Wer 2026 einen Schwachstellenscanner für sein Netzwerk sucht, landet fast zwangsläufig bei zwei Namen: OpenVAS (heute unter der Marke OPENVAS von Greenbone geführt) und Tenable Nessus. Beide Tools scannen Systeme nach bekannten CVEs, Fehlkonfigurationen und Compliance-Verstößen, doch sie kommen aus völlig unterschiedlichen Welten. Greenbone sitzt in Osnabrück und beliefert über einen Rahmenvertrag deutsche Bundesbehörden, Nessus stammt vom US-Anbieter Tenable und gilt weltweit als kommerzieller Platzhirsch mit über 319.000 Plugins. Für IT-Teams in Deutschland, Österreich und der Schweiz stellt sich damit nicht nur eine technische, sondern auch eine strategische Frage: lohnt sich die kostenlose Open-Source-Variante, oder rechtfertigt der Funktionsumfang von Nessus den Griff zur kommerziellen Lizenz? Dieser Vergleich stützt sich auf aktuelle Herstellerangaben, den Greenbone-Bedrohungsbericht 2025/2026 und öffentlich zugängliche BSI-Dokumentation, um genau diese Frage mit Zahlen zu beantworten. Er richtet sich an IT-Sicherheitsverantwortliche, Systemadministratoren und Compliance-Teams, die vor der konkreten Entscheidung stehen, ihr Schwachstellenmanagement neu aufzusetzen oder ein bestehendes Setup zu überprüfen.

Warum der Vergleich 2026 wichtiger ist als je zuvor

Seit dem 6. Dezember 2025 gilt die NIS2-Umsetzung für rund 29.500 Unternehmen in Deutschland, viele davon mit direkter Pflicht zu regelmäßigem Schwachstellenmanagement. Wer diese Pflicht ignoriert, riskiert Bußgelder im Millionenbereich. Gleichzeitig wächst die Zahl neu veröffentlichter CVEs Jahr für Jahr, und die Zeit zwischen Offenlegung einer Lücke und ihrer aktiven Ausnutzung schrumpft weiter. Ein Schwachstellenscanner ist damit keine Kür mehr, sondern die Basis jedes Sicherheitsprogramms.

Genau hier prallen zwei Philosophien aufeinander. OpenVAS, seit 2025 offiziell unter dem Produktnamen OPENVAS vermarktet, verspricht kostenlose, quelloffene Scans mit deutschem Ursprung und enger Anbindung an BSI-Standards. Nessus dagegen bietet eine polierte kommerzielle Lösung mit riesiger Plugin-Bibliothek, professionellem Support und wöchentlich neuen Signaturen. Für ein Sicherheitsteam mit begrenztem Budget kann die Entscheidung zwischen beiden über den gesamten Charakter des Schwachstellenmanagements entscheiden, von der Kostenstruktur bis zur Reaktionsgeschwindigkeit bei neuen Bedrohungen.

OpenVAS und Greenbone: Die deutsche Open-Source-Antwort

Greenbone Networks entwickelt OpenVAS als Kern seines Greenbone Vulnerability Management (GVM) Frameworks. Das Unternehmen mit Sitz in Osnabrück unterhält seit Jahren einen Rahmenvertrag mit dem Beschaffungsamt des Bundes, über den Bundesbehörden vorinstallierte Hardware- und virtuelle Appliances mit OpenVAS als Scan-Engine beziehen. Diese Nähe zur öffentlichen Verwaltung prägt bis heute, wie stark Greenbone deutsche Compliance-Vorgaben in sein Produkt einbaut. Anders als viele internationale Sicherheitsanbieter, die europäische Standards nachträglich in ihre Produkte übersetzen, entwickelt Greenbone von Anfang an mit Blick auf BSI-Vorgaben, was sich direkt in den verfügbaren Prüfprofilen niederschlägt.

Von OpenVAS zu OPENVAS: Die Umbenennung 2025

Im Juli 2025 hat Greenbone seine gesamte Produktpalette unter der neuen Marke OPENVAS zusammengeführt. Aus den früheren Greenbone Enterprise Appliances wurde OPENVAS SCAN, aus dem Greenbone Community Feed wurde der OPENVAS Community Feed. Die zugrunde liegende Technik blieb identisch, doch die Umbenennung sollte die Marke stärker an das bekannte Kürzel OpenVAS anlehnen, unter dem das Projekt seit über 15 Jahren in der Sicherheits-Community bekannt ist. Wer heute nach OpenVAS sucht, landet also direkt bei den aktuellen OPENVAS-Produkten von Greenbone.

Die kostenlose OPENVAS Community Edition richtet sich an nicht-kommerzielle Nutzung, läuft als virtuelle Appliance und nutzt den Community Feed. Wer mehr Tiefe, schnellere Updates und Compliance-Vorlagen braucht, greift zu OPENVAS SCAN als Hardware- oder virtueller Appliance, oder zum neueren Greenbone Cloud Service, der Scans über die Greenbone-Infrastruktur als SaaS abwickelt.

Tenable Nessus: Der kommerzielle Standard

Tenable positioniert Nessus seit Jahren als Referenzprodukt für Netzwerk-Schwachstellenscans. Aktuelle Produktseiten von Tenable geben die Bibliothek mit über 319.000 Plugins und mehr als 117.000 abgedeckten CVEs an, gepflegt von einem eigenen Forschungsteam, das laut Tenable regelmäßig über 100 neue Plugins pro Woche veröffentlicht. Diese Update-Geschwindigkeit gilt in der Branche als einer der Hauptgründe, warum viele Unternehmen trotz Lizenzkosten bei Nessus bleiben. Tenable selbst positioniert das Forschungsteam hinter den Plugins als zentralen Wertbeitrag gegenüber freien Alternativen, weil neue Signaturen oft schon Stunden nach der öffentlichen Bekanntgabe einer kritischen Schwachstelle verfügbar sind.

Essentials, Professional und Expert im Überblick

Nessus gibt es in drei Stufen. Nessus Essentials ist kostenlos, aber laut aktueller Tenable-Produktseite inzwischen auf eine 30-Tage-Lizenz mit deutlich reduziertem Umfang von rund 5 IP-Adressen begrenzt, ein spürbarer Rückschritt gegenüber der früheren Grenze von 16 IPs. Nessus Professional kostet laut aktuellen 2026er-Angaben rund 4.790 US-Dollar pro Jahr und bringt volle Plugin-Abdeckung, Compliance-Vorlagen für PCI DSS und CIS Benchmarks sowie individuelle Reports mit. Nessus Expert kostet rund 6.790 US-Dollar pro Jahr und ergänzt Webanwendungs-Scans sowie External Attack Surface Management, also die Überwachung öffentlich erreichbarer Angriffsflächen von außen.

Wichtig für Unternehmen mit strengen Netzwerkvorgaben: Nessus lässt sich auch offline beziehungsweise air-gapped betreiben, solange Plugin-Updates über einen alternativen Transferweg eingespielt werden. Für die Bewertung des Schweregrads unterstützt Nessus wählbar CVSS v2.0, v3.0 und das neuere CVSS v4.0.

Architektur: Wie GVM und Nessus technisch funktionieren

Unter der Haube setzen beide Produkte auf unterschiedliche Bausteine. Das Greenbone Vulnerability Management besteht aus mehreren Komponenten, die zusammenspielen: dem Greenbone Vulnerability Management Daemon (gvmd) als zentraler Steuerung, der Greenbone Security Assistant (GSA) als Weboberfläche samt zugehörigem Daemon (gsad) und dem eigentlichen Scanner, der die einzelnen NVTs gegen die Zielsysteme ausführt. Diese modulare Bauweise stammt aus der Open-Source-Tradition des Projekts und erlaubt es erfahrenen Admins, einzelne Komponenten zu tauschen oder in bestehende Automatisierung einzubinden, etwa über das Greenbone Management Protocol (GMP), das auf XML basiert.

Nessus verfolgt einen monolithischeren Ansatz. Scanner, Verwaltungsoberfläche und Datenhaltung laufen als ein zusammenhängendes Produkt, das sich über eine REST-API und ein Webinterface steuern lässt. Dieser Ansatz reduziert den Konfigurationsaufwand beim Einstieg deutlich, weil Administratoren keine Einzelkomponenten manuell verdrahten müssen. Der Kompromiss: Wer tief in interne Abläufe eingreifen oder einzelne Bausteine austauschen will, hat bei Nessus weniger Spielraum als bei der offenen GVM-Architektur von Greenbone. Für Teams, die Scans in eigene Orchestrierungs-Pipelines einbetten, ist das durchaus ein relevanter Unterschied bei der Werkzeugwahl, unabhängig vom Preis. Beide Architekturansätze haben sich über Jahre im produktiven Einsatz bewährt, sodass die Entscheidung letztlich weniger eine Frage der technischen Reife als der bevorzugten Betriebsphilosophie im jeweiligen IT-Team ist.

Spezifikationsvergleich: OpenVAS gegen Nessus im Detail

Die folgende Tabelle stellt die wichtigsten technischen und kommerziellen Merkmale beider Scanner gegenüber, basierend auf den jeweils aktuellen Herstellerangaben von Greenbone und Tenable sowie öffentlich zugänglicher BSI-Dokumentation.

KategorieOpenVAS / Greenbone (OPENVAS)Tenable Nessus
HerstellerGreenbone AG, Osnabrück (Deutschland)Tenable, Inc. (USA)
LizenzmodellOpen Source (Community) plus kommerzielle Enterprise-StufenKommerziell, mit kostenloser Einstiegsstufe
Kostenlose EinstiegsversionOPENVAS Community Edition, unbegrenzt für nicht-kommerzielle NutzungNessus Essentials, 30-Tage-Lizenz, ca. 5 IPs
Testabdeckungüber 160.000 NVTs (Community Feed, Stand Mitte 2026)über 319.000 Plugins
CVE-Abdeckungüber 227.000 Schwachstellentests im Enterprise Feed (Ende 2025)über 117.000 abgedeckte CVEs
Update-Frequenztäglich, Community Feed rund zwei Wochen verzögert gegenüber Enterprise Feedüber 100 neue Plugins pro Woche
Plattformenprimär Linux (Debian, Ubuntu, CentOS, SUSE), Appliance-Images für HypervisorenWindows, Linux, macOS
Compliance-VorlagenRichtlinien-Scans für BSI TR-03116-4 (TLS) und TR-02102-4 (SSH)PCI DSS und CIS-Benchmark-Vorlagen
Offline-/Air-Gap-Betriebmöglich über lokale Appliance mit manuellem Feed-Importmöglich, Plugin-Updates über alternativen Transferweg
Cloud-OptionGreenbone Cloud Service (SaaS)Tenable Vulnerability Management (Cloud-Plattform)
Web-App-Scanningnicht im Kernprodukt, separate Module nötigab Nessus Expert enthalten
CVSS-UnterstützungCVSS-basierte Risikoeinstufung im Reportingwählbar CVSS v2.0, v3.0, v4.0
BSI-Rahmenvertragja, über das Beschaffungsamt des Bundesnein, kommerzieller Direktvertrieb
SupportCommunity-Forum kostenlos, Enterprise-Support kostenpflichtigHerstellersupport in allen kostenpflichtigen Stufen

Auffällig ist der Unterschied bei der reinen Zahl der Tests: Nessus führt mit 319.000 Plugins deutlich vor dem OpenVAS-Enterprise-Feed mit 227.000 Tests. Dabei zählt Tenable allerdings auch Konfigurations- und Compliance-Checks als Plugins mit, sodass die Zahl nicht eins zu eins mit reiner CVE-Abdeckung gleichzusetzen ist. Bei den offiziell bezifferten CVEs liegt Nessus mit über 117.000 klar vorn, ein direktes Pendant dazu veröffentlicht Greenbone aktuell nicht in vergleichbarer Form. Für die tägliche Praxis ist die reine Testzahl ohnehin nur bedingt aussagekräftig, entscheidender ist, ob die für das eigene Netzwerk relevanten Systeme, etwa bestimmte Firewall-Modelle oder Branchensoftware, überhaupt in der jeweiligen Test-Bibliothek abgedeckt sind. Ein Blick in die Release-Notes beider Hersteller vor der Kaufentscheidung lohnt sich deshalb mehr als der reine Vergleich der Gesamtzahlen.

Preisvergleich: Was OpenVAS und Nessus wirklich kosten

Bei den Kosten trennen sich beide Produkte am deutlichsten. Greenbone hat zum 1. März 2026 ein neues Lizenzmodell für OPENVAS SCAN eingeführt, das pro Asset und Jahr abrechnet, gestaffelt nach Netzwerkgröße. Virtuelle Appliances sind dabei kostenlos, bezahlt wird nur die Asset-Lizenz. Hardware-Appliances kommen als Einmalkauf hinzu, ein Beispielkonfiguration aus dem aktuellen Partner-Preisblatt liegt bei rund 58.615 Euro für eine größere Appliance.

Produkt / StufePreisHinweis
OPENVAS Community Edition0 Euronicht-kommerzielle Nutzung, Community Feed mit rund zwei Wochen Verzögerung
OPENVAS SCAN, bis 200 Assets20,55 Euro pro Asset/Jahrzzgl. Hardware-Appliance als Einmalkauf, falls benötigt
OPENVAS SCAN, 201–500 Assets17,85 Euro pro Asset/Jahrgestaffelter Mengenrabatt
OPENVAS SCAN, 1.001–2.000 Assets14,30 Euro pro Asset/Jahrüblich für mittelständische Unternehmen
OPENVAS SCAN, über 25.000 Assets9,90 Euro pro Asset/JahrEnterprise-Großkunden
Nessus Essentials0 US-Dollar30-Tage-Lizenz, ca. 5 IPs, danach Verlängerung nötig
Nessus Professionalca. 4.790 US-Dollar/Jahr (rund 4.450 Euro)volle Plugin-Bibliothek, PCI-/CIS-Vorlagen
Nessus Expertca. 6.790 US-Dollar/Jahr (rund 6.310 Euro)zusätzlich Web-App-Scans und External Attack Surface Management

Die Euro-Umrechnung der Nessus-Preise basiert auf einem Kurs von rund 0,93 US-Dollar je Euro und dient nur zur Orientierung, da Tenable regional oft eigene Listenpreise ansetzt. Für kleine Umgebungen mit wenigen hundert Assets bleibt OpenVAS im laufenden Betrieb spürbar günstiger als eine Nessus-Professional-Lizenz. Bei sehr großen Netzwerken mit mehreren tausend Assets nähern sich die Kosten pro Asset an, während Nessus dafür eine deutlich größere und schneller aktualisierte Plugin-Basis liefert. Wer die Gesamtkosten realistisch kalkulieren will, sollte neben der reinen Lizenz auch Schulungsaufwand, mögliche Beratungskosten für die BSI-Compliance-Einrichtung und den internen Zeitaufwand für Ersteinrichtung einplanen, da beide Posten je nach Vorerfahrung des Teams erheblich schwanken können.

Performance und Scan-Geschwindigkeit: Was Tests zeigen

Belastbare, öffentlich nachvollziehbare Benchmarks für Scan-Geschwindigkeit sind bei Schwachstellenscannern rar, weil das Ergebnis stark von Zielnetz, Scan-Tiefe und Hardware abhängt. Ein 2026 veröffentlichter unabhängiger Vergleichstest kommt dennoch zu einem klaren Ergebnis: Nessus scannte in diesem Test rund 4,9-mal schneller als eine vergleichbar konfigurierte OpenVAS-Instanz. Diese Zahl sollte als Richtwert und nicht als Laborstandard gelesen werden, da die genaue Testmethodik nicht öffentlich vollständig dokumentiert ist.

Zwei weitere Datenpunkte stützen den allgemeinen Trend. Erstens bestätigt Tenables eigene Produktdokumentation, dass Nessus für schnelle, punktuelle Scans einzelner Hosts optimiert ist, während Greenbones Dokumentation die Enterprise-Appliances klar auf Netzwerk-weite, geplante Scan-Zyklen ausrichtet statt auf Einzelscans. Zweitens zeigt der Greenbone-Bedrohungsbericht für 2025, dass allein im Enterprise Feed fast 40.000 neue Tests hinzukamen, was in der Praxis mehr Rechenzeit pro vollständigem Scan bedeutet, wenn alle Tests aktiv bleiben. Wer OpenVAS produktiv einsetzt, sollte Scan-Profile daher gezielt auf relevante Tests zuschneiden, statt reflexhaft alle verfügbaren NVTs zu aktivieren.

CVE-Abdeckung und Update-Frequenz im Detail

Beide Anbieter aktualisieren ihre Feeds grundsätzlich täglich, doch der Weg dorthin unterscheidet sich. Bei Greenbone erhält zuerst der Enterprise Feed neue und aktualisierte NVTs, der kostenlose Community Feed folgt laut Greenbone-Forum mit einer Verzögerung von etwa zwei Wochen. Für Organisationen, die auf die Community Edition setzen, bedeutet das: Bei einer akut ausgenutzten Schwachstelle kann der passende Test frühestens zwei Wochen später zur Verfügung stehen, es sei denn, man wechselt für die kritische Phase auf den kostenpflichtigen Enterprise Feed.

Nessus verzichtet auf eine solche gestaffelte Verzögerung. Alle zahlenden Kunden, von Professional bis Expert, erhalten laut Tenable dieselben über 100 wöchentlichen Plugin-Updates zeitgleich. Für Teams, die auf sehr kurze Reaktionszeiten bei neu bekannt gewordenen Schwachstellen angewiesen sind, etwa im Finanzsektor oder in kritischer Infrastruktur, ist dieser Unterschied oft das entscheidende Argument für die kommerzielle Lösung, unabhängig vom reinen Preis.

Scan-Typen: Authentifizierte gegen unauthentifizierte Scans

Ein oft unterschätzter Unterschied zwischen einem oberflächlichen und einem aussagekräftigen Schwachstellenscan liegt nicht im Tool selbst, sondern in der Scan-Methode. Bei unauthentifizierten Scans klopft der Scanner von außen an offene Ports und Dienste, ohne sich anzumelden, ähnlich wie ein Angreifer ohne Vorwissen. Das findet offene Netzwerkdienste und bekannte Schwachstellen in exponierten Anwendungen, übersieht aber viele Lücken in installierter Software, veralteten Bibliotheken oder Fehlkonfigurationen im Betriebssystem selbst.

Authentifizierte Scans melden sich dagegen mit Zugangsdaten am Zielsystem an, etwa per SSH unter Linux oder mit Domänen-Credentials unter Windows, und prüfen von innen installierte Pakete, Patch-Level und Konfigurationsdateien. Sowohl Nessus als auch OpenVAS unterstützen beide Scan-Arten, doch der praktische Nutzen zeigt sich meist erst bei authentifizierten Scans, weil dort die überwiegende Mehrheit der tatsächlich relevanten Schwachstellen sichtbar wird. Wer nur unauthentifiziert scannt, egal mit welchem Tool, bekommt in der Praxis meist ein deutlich zu optimistisches Bild vom eigenen Sicherheitsstand. Für Compliance-Nachweise gegenüber BSI, PCI DSS oder Kunden verlangen Auditoren inzwischen praktisch durchgängig authentifizierte Scan-Ergebnisse. Beide Scanner erfordern für authentifizierte Prüfungen sorgfältig verwaltete Zugangsdaten mit möglichst geringen, aber ausreichenden Rechten, damit der Scan selbst kein zusätzliches Sicherheitsrisiko schafft. Ein eigener, dediziert für Scans angelegter Servicebenutzer mit protokollierter Nutzung hat sich in der Praxis als sinnvoller Standard etabliert, unabhängig davon, welches der beiden Tools zum Einsatz kommt.

BSI-Konformität und Compliance-Scans für deutsche Organisationen

Für Organisationen im deutschen öffentlichen Sektor spielt BSI-Konformität eine besondere Rolle, und hier hat Greenbone einen strukturellen Vorteil. Über den bestehenden Rahmenvertrag mit dem Beschaffungsamt des Bundes beziehen Bundesbehörden vorkonfigurierte Greenbone-Appliances mit erweitertem Datenfeed. Seit Juli 2025 bietet Greenbone zudem dedizierte Richtlinien-Scans an, die Systeme gegen die BSI-Mindeststandards TR-03116-4 für TLS und, seit Januar 2026, TR-02102-4 für SSH prüfen. Diese Policy-Scans sind direkt auf die technischen Richtlinien des BSI zugeschnitten und liefern Prüfergebnisse in einem Format, das sich in Behörden-Audits unmittelbar verwenden lässt. Für Sicherheitsverantwortliche in Landes- und Kommunalbehörden, die nicht direkt unter den Bundesrahmenvertrag fallen, aber dieselben technischen Richtlinien einhalten müssen, sind diese Policy-Scans ebenfalls nutzbar, unabhängig davon, ob die eigene Appliance über den Bundesvertrag oder als reguläre Enterprise-Lizenz beschafft wurde.

Tenable adressiert Compliance anders, dafür breiter aufgestellt. Nessus Professional bringt vorgefertigte Vorlagen für PCI DSS und CIS Benchmarks mit, zwei international etablierte Standards, die auch in DACH-Unternehmen außerhalb des öffentlichen Sektors häufig verlangt werden, etwa im Zahlungsverkehr oder bei ISO-27001-Audits. Für ein Unternehmen ohne direkten Bezug zu BSI-Standards, das aber PCI DSS nachweisen muss, liefert Nessus damit oft das passendere Compliance-Werkzeug ab Werk.

Reporting und Integration in bestehende Sicherheitsprozesse

Ein Scanner ist nur so nützlich wie die Prozesse, die aus seinen Ergebnissen entstehen. Beide Tools exportieren Berichte in gängigen Formaten wie PDF, CSV und XML, damit sich Ergebnisse in Ticket-Systeme, SIEM-Plattformen oder Risikomanagement-Tools weiterverarbeiten lassen. Greenbone bietet über das GMP-Protokoll eine direkte, XML-basierte Schnittstelle, mit der sich Scan-Aufträge, Zielgruppen und Berichte programmatisch abrufen lassen, was sich gut für selbst gebaute Automatisierung eignet, etwa in Kombination mit Skripten oder eigenen Dashboards.

Nessus setzt auf eine REST-API mit klar dokumentierten Endpunkten, die sich einfacher in bestehende DevOps-Werkzeuge wie Jenkins, GitLab CI oder Ansible einbinden lässt, weil REST-Schnittstellen in modernen Entwicklungsumgebungen weiter verbreitet sind als das ältere GMP-Protokoll. Fertige Community-Module und Beispiele für gängige Automatisierungs-Frameworks finden sich für Nessus entsprechend häufiger als für die GVM-Schnittstelle, was den Einstieg für Teams ohne eigene Skripterfahrung erleichtert. Für Unternehmen, die Scans direkt in Deployment-Pipelines auslösen wollen, etwa nach jedem Rollout einer neuen Serverkonfiguration, sprechen die vorhandenen Referenzintegrationen und die größere Verbreitung fertiger Konnektoren tendenziell für Nessus. Wer dagegen bereits mit XML-basierten Systemen arbeitet oder maximale Kontrolle über den Datenaustausch braucht, kommt mit dem GMP-Ansatz von Greenbone ebenfalls gut zurecht, muss aber mehr Eigenentwicklung einplanen.

Fünf Praxisbeispiele aus dem DACH-Raum

Wie sich die Wahl zwischen beiden Scannern in der Praxis auswirkt, zeigen fünf typische Einsatzszenarien, wie sie in deutschen IT-Abteilungen aktuell vorkommen.

  • Bundesbehörde mit BSI-Rahmenvertrag: Eine Landesbehörde nutzt eine Greenbone-Enterprise-Appliance mit erweitertem Datenfeed, um monatlich alle internen Netzsegmente zu scannen und die Ergebnisse direkt gegen die BSI-Mindeststandards TR-03116-4 und TR-02102-4 zu prüfen, ohne eigene Vorlagen bauen zu müssen. Die Beschaffung läuft dabei über den bestehenden Rahmenvertrag, was internen Vergabestellen viel Abstimmungsaufwand erspart, den ein kommerzielles US-Produkt in derselben Behörde erst durchlaufen müsste.
  • Mittelständischer Zahlungsdienstleister: Ein Zahlungsanbieter mit PCI-DSS-Pflicht setzt auf Nessus Professional, weil die mitgelieferten PCI-Vorlagen den Auditaufwand gegenüber einem selbst konfigurierten Regelwerk deutlich reduzieren. Der externe Auditor akzeptiert die Nessus-Reports direkt als Nachweis, was frühere manuelle Nacharbeit mit Excel-Auswertungen überflüssig macht.
  • MSSP mit vielen Kleinkunden: Ein Managed-Security-Dienstleister betreibt für mehrere kleine Kunden parallele OPENVAS-Community-Instanzen, da die Kosten pro Kunde bei geringem Scan-Volumen so am niedrigsten bleiben, akzeptiert dabei aber die zwei Wochen verzögerten Community-Feed-Updates. Für Kunden mit höheren Ansprüchen bietet derselbe Dienstleister optional ein Upgrade auf den Enterprise Feed als kostenpflichtigen Zusatz an.
  • Hochschul-Rechenzentrum: Eine Universität scannt mehrere tausend Endgeräte im Campusnetz mit einer OPENVAS-SCAN-Appliance im mittleren Preissegment, weil das gestaffelte Pro-Asset-Modell bei großen, aber preissensiblen Netzwerken günstiger bleibt als eine kommerzielle Nessus-Flotte. Die IT-Abteilung plant zusätzlich mit Semesterzyklen, in denen sich die Zahl aktiver Endgeräte stark verändert, was beim Pro-Asset-Modell direkt in die Kosten einfließt.
  • SaaS-Unternehmen mit öffentlicher Angriffsfläche: Ein Software-as-a-Service-Anbieter mit öffentlich erreichbaren APIs nutzt Nessus Expert, um über das integrierte External Attack Surface Management unbekannte, extern sichtbare Assets automatisch zu erkennen und in den Scan-Zyklus aufzunehmen. Gerade bei schnell wachsenden Cloud-Umgebungen mit häufig wechselnden IP-Adressen verhindert das, dass neue Systeme unbemerkt am regulären Scan-Plan vorbeilaufen.

Marktposition in Deutschland und international

International gilt Nessus in Branchenvergleichen und Rezensionen häufig als der meistgenutzte kommerzielle Schwachstellenscanner, gestützt auf die breite Plugin-Bibliothek und die lange Marktpräsenz von Tenable seit den frühen 2000er-Jahren. Konkrete, unabhängig verifizierte Marktanteilszahlen für 2026 liegen für keines der beiden Produkte in belastbarer Form vor, weshalb sich an dieser Stelle keine seriöse Prozentzahl nennen lässt. Was sich dagegen klar belegen lässt: Greenbone hat sich im deutschsprachigen Raum eine Sonderstellung erarbeitet, die weit über reine Marktanteile hinausgeht, weil das Unternehmen als deutscher Hersteller direkt in die IT-Sicherheitsarchitektur des Bundes eingebunden ist.

Für internationale Konzerne mit Sitz oder Tochtergesellschaften in Deutschland ergibt sich daraus oft eine Zwei-Welten-Situation: Die globale Sicherheitsstrategie setzt auf Nessus oder eine vergleichbare kommerzielle Lösung, weil sie in allen Landesgesellschaften einheitlich funktionieren muss, während einzelne deutsche Standorte mit Behördenkontakt zusätzlich eine Greenbone-Instanz betreiben, um BSI-Anforderungen direkt zu erfüllen. Diese Kombination ist kein Zeichen von Ineffizienz, sondern spiegelt schlicht wider, dass beide Tools unterschiedliche regulatorische Ökosysteme bedienen.

Für welchen Anwendungsfall passt welcher Scanner?

Aus den technischen Unterschieden und den Praxisbeispielen lassen sich klare Empfehlungen ableiten, je nach Größe, Budget und regulatorischem Umfeld der Organisation.

  • Kleine Teams mit engem Budget: OPENVAS Community Edition deckt die Grundfunktionen kostenlos ab, solange die zwei Wochen Feed-Verzögerung akzeptabel ist und im Team Linux-Kenntnisse für den Eigenbetrieb vorhanden sind.
  • Bundes- und Landesbehörden: Greenbone Enterprise über den bestehenden BSI-Rahmenvertrag ist meist der pragmatischste Weg, da Beschaffung, Vergaberecht und Compliance-Vorlagen bereits aufeinander abgestimmt sind und sich separate Ausschreibungen erübrigen.
  • Unternehmen mit PCI-DSS- oder CIS-Pflicht: Nessus Professional spart durch fertige Compliance-Vorlagen spürbar Zeit gegenüber einer selbst gebauten Prüflogik und liefert Reports, die Auditoren in der Regel ohne Nacharbeit akzeptieren.
  • Organisationen mit öffentlicher Web-Angriffsfläche: Nessus Expert liefert mit Web-App-Scanning und External Attack Surface Management Funktionen, die im OpenVAS-Kernprodukt fehlen und separate Zusatztools ersetzen können.
  • Große, preissensible Netzwerke ab mehreren Tausend Assets: Das gestaffelte OPENVAS-SCAN-Preismodell wird bei hoher Asset-Zahl pro Einheit günstiger und kann sich gegenüber einer entsprechend skalierten Nessus-Lizenz über mehrere Jahre deutlich rechnen.
  • Teams mit sehr kurzer Reaktionszeit auf neue CVEs: Der zeitgleiche wöchentliche Plugin-Rhythmus von Nessus ohne Verzögerung ist hier meist der ausschlaggebende Faktor, besonders in regulierten Branchen mit kurzen Meldefristen.
  • Multinationale Konzerne mit deutschem Behördenkontakt: Eine Kombination aus global einheitlichem Nessus-Rollout und einer zusätzlichen Greenbone-Instanz für Standorte mit BSI-Bezug deckt beide regulatorischen Anforderungen gleichzeitig ab.

Migration zwischen OpenVAS und Nessus: Schritt für Schritt

Ein Wechsel des Schwachstellenscanners läuft in der Praxis selten als harter Cutover, sondern als Parallelbetrieb mit anschließender Ablösung. Die folgenden Schritte haben sich in beide Richtungen bewährt, egal ob von OpenVAS zu Nessus oder umgekehrt.

  1. Asset-Inventar aus dem bisherigen Scanner vollständig exportieren, inklusive IP-Bereichen, Hostnamen, Verantwortlichkeiten und bisherigen Scan-Zeitplänen, damit im neuen Tool nichts übersehen wird.
  2. Zielsystem installieren und zunächst nur einen Testbereich des Netzwerks freigeben, um Konfigurationsfehler früh zu erkennen, bevor produktive Systeme betroffen sind.
  3. Anmeldedaten für authentifizierte Scans (Credentials für Windows, SSH-Keys für Linux) im neuen Tool separat hinterlegen, da sich Speicherformate und Berechtigungsmodelle zwischen OpenVAS und Nessus unterscheiden.
  4. Compliance-Vorlagen neu zuordnen: BSI-Richtlinien-Scans aus Greenbone lassen sich nicht eins zu eins in Nessus-PCI-Vorlagen übertragen und müssen fachlich neu abgebildet werden, im Zweifel mit Unterstützung des zuständigen Compliance-Teams.
  5. Parallelen Scan-Lauf über mindestens zwei bis vier Wochen fahren und Ergebnisse beider Systeme auf demselben Zielbereich vergleichen, um Lücken in der Testabdeckung frühzeitig sichtbar zu machen.
  6. Abweichungen dokumentieren, etwa Schwachstellen, die nur ein Tool findet, und die Ursache klären, bevor das alte System abgeschaltet wird, statt Unterschiede stillschweigend zu ignorieren.
  7. Reporting- und Ticketing-Integrationen (SIEM, Ticket-System) auf die neue Datenquelle umstellen und Alarmschwellen neu kalibrieren, da Risikobewertungen zwischen beiden Tools leicht abweichen können.
  8. Altsystem erst deaktivieren, wenn Stakeholder den Parallelbetrieb offiziell abgenommen haben, nicht vorher, um im Fehlerfall noch auf die bewährte Datenquelle zurückgreifen zu können.

Wer von der kostenlosen OPENVAS Community Edition auf eine kommerzielle Stufe wechselt, sollte den Schritt zusätzlich nutzen, um Scan-Profile zu bereinigen. Viele Community-Installationen laufen über Jahre mit unveränderten Standardprofilen, obwohl sich die Netzwerkstruktur längst verändert hat.

Codebeispiel: Scans per Kommandozeile starten

Für Automatisierung und CI/CD-Integration lassen sich beide Scanner über die Kommandozeile beziehungsweise ihre APIs ansteuern. Das folgende Beispiel zeigt den grundsätzlichen Aufbau eines Scan-Starts über das Greenbone Management Protocol (GMP) mit gvm-cli sowie über die Nessus REST-API mit curl.

# OpenVAS / Greenbone: Scan über gvm-cli starten
gvm-cli --gmp-username admin --gmp-password *** \
  socket --xml "<create_task><name>Wochenscan</name><target id='TARGET-ID'/><config id='CONFIG-ID'/></create_task>"

# Nessus: Scan über die REST-API starten
curl -k -X POST "https://nessus-host:8834/scans/SCAN_ID/launch" \
  -H "X-ApiKeys: accessKey=ACCESS_KEY; secretKey=SECRET_KEY"

Beide Beispiele setzen bereits konfigurierte Ziele beziehungsweise Scan-Definitionen voraus. In der Praxis binden Teams solche Aufrufe meist in Cron-Jobs oder Pipeline-Skripte ein, um Scans automatisch nach jedem größeren Infrastruktur-Deployment auszulösen.

Grenzen von Schwachstellenscannern: Was beide Tools nicht leisten

Bei aller Detailtiefe im Vergleich lohnt sich ein nüchterner Blick auf das, was weder OpenVAS noch Nessus leisten können. Beide Scanner prüfen gegen bekannte Signaturen, Versionsnummern und Konfigurationsmuster. Eine bislang unbekannte Zero-Day-Lücke, für die noch kein Test existiert, findet keines der beiden Tools, unabhängig vom Preis oder der Größe der Plugin-Bibliothek. Wer sich allein auf regelmäßige Scans verlässt, schließt damit nur einen Teil der realistischen Angriffsfläche ab, nicht das gesamte Risiko.

Betrieb und Wartungsaufwand: Wer bindet mehr Personal?

Ein Aspekt, der in reinen Feature-Vergleichen oft untergeht, ist der laufende Betriebsaufwand. Eine OPENVAS-Community-Installation muss selbst gepflegt werden: Betriebssystem-Updates, Feed-Synchronisation, Backup der Konfiguration und im Zweifel die Fehlersuche bei Problemen fallen komplett ins eigene Team. Für ein Team mit Linux-Erfahrung ist das machbar, für ein kleines IT-Team ohne tiefe Systemadministrations-Kenntnisse kann sich der Aufwand über die Zeit summieren und die vermeintliche Kostenersparnis gegenüber einer kommerziellen Lizenz teilweise auffressen.

Nessus reduziert diesen Aufwand spürbar, weil Tenable Updates, Patches und Plugin-Verteilung zentral steuert und die Installation als geschlossenes Produkt liefert. Der Administrationsaufwand beschränkt sich meist auf Konfiguration von Scan-Zielen, Zeitplänen und Berichtsvorlagen, während die Wartung der Kerninfrastruktur beim Hersteller liegt. Greenbones Enterprise-Appliances mit Greenbone Operating System (GOS) schließen diese Lücke zur Community Edition teilweise, weil dort Updates, Clustering und Backups als verwaltete Hardware- oder Virtual-Appliance-Lösung mitgeliefert werden, allerdings gegen Bezahlung im beschriebenen Pro-Asset-Modell. Wer die Wahl zwischen Community Edition und Enterprise-Appliance trifft, sollte den internen Personalaufwand also genauso in die Rechnung einbeziehen wie die reine Lizenzgebühr. In der Praxis unterschätzen gerade kleinere Teams diesen Aufwand zu Beginn und stellen erst nach mehreren Monaten Eigenbetrieb fest, dass ein Wechsel zur Enterprise-Stufe oder zu Nessus in Summe wirtschaftlicher gewesen wäre als der zusätzliche interne Personalaufwand für Pflege und Störungsbehebung.

Ebenso ersetzt kein Scan-Report eine echte Behebung. Beide Tools liefern Befunde und Risikoeinstufungen, patchen oder konfigurieren aber nichts automatisch um. Gerade in gewachsenen Umgebungen mit hunderten offenen Findings entsteht dadurch häufig eine Lücke zwischen Erkennung und tatsächlicher Behebung, wenn Teams keinen klaren Prozess für Priorisierung und Nachverfolgung etablieren. Ein Scanner ist damit immer nur der erste Schritt eines Schwachstellenmanagement-Prozesses, nicht dessen Abschluss. Wer Scan-Ergebnisse ohne festen Eskalationsweg und definierte Fristen für kritische Befunde liegen lässt, gewinnt durch den teuersten Scanner am Ende trotzdem nichts an echter Sicherheit. Beide Tools erzeugen zudem gelegentlich Fehlalarme, sogenannte False Positives, weshalb ein manueller Prüfschritt vor der Priorisierung kritischer Befunde in der Praxis unverzichtbar bleibt, egal für welches Produkt sich ein Team entscheidet.

Vor- und Nachteile im Überblick

OpenVAS / Greenbone: Stärken und Schwächen

Greenbones größter Trumpf ist die Kombination aus Kostenfreiheit und deutscher Regulatorik-Nähe, seine größte Schwäche der Wartungsaufwand im Eigenbetrieb.

  • Kostenlose Community Edition ohne Nutzerlimit für nicht-kommerzielle Zwecke
  • Enger Bezug zu BSI-Standards mit dedizierten TLS- und SSH-Richtlinien-Scans
  • Deutscher Hersteller mit Rahmenvertrag für Bundesbehörden
  • Gestaffeltes Pro-Asset-Preismodell, das bei großen Netzwerken günstig skaliert
  • Community Feed rund zwei Wochen langsamer als der Enterprise Feed
  • Primär auf Linux ausgerichtet, weniger native Flexibilität als Nessus
  • Kein integriertes Web-App-Scanning im Kernprodukt

Nessus: Stärken und Schwächen

Nessus punktet mit Reife, Plugin-Umfang und geringem Betriebsaufwand, verlangt dafür aber eine laufende Jahreslizenz ohne kostenlose Alternative für den Dauerbetrieb.

  • Größte Plugin-Bibliothek im Vergleich mit über 319.000 Einträgen
  • Wöchentlich über 100 neue Plugins, ohne gestaffelte Verzögerung für zahlende Kunden
  • Fertige Compliance-Vorlagen für PCI DSS und CIS Benchmarks
  • Läuft nativ auf Windows, Linux und macOS
  • Kostenpflichtig ab Professional, mit spürbaren Jahreslizenzen
  • Kostenlose Essentials-Stufe seit Kürzung auf rund 5 IPs kaum noch für echten Produktivbetrieb geeignet
  • Kein direkter Bezug zu deutschen BSI-Standards, dafür international breiter aufgestellt

Ausblick: Wohin sich Schwachstellenscanner 2026 entwickeln

Beide Hersteller bewegen sich erkennbar in Richtung breiter angelegter Plattformen statt reiner Netzwerkscanner. Tenable baut Nessus zunehmend als Baustein seiner größeren Exposure-Management-Plattform aus, die neben klassischen Schwachstellenscans auch Cloud-Sicherheit, Identitätsrisiken und Angriffsflächen-Überwachung in einer gemeinsamen Oberfläche zusammenführt. Nessus bleibt dabei die Scan-Engine im Hintergrund, während größere Kunden zunehmend über die übergeordnete Plattform arbeiten statt direkt über die klassische Nessus-Oberfläche.

Greenbone verfolgt mit der OPENVAS-Umbenennung und dem neuen Security-Intelligence-Tarif eine ähnliche Richtung, bleibt dabei aber näher an seinen Open-Source-Wurzeln und dem Fokus auf klassisches Vulnerability Management. Die engere Verzahnung mit BSI-Richtlinienscans wie TR-03116-4 und TR-02102-4 deutet darauf hin, dass Greenbone seine Position im deutschen öffentlichen Sektor eher vertiefen als durch neue Produktkategorien verwässern will. Für Nutzer beider Tools bedeutet das: Wer heute investiert, sollte davon ausgehen, dass sich die Funktionsgrenzen zwischen reinem Schwachstellenscan und breiter angelegtem Risikomanagement in den kommenden Jahren weiter verschieben, ohne dass sich die grundsätzliche Positionierung der beiden Anbieter kurzfristig ändert.

Das Urteil: Welcher Scanner gewinnt 2026?

Es gibt keinen universellen Gewinner, die Zahlen zeichnen aber ein klares Bild für zwei unterschiedliche Zielgruppen. Wer im deutschen öffentlichen Sektor arbeitet oder BSI-Konformität nachweisen muss, profitiert von OpenVAS beziehungsweise Greenbones OPENVAS SCAN, allein schon wegen des bestehenden Rahmenvertrags und der maßgeschneiderten TR-03116-4- und TR-02102-4-Richtlinien-Scans. Bei sehr großen, preissensiblen Netzwerken ab mehreren Tausend Assets sorgt das gestaffelte Pro-Asset-Modell zusätzlich für einen handfesten Kostenvorteil.

Wer dagegen internationale Compliance-Standards wie PCI DSS oder CIS Benchmarks erfüllen muss, eine möglichst breite und schnell aktualisierte Plugin-Basis braucht oder öffentlich erreichbare Webanwendungen scannen will, kommt an Nessus kaum vorbei. Die 319.000 Plugins, die wöchentlichen Updates ohne Verzögerung und die Erweiterung um External Attack Surface Management in Nessus Expert rechtfertigen für viele Unternehmen die höheren Lizenzkosten. Die pragmatischste Lösung für größere Organisationen ist oft ohnehin ein hybrider Ansatz: OpenVAS für interne, BSI-relevante Netzsegmente, Nessus für extern exponierte Systeme und international regulierte Geschäftsbereiche.

Am Ende entscheidet weniger die reine Testzahl als das eigene regulatorische und finanzielle Umfeld. Eine Behörde mit BSI-Rahmenvertrag zahlt für Nessus doppelt, einmal in Lizenzgebühren und einmal in zusätzlichem Vergabeaufwand, ohne dafür einen echten Sicherheitsgewinn zu erhalten. Ein internationales Unternehmen ohne Bezug zu deutschen Verwaltungsstandards gewinnt umgekehrt wenig durch OpenVAS, wenn Kunden im Ausland PCI-DSS- oder CIS-konforme Nachweise verlangen, die Greenbone aktuell nicht in gleicher Tiefe abdeckt. Wer diesen Vergleich als Entscheidungsgrundlage nutzt, sollte deshalb zuerst die eigene Compliance-Landschaft klären, bevor die Wahl auf einen der beiden Scanner fällt.

Häufig gestellte Fragen

Ist OpenVAS wirklich komplett kostenlos?

Die OPENVAS Community Edition ist kostenlos für nicht-kommerzielle Nutzung und bringt keine künstliche Begrenzung bei der Zahl der Zielsysteme mit. Wer Enterprise-Features, den schnelleren Feed ohne die zweiwöchige Verzögerung oder Herstellersupport mit vertraglich zugesicherten Reaktionszeiten braucht, zahlt für OPENVAS SCAN nach dem gestaffelten Pro-Asset-Modell, das sich nach der Zahl der überwachten Systeme richtet.

Wie unterscheiden sich OpenVAS und OPENVAS voneinander?

Es handelt sich um dasselbe Produkt unter neuem Namen. Greenbone hat seine Produktpalette im Juli 2025 unter der Marke OPENVAS neu zusammengefasst, um näher an das seit über 15 Jahren bekannte Kürzel OpenVAS anzuknüpfen. Die zugrunde liegende GVM-Technik, die Feeds und die Funktionsweise blieben bei der Umbenennung technisch unverändert.

Kann ich Nessus Essentials dauerhaft kostenlos nutzen?

Nein. Nessus Essentials ist als 30-Tage-Lizenz mit rund 5 IPs ausgelegt und muss danach erneuert werden, was den praktischen Nutzen gegenüber der früheren, großzügigeren 16-IP-Grenze deutlich einschränkt. Für dauerhaften Produktivbetrieb in größeren Netzwerken ist mindestens Nessus Professional mit Jahreslizenz nötig.

Erfüllt OpenVAS die BSI-Mindeststandards automatisch?

OpenVAS bietet mit den Richtlinien-Scans für TR-03116-4 und TR-02102-4 gezielte, vorkonfigurierte Prüfungen gegen diese BSI-Standards an, was den Aufwand für eigene Regelwerke reduziert. Automatische Konformität entsteht dadurch aber nicht von selbst, die Ergebnisse müssen weiterhin von einem Menschen bewertet, priorisiert und über nachgelagerte Maßnahmen behoben werden.

Welcher Scanner eignet sich besser für kleine Unternehmen?

Für kleine Unternehmen ohne PCI-DSS- oder CIS-Pflicht ist die OPENVAS Community Edition meist ausreichend und kostenlos, solange die zweiwöchige Feed-Verzögerung akzeptabel ist. Sobald internationale Compliance-Nachweise nötig werden oder Kunden eigene Sicherheitsaudits verlangen, lohnt sich trotz der Jahreslizenz der Blick auf Nessus Professional.

Kann ich OpenVAS und Nessus parallel betreiben?

Ja, viele größere Organisationen setzen beide Tools parallel ein, etwa OpenVAS für interne Netzsegmente mit BSI-Bezug und Nessus für extern exponierte Systeme und Compliance-Berichte gegenüber internationalen Kunden. Wichtig ist dabei nur, klar festzulegen, welches Tool für welchen Netzbereich als führende Quelle für Reports gilt, um doppelte oder widersprüchliche Meldungen zu vermeiden.

Wie oft sollte ein Netzwerk gescannt werden?

NIS2-betroffene Unternehmen scannen kritische Systeme in der Praxis meist wöchentlich bis monatlich, ergänzt um Ad-hoc-Scans nach größeren Änderungen an der Infrastruktur, etwa nach dem Rollout neuer Server oder größeren Softwareupdates. Die genaue Frequenz hängt vom individuellen Risikoprofil, der Kritikalität der Systeme und internen Richtlinien ab, eine pauschale Zahl gibt weder BSI noch ein Hersteller verbindlich vor.

Was passiert, wenn ein Scan eine kritische Schwachstelle findet?

Beide Tools liefern eine CVSS-basierte Risikoeinstufung sowie konkrete Handlungsempfehlungen im Report, etwa welche Patch-Version das Problem behebt. Die eigentliche Behebung, etwa durch Patches, Konfigurationsänderungen oder das Abschalten eines nicht mehr benötigten Dienstes, bleibt Aufgabe des IT-Teams und wird von keinem der beiden Scanner automatisch durchgeführt.

Quellen und weiterführende Links: Tenable Nessus Produktseite, Greenbone Networks, BSI-Informationsseite zu OpenVAS, National Vulnerability Database (NIST), OWASP Top 10 Projekt und FIRST.org CVSS-Spezifikation.