Was die beiden sind
Burp Suite von PortSwigger ist das Werkzeug, mit dem die meisten professionellen Pentester arbeiten. Es ist eine Desktop-Anwendung, die sich zwischen deinen Browser und die geprüfte Website setzt: Sie fängt jede Anfrage ab, lässt dich sie verändern und erneut senden, automatisiert Varianten, um einen Parameter tausendfach zu testen, und enthält in der Professional-Edition einen automatischen Scanner, der die Anwendung durchsucht und prüft. Es gibt drei Editionen: Community, kostenlos, mit den manuellen Werkzeugen und ohne Scanner; Professional, bezahlt pro Nutzer; und Enterprise, um viele Anwendungen nach Zeitplan zu scannen. Es ist dafür gebaut, dass eine fachkundige Person stundenlang eine Anwendung von Hand erkundet.
Scanaris steht am anderen Ende: ein Webdienst, in den du die URL deiner veröffentlichten Website einfügst und der rund dreißig Sekunden später 47 Prüfungen in acht Säulen liefert, nur lesend, nach Auswirkung sortiert, mit einer Erklärung in klarer Sprache und einem Fix-Prompt zu jedem Fund. Nichts zu installieren, nichts zu konfigurieren, keine Sicherheitskenntnisse nötig.
Manuell gegen automatisch
Der Unterschied ist keiner der Qualität, sondern der Art. Burp ist ein Instrument: Was es findet, hängt davon ab, wer es führt. Ein guter Pentester mit Burp entdeckt Fehler in der Geschäftslogik, Autorisierungsumgehungen zwischen Nutzern, Injections, die ein Scanner nicht sieht, und Verkettungen mehrerer kleiner Fehler zu einem schweren. Das leistet kein automatisches Werkzeug, auch Scanaris nicht. Selbst der Scanner von Burp Professional, der automatisch ist, braucht jemanden, der Umfang, Authentifizierung und Ausnahmen konfiguriert und danach die Ergebnisse prüft.
Scanaris ist ein Dienst: Es tut immer dasselbe, in derselben Tiefe, ohne dass jemand es bedient. Es schaut auf das, was deine Website veröffentlicht (Header, Cookies, Zertifikat, erreichbare Dateien, Geheimnisse im JavaScript, E-Mail, Domain, Reputation, SEO und KI-Sichtbarkeit), und vergleicht es mit guter Praxis. Es sendet nie manipulierte Daten: Deshalb kann es täglich ohne Risiko gegen die Produktion laufen, und deshalb findet es nicht, was einen Angriff erfordert.
Wie man die beiden benutzt
Bei Burp installierst du die Anwendung, leitest deinen Browser über seinen Proxy (oder nutzt den eingebauten Browser), bewegst dich durch deine Anwendung, während Burp alles aufzeichnet, und arbeitest dann mit diesem Verkehr: Du wiederholst Anfragen mit anderen Parametern, startest Brute-Force-Angriffe auf ein Feld, testest, was passiert, wenn du die Kennung eines Nutzers gegen die eines anderen tauschst. In Professional startest du zusätzlich den Scanner über den festgelegten Umfang und wartest Minuten bis Stunden. Das Ergebnis ist dein eigenes Notizbuch mit Funden plus die des Scanners, die sortiert werden müssen.
Bei Scanaris fügst du die URL ein. Im Pro-Tarif scannt es täglich neu, ohne dein Kontingent zu verbrauchen, warnt dich, wenn die Website ausfällt oder das Zertifikat abläuft, und über API und MCP-Server lassen sich Scans aus deinem eigenen Deployment-Ablauf auslösen. Es gibt es in acht Sprachen, Burp auf Englisch.
Was der eine findet und der andere nicht
- Nur Burp (in fähigen Händen): Fehler in der Geschäftslogik, Zugriff auf Daten anderer Nutzer durch Ändern einer Kennung, Authentifizierungsumgehungen, Injections, Race Conditions, Fehler in Bezahl- oder Passwort-Wiederherstellungsabläufen. Alles, was Verständnis der Anwendung und Testen von Hand erfordert.
- Nur Scanaris: SEO und KI-Sichtbarkeit (robots, Sitemap, Metadaten, strukturierte Daten, llms.txt, KI-Crawler), E-Mail (SPF, DKIM, DMARC), Domain-Gesundheit, Safe-Browsing-Reputation, grundlegende Barrierefreiheit und Compliance-Signale. Und die Korrektur als Prompt, die Burp nicht liefert.
- Beide: Sicherheits-Header, Cookies ohne Attribute, exponierte Dateien, TLS, durchsickernde Versionen. Der Scanner von Burp Professional markiert sie; Scanaris erklärt sie und sagt dir, wie du sie bei deinem Hoster behebst.
Preise (Oktober 2026)
Burp Suite Community ist kostenlos, ohne Scanner und mit gedrosseltem automatisiertem Angriffswerkzeug. Burp Suite Professional kostet nach der Preiserhöhung vom Januar 2026 rund 500 Dollar pro Nutzer und Jahr. Burp Suite Enterprise wird individuell angeboten. Dazu kommt, was Burp wirklich kostet: die Stunden der Person, die es bedient, oder die Rechnung des Pentests, wenn du ihn beauftragst.
Scanaris hat einen kostenlosen Scan mit zwei oder drei freigeschalteten Funden und Tarife zu 24, 49 und 99 Euro im Monat (17, 34 und 69 bei jährlicher Zahlung) für 1, 5 und 25 Projekte, mit vollständigem Bericht, Prompts, Überwachung und API.
Wann man beide nutzt
Wenn du sensible Daten verarbeitest, Zahlungen annimmst oder Nutzer hast, die einander sehen können, ersetzt nichts einen manuellen Pentest mit Burp vor dem Launch und nach jeder großen Änderung. Scanaris ist das, was du an allen anderen Tagen tust: die tägliche, günstige Prüfung, dass das Deployment noch richtig konfiguriert ist, dass niemand eine Datei offen gelassen hat und dass Google und KI-Assistenten dich lesen können. Hast du deine App mit Lovable, Bolt oder v0 gebaut und heute keinen Pentester, fang mit Scanaris und der Sicherheits-Checkliste vor dem Launch an; der Pentest kommt, wenn das Projekt ihn rechtfertigt.
Häufige Fragen
Kann ich Burp ohne Expertenwissen nutzen?
Installieren kannst du es kostenlos, und PortSwigger bietet eine sehr gute kostenlose Web-Security-Akademie zum Lernen. Aber Nutzen daraus zu ziehen dauert Wochen an Übung. Es ist kein Werkzeug für einen Nachmittag.
Ersetzt Scanaris einen Pentest?
Nein. Es deckt Konfiguration und Exposition deiner veröffentlichten Website ab, nicht die Logik deiner Anwendung. Ein Pentest findet Dinge, die kein automatischer Scanner sieht, und Scanaris findet Dinge, die ein einmaliger Pentest nicht jeden Tag überwacht.
Ist es sicher, Burp gegen meine Produktionswebsite einzusetzen?
Manuelle Tests berühren echte Daten: Du legst Konten an, änderst Bestellungen, schickst Formulare ab. Üblich ist die Arbeit in einer Testumgebung. Scanaris wird, weil es nur liest, direkt gegen die Produktion eingesetzt.