Was die beiden sind
ZAP (Zed Attack Proxy) ist das meistgenutzte kostenlose Open-Source-Werkzeug für dynamische Sicherheitstests weltweit. Es entstand innerhalb von OWASP, und obwohl viele es weiter „OWASP ZAP“ nennen, ist es seit 2023 kein Projekt dieser Organisation mehr: Seit September 2024 heißt es ZAP by Checkmarx, weil Checkmarx das Kernteam eingestellt hat und die Entwicklung finanziert. Es bleibt kostenlos, quelloffen und wird regelmäßig gepflegt (Version 2.17 erschien im Dezember 2025). Es ist eine Desktop-Anwendung, auch als Docker-Image erhältlich, die sich zwischen deinen Browser und die getestete Website setzt, deren Seiten durchsucht und kontrollierte Angriffe startet, um Schwachstellen zu finden.
Scanaris ist ein Webdienst: Du fügst die URL deiner veröffentlichten Website ein und bekommst rund dreißig Sekunden später 47 Prüfungen in acht Säulen, nur lesend, nach Auswirkung sortiert und mit einem Fix-Prompt zu jedem Fund. Nichts zu installieren, nichts zu konfigurieren, und es greift nichts an.
Passiv gegen aktiv: der Unterschied, der zählt
Scanaris stellt nur normale Anfragen, wie ein Browser sie stellen würde, und untersucht, was deine Website antwortet: Header, Cookies, Zertifikat, erreichbare Dateien, das ausgelieferte JavaScript, die robots.txt. Es sendet nie manipulierte Daten und versucht nie, einen Fehler auszulösen. Deshalb kann es jederzeit ohne Risiko gegen eine Produktionswebsite laufen.
ZAP hat zwei Modi. Der passive Scan beobachtet den Verkehr, ohne ihn zu verändern, ähnlich wie Scanaris, und erkennt fehlende Header, Cookies ohne Attribute oder durchsickernde Informationen. Der aktive Scan ist etwas anderes: Er sendet tausende Anfragen mit Nutzlasten, die SQL-Injection, Cross-Site-Scripting, Dateieinbindung und Dutzende weitere Fehler provozieren sollen. Dieser Modus kann Formulare ausfüllen, Datensätze anlegen, E-Mails von deiner Website verschicken oder einen kleinen Server lahmlegen. Er gehört nur auf eigene Websites, am besten in eine Testumgebung, und nur mit ausdrücklicher Erlaubnis.
Wie man die beiden benutzt
Bei ZAP installierst du die Anwendung (sie braucht Java) oder startest den Container, legst einen Kontext mit der Ziel-URL an, konfigurierst die Authentifizierung, wenn du die privaten Bereiche testen willst, startest den Spider und danach den aktiven Scan, der je nach Größe der Website Minuten bis Stunden dauert. Am Ende hast du eine Liste von Warnungen nach Risikostufe, die eine nach der anderen geprüft werden muss, weil ein Teil davon Fehlalarme sind. Für die Einbindung ins Deployment gibt es GitHub Actions und ein Automatisierungs-Framework in YAML; der „Baseline Scan“ von ZAP ist passiv und schnell und das, was die meisten in der Continuous Integration laufen lassen.
Bei Scanaris fügst du die URL ein. Der Bericht sortiert die Funde nach Auswirkung, erklärt jeden in klarer Sprache und liefert einen Prompt für Cursor, Claude oder deinen KI-Editor. Im Pro-Tarif scannt es täglich neu, warnt bei Ausfällen und bald ablaufenden Zertifikaten, und über API und MCP-Server lassen sich Scans aus deinem eigenen Ablauf starten. Es gibt es in acht Sprachen; ZAP ist auf Englisch mit teilweisen Übersetzungen aus der Community.
Was der eine findet und der andere nicht
- Nur ZAP: SQL-Injection, reflektiertes oder gespeichertes Cross-Site-Scripting, Dateieinbindung, offene Weiterleitungen, Fehler in der Authentifizierungslogik privater Bereiche, Probleme in REST-, GraphQL- oder SOAP-APIs anhand ihrer Definition. Alles, was angegriffen werden muss, um bestätigt zu werden.
- Nur Scanaris: SEO und KI-Sichtbarkeit (robots, Sitemap, Metadaten, strukturierte Daten, llms.txt, KI-Crawler), E-Mail (SPF, DKIM, DMARC), Domain-Gesundheit, Safe-Browsing-Reputation, grundlegende Barrierefreiheit, Signale zur rechtlichen Compliance. Und vor allem die Korrektur: ZAP beschreibt das Problem allgemein; Scanaris gibt dir den Prompt.
- Beide: fehlende oder schwache Sicherheits-Header, Cookies ohne Attribute, exponierte Dateien und Verzeichnisse, durchsickernde Serverversionen, TLS. Hier ist ZAP gründlicher und Scanaris lesbarer.
Preise (Oktober 2026)
ZAP kostet kein Geld. Es kostet Zeit: installieren, Authentifizierung konfigurieren, auf den Scan warten, Fehlalarme aussortieren und jede Warnung deuten. Für jemanden mit Erfahrung ist das ein Geschenk; für jemanden ohne ist es ein ganzer Nachmittag und ein Bericht, mit dem er nichts anfangen kann.
Scanaris hat einen kostenlosen Scan mit zwei oder drei freigeschalteten Funden und Tarife zu 24, 49 und 99 Euro im Monat (17, 34 und 69 bei jährlicher Zahlung) für 1, 5 und 25 Projekte, mit vollständigem Bericht, Prompts, Überwachung und API.
Wann man beide nutzt
Sie ergänzen sich, und so setzen viele Teams sie ein: Scanaris täglich auf der veröffentlichten Website, weil es sicher und schnell ist und sagt, was zuerst zu beheben ist; der „Baseline Scan“ von ZAP in der Continuous Integration, wenn du eine Pipeline hast; und ein vollständiger aktiver ZAP-Scan in einer Testumgebung oder in den Händen eines Profis vor einem großen Launch oder wenn du sensible Daten verarbeitest. Hast du deine App mit Lovable, Bolt oder v0 gebaut und willst heute wissen, ob etwas Ernstes vorliegt, fang mit Scanaris und der Sicherheits-Checkliste vor dem Launch an; ZAP kommt danach.
Häufige Fragen
Kann ZAP meine Website kaputtmachen?
Der passive Scan nicht. Der aktive schon: Er schickt Formulare ab, legt Testdaten an und belastet den Server. Führe ihn auf einer Kopie oder außerhalb der Geschäftszeiten aus, und nie auf einer Website, die nicht deine ist.
Greift Scanaris meine Website an?
Nein. Es liest nur, was deine Website ohnehin jedem Besucher zeigt, mit gedrosselten Anfragen. Deshalb findet es keine Injections: Es testet sie nicht.
Ist ZAP nach dem Wechsel zu Checkmarx noch kostenlos?
Ja. Es bleibt quelloffen unter der Apache-2.0-Lizenz, und Checkmarx verkauft sein eigenes kommerzielles Produkt für dynamische Tests separat. Geändert haben sich der Name und wer die Entwickler bezahlt.