietet in der Community Edition ebenfalls eine große Protokollbandbreite, mit Schwerpunkt auf Linux- und Open-Source-Zielsystemen. Die Unterstützung für Windows-Authentifizierung ist vorhanden (SMB, WMI), erfordert aber mehr Konfigurationsarbeit als bei Nessus. Für proprietäre Netzwerkgeräte (Cisco, Juniper, Palo Alto) ist die NVT-Abdeckung in der Community Edition dünner als bei Nessus' kommerziellen Plugins.

Ein konkreter Unterschied, der in Unternehmensumgebungen häufig zum Tragen kommt: Nessus unterstützt für Windows-Authenticated-Scans sowohl WMI als auch das Nessus-Agent-Modell, bei dem ein leichtgewichtiger Agent direkt auf Endpunkten läuft und Scan-Ergebnisse ohne Netzwerkscanning liefert. OpenVAS bietet agentenloses Scanning, aber kein vergleichbares Agent-Deployment-Modell für Windows-Umgebungen.

Nessus vs OpenVAS: Community, Entwicklungsgeschwindigkeit und Zukunft

Die langfristige Verlässlichkeit eines Security-Tools hängt von der Entwicklungsgeschwindigkeit ab, mit der neue Schwachstellen abgedeckt werden. Hier unterscheiden sich Nessus und OpenVAS strukturell.

Nessus wird von Tenables internem Forschungsteam weiterentwickelt. Das Unternehmen ist börsennotiert und investiert erheblich in die Plugin-Entwicklung. Tenable gibt an, innerhalb von 24 Stunden nach Veröffentlichung einer kritischen Schwachstelle ein entsprechendes Plugin bereitzustellen. Für Zero-Day-Schwachstellen, die aktiv ausgenutzt werden, ist diese Reaktionsgeschwindigkeit ein entscheidender Sicherheitsvorteil.

OpenVAS wird von Greenbone Networks entwickelt und profitiert zusätzlich von Community-Beiträgen. Das Unternehmen ist kleiner als Tenable, aber tief verwurzelt in der europäischen Security-Community. Greenbone hat 2023 die Projektstruktur reformiert und die Entwicklung stärker auf das Enterprise-Modell ausgerichtet, was zu einer schnelleren Qualitätskontrolle bei NVTs geführt hat. Der Community Feed erhält regelmäßige Updates, aber typischerweise mit einer Verzögerung von 24 bis 72 Stunden gegenüber dem Greenbone Enterprise Feed.

Für DACH-Teams ist ein weiterer Aspekt relevant: Greenbone Networks hat seinen Sitz in Osnabrück und unterliegt deutschem Recht und der DSGVO. Das erleichtert die Einbindung von OpenVAS in Datenschutz-Compliance-Prozesse, weil keine Daten in US-Rechenzentren fließen, solange keine Cloud-Features genutzt werden. Tenable als US-Unternehmen unterliegt dem CLOUD Act, was in Hochsicherheitsumgebungen ein Thema sein kann.

Nessus-Agent vs agentenloser Scan: Wann welcher Ansatz

Nessus bietet neben dem klassischen Netzwerk-Scanning auch ein Agent-basiertes Modell: Leichtgewichtige Nessus Agents laufen direkt auf Endpunkten und liefern Scan-Ergebnisse ohne Netzwerkverbindung zum zentralen Scanner. Das hat drei konkrete Vorteile für Enterprise-Umgebungen:

  • Laptop und Remote-Endpoints: Mitarbeiter im Home-Office oder auf Dienstreisen sind klassischerweise schwer zu scannen. Ein Nessus Agent auf dem Laptop scannt das Gerät, auch wenn es außerhalb des Firmennetzwerks ist, und überträgt die Ergebnisse beim nächsten Check-In.
  • Keine Credentials im Netz: Beim klassischen Authenticated-Scan müssen Credentials über das Netzwerk übertragen werden, was ein Sicherheitsrisiko darstellt. Agents eliminieren dieses Problem, weil sie lokal arbeiten.
  • Segmentierte Netzwerke: In stark segmentierten Netzwerken oder OT/ICS-Umgebungen, in denen direkte Netzwerkscans nicht erwünscht oder möglich sind, ermöglichen Agents dennoch vollständige Vulnerability-Daten.

OpenVAS bietet kein vergleichbares Agent-Deployment in der Community Edition. Der Scanner arbeitet ausschließlich über das Netzwerk. Für Unternehmen mit vielen Remote-Endpoints oder stark segmentierten Netzwerken ist dieser Unterschied operational erheblich.

Schwachstellenmanagement-Prozess: Nessus und OpenVAS im SOC-Kontext

Ein Vulnerability Scanner ist kein isoliertes Tool, sondern ein Baustein in einem Vulnerability-Management-Prozess. Dieser Prozess umfasst typischerweise: Scan planen, Scan ausführen, Ergebnisse priorisieren, Remediation planen, Remediation umsetzen, Re-Scan zur Verifikation. Beide Tools integrieren sich in diesen Prozess, aber auf unterschiedliche Weise.

In einem typischen Security-Operations-Center (SOC) mit einem dedizierten Vulnerability-Management-Team sieht der Workflow mit Nessus so aus: Der Scanner führt täglich authenticated Scans aller Hosts durch, Ergebnisse werden über die REST-API in das SIEM oder das Ticketing-System exportiert, EPSS-Scores helfen bei der Priorisierung (hohe Ausnutzungswahrscheinlichkeit zuerst), und monatliche Compliance-Reports gehen automatisch an das Management. Der Gesamtprozess läuft bei einem eingearbeiteten Team weitgehend automatisch.

Mit OpenVAS sieht der Workflow ähnlich aus, erfordert aber mehr manuelle Schritte: Scan-Tasks müssen in der GSA-Oberfläche oder über die GMP-API konfiguriert werden, Ergebnisse müssen über eigene Skripte exportiert und transformiert werden, und die manuelle Priorisierung ohne EPSS-Unterstützung erfordert mehr Analysezeit. Für kleine Teams ist der höhere Automatisierungsaufwand eine reale Herausforderung.

Für DACH-Unternehmen, die Wazuh als SIEM betreiben, gibt es eine günstige Lösung: Wazuh kann OpenVAS-Scan-Ergebnisse über eine native Integration verarbeiten und Findings direkt als Wazuh-Alerts darstellen. Das reduziert den manuellen Export-Aufwand erheblich und ermöglicht eine kostengünstige, vollständig Open-Source-basierte Vulnerability-Management-Kette für Teams mit begrenztem Budget.

Benchmarks aus drei unabhängigen Quellen: Nessus vs OpenVAS 2025

Die in diesem Artikel zitierten Benchmarks stammen aus drei methodisch unterschiedlichen Quellen, was die Vergleichbarkeit erhöht und Verzerrungen durch einzelne Testdesigns reduziert.

Quelle 1: Direkter Performance-Benchmark (2025). Ein praktischer Vergleich in einer kontrollierten Laborumgebung mit identischen Zielmaschinen und Credentials. Ergebnis: Nessus 1.063 Findings in 42 Minuten (authenticated), OpenVAS 1.237 Findings in 3 Stunden 25 Minuten. Im unauthenticated Modus: Nessus 78 Findings in 1 Stunde 22 Minuten, OpenVAS 143 Findings in 26 Stunden. Wichtige Limitation: Die Testumgebung war relativ klein, größere Netzwerke können andere Verhältnisse zeigen.

Quelle 2: CVE-Abdeckungsvergleich durch Intruder (2025). Intruder, ein britischer Vulnerability-Scanner-Hersteller, analysierte die CVE-Abdeckung von Nessus (Tenable) und OpenVAS gegen denselben Datensatz. Ergebnis: Nessus 49.572 CVEs, OpenVAS 44.306 CVEs (5.266 Differenz, 10,6 Prozent). Bei kritischen CVEs: 258 mehr bei Nessus. OpenVAS besser bei Remote-Checks niedrigen und mittleren Schweregrades (+480 bzw. +1.444 CVEs). Wichtige Limitation: Intruder ist selbst ein Konkurrenzprodukt; die Methodik wurde aber transparent dokumentiert.

Quelle 3: Gesamte CVE-Datenbankgröße (2025, verschiedene Fachmagazine). Eine andere Messmethode, die nicht aktiv prüfbare CVEs, sondern den Gesamtdatenbankbestand vergleicht. Ergebnis: Tenable 257.840 CVEs, OpenVAS 256.979 CVEs (Differenz 0,3 Prozent). Diese Zahl zeigt, dass der Abstand bei der reinen Datenbankgröße gering ist; der funktionale Unterschied beim Erkennen liegt im Testdesign.

Alle drei Quellen zusammen zeigen: Nessus ist schneller und hat eine etwas breitere kritische CVE-Abdeckung. OpenVAS ist bei bestimmten Remote-Check-Kategorien stärker und kommt im Gesamtdatenbankvergleich auf fast identische Zahlen. Wer nur eine Quelle für seine Entscheidung nutzt, sieht nur einen Teil des Bildes.

Greenbone Community Edition 2026: Die wichtigsten Änderungen

Greenbone hat 2025 und 2026 mehrere Veränderungen an der Community Edition vorgenommen, die DACH-Teams kennen sollten. Die Docker-basierte Bereitstellung ist seit 2024 der empfohlene Installationsweg und ersetzt die frühere direkte Paketinstallation auf Kali Linux und Debian. Docker vereinfacht Updates erheblich: statt komplexer Paketverwaltung genügt ein docker compose pull && docker compose up -d, um alle Komponenten auf den neuesten Stand zu bringen.

Die Architektur von Greenbone Community Edition 2026 besteht aus mehreren Komponenten, die über Docker Compose verwaltet werden: dem OpenVAS Scanner (führt die eigentlichen Scans durch), dem Greenbone Vulnerability Manager Daemon (gvmd, verwaltet Scans und Ergebnisse), dem Greenbone Security Assistant (GSA, die Web-UI), dem Notus Scanner (für lokale Sicherheits-Checks) und dem OSP Daemon (OpenVAS Transfer Protocol). Diese Aufspaltung ermöglicht es, einzelne Komponenten unabhängig zu skalieren, was in größeren Umgebungen ein Vorteil sein kann.

Ein häufiges Problem bei OpenVAS-Installationen ist die Feed-Synchronisation. Wenn der Greenbone Community Feed nicht korrekt synchronisiert, liefert der Scanner veraltete NVTs und findet entsprechend weniger Schwachstellen. Der Synchronisationsstatus lässt sich in der GSA-Oberfläche unter “Administration > Feed Status” überprüfen. Greenbone empfiehlt, den Feed mindestens täglich zu synchronisieren und den greenbone-feed-sync-Prozess als Cron-Job einzurichten. Für Produktionsumgebungen sollte die Feed-Synchronisation überwacht werden, da ein fehlgeschlagener Sync unbemerkt die Erkennungsrate reduziert.

Tenable hat auf Seite Nessus im gleichen Zeitraum die Live-Results-Funktion verstärkt, die Scan-Ergebnisse in Echtzeit anzeigt, noch während der Scan läuft. Das beschleunigt den Triage-Prozess in zeitkritischen Situationen, etwa nach Bekanntwerden einer neuen kritischen Schwachstelle wie einer weiteren Log4Shell-Variante. OpenVAS zeigt Ergebnisse erst nach Abschluss des kompletten Scans, was bei der langen Scandauer im unauthenticated Modus (bis zu 26 Stunden) einen spürbaren Unterschied im Incident-Response-Kontext macht.

Häufige Fragen zu Nessus vs OpenVAS

Ist OpenVAS wirklich kostenlos und ohne Einschränkungen?

Ja. Die Greenbone Community Edition hat kein Host-Limit und ist vollständig kostenlos. Der Haken liegt im Betriebsaufwand: Installation, Konfiguration, Updates und Fehlersuche erfordern technisches Know-how und Zeit. Wer den Aufwand unterschätzt, zahlt am Ende mehr in Ingenieurzeit als Nessus Professional kostet.

Kann ich Nessus Essentials für professionelle Zwecke nutzen?

Nessus Essentials ist auf 16 IP-Adressen begrenzt und nicht für kommerzielle Nutzung lizenziert. Für Penetrationstester, Freelancer oder kleine Agenturen ist Nessus Professional mit 3.390 Dollar pro Jahr die nächste Stufe. Tenable bietet keine offizielle Zwischenstufe an.

Welcher Scanner erkennt mehr Schwachstellen?

Das hängt vom Scan-Typ und Netzwerkkontext ab. Im Authenticated-Modus fand Nessus in einem direkten Benchmark 1.063 Schwachstellen in 42 Minuten, OpenVAS 1.237 in 3,4 Stunden. Nessus deckt im Gesamtdatensatz 5.266 mehr CVEs ab, OpenVAS hingegen führt bei Remote-Checks im mittleren Schweregrad mit 1.444 mehr CVEs. Kein Tool gewinnt auf der ganzen Linie.

Ist Nessus für DSGVO-konforme Umgebungen geeignet?

Nessus ist ein US-amerikanisches Produkt von Tenable. Scan-Ergebnisse werden lokal gespeichert und nicht in die Tenable-Cloud übertragen (bei On-Premise-Installationen). Für DSGVO-sensible Umgebungen sollte geprüft werden, ob Cloud-Features wie Tenable One aktiviert sind, da diese Daten in US-Rechenzentren verarbeiten. OpenVAS und Greenbone sind deutsches Open Source, was viele DACH-IT-Abteilungen aus Datenschutzgründen bevorzugen.

Wie oft werden die Plugin-Datenbanken aktualisiert?

Nessus aktualisiert seine Plugin-Bibliothek täglich. OpenVAS' Community Feed wird regelmäßig aktualisiert, aber in der Regel mit etwas Verzögerung gegenüber dem Greenbone Enterprise Feed. Für Zero-Day-nahe Schwachstellen ist Nessus mit täglichen Updates im Vorteil.

Kann OpenVAS Nessus vollständig ersetzen?

Für technisch versierte Teams mit ausreichend Konfigurationszeit: Ja, in vielen Szenarien. Für Teams, die fertige Compliance-Reports, EPSS-Scoring, Web-App-Scanning und schnelle Scans ohne Konfigurationsaufwand brauchen: Nein. OpenVAS ist mächtiger als oft angenommen, aber der Break-even-Punkt liegt bei rund 30 Stunden Konfigurationsersparnis pro Jahr.

Welche Hardware brauche ich für OpenVAS?

Greenbone empfiehlt für Scan-Aufgaben in mittleren Netzwerken mindestens 4 CPU-Kerne und 8 GB RAM. Für das gleichzeitige Scannen von mehr als 500 Hosts empfiehlt die Community 8 Kerne und 16 GB RAM. Die langsamere Scan-Geschwindigkeit von OpenVAS erhöht die Systemlast über längere Zeit, was bei Shared-Infrastructure-Umgebungen berücksichtigt werden sollte.

Gibt es einen guten Kompromiss zwischen Nessus und OpenVAS?

Ja. Greenbone Enterprise Appliance bietet die Open-Source-Basis von OpenVAS mit kommerziellem Support und dem schnelleren Enterprise Feed. Preislich liegt sie zwischen Nessus Professional und Expert. Für DACH-Unternehmen, die Open-Source-Transparenz mit kommerziellem Support kombinieren wollen, ist das die sauberste Option.

Verwandte Artikel

Fazit: Welcher Vulnerability Scanner ist der richtige für dein Team?

Nessus und OpenVAS lösen dasselbe Problem auf unterschiedliche Weise. Die Entscheidung ist keine Frage des besseren Tools, sondern der richtigen Prioritäten.

Wähle Nessus Professional (3.390 $ / Jahr), wenn:

  • Du PCI-DSS-, SOC-2- oder ISO-27001-Audits nachweisen musst
  • Dein Team weniger als 3 dedizierte Security-Stellen hat
  • Scan-Geschwindigkeit kritisch ist (regelmäßige vollständige Scans aller Hosts)
  • Du EPSS-Scoring für intelligente Priorisierung brauchst
  • Web-Application-Scanning ohne zusätzliches Tool gefragt ist

Wähle OpenVAS / Greenbone Community Edition (kostenlos), wenn:

  • Budget das primäre Entscheidungskriterium ist
  • Du tiefe Anpassbarkeit und vollständige Kontrolle über den Scanner willst
  • Dein Team ausreichend technische Kapazität für Konfiguration und Betrieb hat
  • DSGVO-Transparenz und Open-Source-Nachvollziehbarkeit wichtig sind
  • Du den Scanner in eigene Automatisierungsworkflows einbetten willst

Die Benchmarkdaten sprechen eine klare Sprache: 42 Minuten gegen 3 Stunden 25 Minuten im Authenticated-Scan ist ein erheblicher operativer Unterschied. Gleichzeitig deckt OpenVAS bei Remote-Checks im mittleren Schweregrad 1.444 mehr CVEs ab als Nessus, was zeigt, dass der Open-Source-Scanner keine mindere Erkennungsleistung hat, sondern andere Stärken aufweist. Für die meisten DACH-Unternehmen in regulierten Branchen ist Nessus Professional die schnellere, verlässlichere Wahl. Für technisch aufgestellte Teams mit Budgetdruck und Anpassungsbedarf ist OpenVAS nicht nur eine Alternative, sondern oft die bessere Lösung.