Fjordex vs. Shodan vs. Nessus: Wofür ist welches Tool gedacht?

Die drei Tools im direkten Vergleich

Shodan: die Suchmaschine des Internets

Shodan scannt das Internet fortlaufend und indexiert die gefundenen Geräte und Dienst-Banner. Eine Frage wie „Welche IPs haben Port 3389 offen und laufen unter Windows Server 2012?“ beantwortet es in Sekunden. Seine Stärke ist die Abdeckung: das gesamte Internet. Seine Schwäche ist genau dieselbe: Es ist nicht auf Sie zugeschnitten. Shodan sagt Ihnen nicht „das ist Ihre Attack Surface“; die Daten können veraltet sein, und die Interpretation bleibt Ihnen überlassen. Da auch Angreifer zuerst hier nachsehen, ist Shodan eine der Quellen, die in die Erkennung einfließen; Fjordex ergänzt darauf aufbauend eine zielspezifische, aktuelle und autorisierte Validierung, den CVE-Abgleich und den Bericht.

Nessus: der authentifizierte Schwachstellenscanner

Nessus (Tenable) verbindet sich mit Ihren eigenen Systemen, erkennt die Versionen der laufenden Dienste und gleicht sie mit einer Datenbank bekannter Schwachstellen ab. Das Ergebnis sind CVE-Nummern, CVSS-Werte und eine Liste fehlender Patches. Die besten Ergebnisse liefert es bei authentifizierten Scans, also im internen Netzwerk; die Ausgabe ist auf Englisch und meist Hunderte Zeilen lang. Für ein internes IT-Team ist es unverzichtbar. Fjordex ersetzt Nessus nicht, sondern ergänzt es: Nessus für den tiefen internen CVE-Scan, Fjordex für die externe Attack Surface, die AD-Sicherheitslage und die Entscheidungsebene (Priorisierung, Delta, ein signierbarer Bericht auf Türkisch). Da es sich um einen aktiven Scan handelt, ist bei Nessus auf sensiblen Systemen (Medizingeräte im Krankenhaus, ältere industrielle Steuerungssysteme) Vorsicht geboten; in seltenen Fällen kann er einen Dienstausfall verursachen.

Fjordex: die Assessment-Engine und der Connector

Fjordex arbeitet auf zwei Ebenen. Die externe Ebene kartiert die aus dem Internet erreichbaren Assets der Organisation: passive Erkennung (Subdomains, Certificate-Transparency-Logs, SPF/DKIM/DMARC, Lookalike-Domains) und aktive Erkennung im Rahmen der schriftlichen Autorisierung (aktive Dienste, Ports, TLS-Konfiguration, exponierte Panels, Subdomain Takeover). Erkannte Dienstversionen werden mit einem NVD-basierten CVE-Datensatz abgeglichen; der Schweregrad wird aus dem CVSS-Vektor berechnet, nie von Hand vergeben. Die interne Ebene ist eine authentifizierte, rein lesende Prüfung der Sicherheitslage des Active Directory: schwache Passwortrichtlinie, Kerberoast- / AS-REP-Risiken, ADCS-Fehlkonfigurationen und die Darstellung des Pfads zum Domain Admin; kein Pfad wird jemals ausgeführt.

Jeder Durchlauf passiert eine einzige Autorisierungsprüfung: Ohne schriftliche Autorisierungsreferenz und Testfenster startet der Scan nicht, und Assets außerhalb des vereinbarten Umfangs werden nie gescannt. Das Ergebnis ist ein signierbarer Bericht auf Türkisch, ein Delta-Bericht mit den Änderungen seit dem vorherigen Durchlauf und ein monatlicher Monitoring-Bericht; der Inhalt des Berichts stammt ausschließlich aus der Engine.

Der Fjordex-Connector (MCP) ist die passive Vorschau dieser Engine: E-Mail-Sicherheit, DNS-Hygiene, Subdomain-Erkennung und Prüfung auf Lookalike-Domains. Er verbindet sich nicht mit Ihren Systemen und erfordert keine Installation; ein Satz wie „prüfe die E-Mail-Sicherheit von arvenova.ai“ genügt.

Was Fjordex nicht ist

Dies ist der wichtigste Abschnitt, denn falsche Erwartungen sind in der Sicherheit der teuerste Fehler.

• Es ersetzt Nessus nicht. Fjordex führt einen versionsbasierten CVE-Abgleich durch, strebt aber nicht die breite, authentifizierte interne Plugin-Basis von Nessus an. „Der Connector hat nichts gefunden“ heißt nicht „unsere Systeme haben keine Schwachstellen“; es heißt nur, dass in öffentlichen DNS- und Zertifikatsdaten kein Problem sichtbar ist.
• Es ist kein SOC und kein 24/7-Monitoring. Es erkennt keine Angriffe in Echtzeit und bietet keine Reaktion auf Sicherheitsvorfälle (Incident Response). Das Monitoring-Produkt ist ein periodischer Neu-Scan mit monatlichem Delta-Bericht.
• Es ist kein Penetrationstest. Fjordex bewertet; die Ergänzung zur manuellen Befundvalidierung verifiziert kritische Befunde von Hand mit schriftlicher Genehmigung, mit maskierten Nachweisen in einem signierten Anhang. Es gibt keine Angriffssimulation und kein Lateral Movement.
• Es ist kein RMM oder EDR. Es installiert keinen Agenten auf Ihren Geräten, überwacht keine Endpunkte und spielt keine Patches ein.
• Das LLM entscheidet nicht. Scan, Schweregrad und Priorisierung sind vollständig deterministisch: gleiche Eingabe, gleicher Bericht. Ein Sprachmodell wird nur für die optionale Management-Zusammenfassung eingesetzt, lokal und in einem geschlossenen Kreislauf; kommt eine IP, eine CVE oder ein Schweregrad aus der Zusammenfassung in den Quelldaten nicht vor, gelangt dieser Satz nicht in den Bericht. Auch beim Connector ruft der Assistent nur das Tool auf und erklärt das Ergebnis.
• Es ist kein signierter Bericht. Die Connector-Ausgabe ist eine automatisierte Vorschau. Das Dokument für Audit, Versicherung oder Ausschreibung ist der signierte Bericht mit menschlicher Prüfung (ab Stufe 1).

Welches Tool wann?

• Sie betreiben eigene Server und möchten Ihren Patch-Stand kennen: Nessus oder ein vergleichbares Tool, mit Ihrem eigenen Team oder einem Berater.
• Sie möchten wissen, wie ein Angreifer Sie sieht und was im Internet über Sie offenliegt: Shodan-Abfragen, idealerweise mit einem Experten an Ihrer Seite.
• Sie möchten die gesamte externe Angriffsfläche in einem signierten, priorisierten Bericht: die Bewertung der Stufe 1 von ArveNova (ab 2.200 €, je nach Umfang). Für die Active-Directory-Lage Stufe 3.