Redaktionelle Vorauswahl
Die Einordnung basiert auf dokumentierten Funktionen und der jeweiligen Produktpositionierung. Sie enthält keinen eigenen Scan, keinen Angriffssimulationstest und keine Ergebnisbewertung aus einer produktiven Umgebung. Partnerstatus und Provisionshöhe sind kein Auswahlkriterium; für diese Anbieter sind in Atlas keine Partnerlinks hinterlegt.
- Tenable One Vulnerability Management: sinnvoller Ausgangspunkt, wenn eine cloudbasierte Vulnerability-Management-Basis mit Asset-Inventar, Risikokontext, Ticketing und optionalem Ausbau in Richtung Exposure Management gesucht wird.
- Qualys VMDR: interessant, wenn Discovery, Vulnerability Management, Fehlkonfigurationsprüfung, Threat-Priorisierung und Remediation in einer modularen Plattform verbunden werden sollen.
- Rapid7 InsightVM: interessant, wenn ein risikobasiertes Vulnerability-Management mit Security Console, Scan Engines, Asset-Gruppen und umfangreichen Berichten in den bestehenden Betrieb integriert werden soll.
Vergleichsbasis: Was ist wirklich vergleichbar?
Alle drei Lösungen können Schwachstellen und Risiken in IT-Umgebungen erfassen und priorisieren. Sie unterscheiden sich aber bei Asset-Definition, Sensoren, Scanarchitektur, Betriebsmodell, Modulumfang und Preisbasis. „Exposure Management“ ist dabei nicht automatisch dasselbe wie ein klassischer Schwachstellenscan: Attack Paths, externe Angriffsfläche, Cloud, Identitäten und Webanwendungen können zusätzliche Module oder andere Pakete erfordern.
Nicht verglichen werden die tatsächliche Abdeckung im Netzwerk, Fehlalarmquote, Scanqualität, Einführungsaufwand, Supporterfahrung oder die Frage, ob ein konkreter CVE im eigenen Umfeld richtig priorisiert wird. Diese Punkte erfordern einen kontrollierten Proof of Concept mit repräsentativen Assets.
Tenable One Vulnerability Management
Tenable zeigt für Tenable One Vulnerability Management eine öffentliche Kaufoption für 100 Assets von 3.500 USD für ein Jahr, 6.825 USD für zwei Jahre oder 9.975 USD für drei Jahre. Die Preise sind Listenwerte der geprüften Anbieteransicht; Steuern, Region, Vertrag, Support und weitere Module müssen separat geklärt werden. Die Tenable-Dokumentation beschreibt die Lizenzierung nach Assets, die in den vergangenen 90 Tagen bewertet wurden. Eine veränderte oder doppelt erkannte Asset-Identität kann die Lizenzzählung beeinflussen.
Die Plattform nennt Asset-Inventar, Vulnerability Management, Risikobewertung, Ticketing und Integrationen. Tenable One kann um weitere Bereiche wie Webanwendungen, Cloud, OT/IoT, Attack Surface Management oder Cloud-Workload-Schutz erweitert werden. Diese Produktbreite ist hilfreich, erschwert aber einen Vergleich, wenn bei den anderen Anbietern nur die klassische Vulnerability-Management-Basis betrachtet wird.
Tenable One Vulnerability Management ist cloudbasiert und umfasst laut Dokumentation unter anderem Scanner, Agents, Network Monitor und eine API. Cloud-Sensorregionen, Datenwege, DPA/AVV, Unterauftragnehmer und die für den konkreten Vertrag geltende Aufbewahrung bleiben vor einer Beschaffung zu prüfen.
Qualys VMDR
Qualys beschreibt VMDR als pro Asset bepreiste Cloud-Lösung und bietet eine kostenlose Testphase an. Die geprüfte VMDR-Darstellung veröffentlicht jedoch keinen gleichwertigen Listenpreis für dieselbe Assetzahl wie Tenable. Deshalb steht hier bewusst keine erfundene Kostenrechnung. Vor einer Bestellung müssen Assetdefinition, Mindestumfang, Module, Vertragslaufzeit, Support und regionale Konditionen schriftlich bestätigt werden.
VMDR verbindet laut Anbieter Asset Discovery und Inventory, Vulnerability Management, Configuration Assessment, Threat Detection und Priorisierung sowie Remediation. Genannt werden außerdem ITSM-Integrationen, Berichte, APIs, Cloud Agents, Scanner und Sensoren. Patch Management, Container-, Cloud-, Mobile- und OT-Funktionen können je nach Modul beziehungsweise Add-on unterschiedlich behandelt werden.
Die Plattform wird als vollständig verwaltete Cloud beschrieben, für die keine eigene Datenbank oder Server-Infrastruktur bereitgestellt werden muss. Das reduziert den lokalen Betriebsaufwand, ersetzt aber nicht die Prüfung von Datenregion, DPA/AVV, Unterauftragnehmern, Scanberechtigungen und den Grenzen der automatisierten Patchbereitstellung.
Rapid7 InsightVM
Rapid7 nennt für InsightVM auf der offiziellen Preisseite einen Einstieg ab 1,62 USD pro Asset und Monat bei 500 Assets. Das ist eine Preisorientierung und kein verbindliches Gesamtangebot. Die konkrete Kalkulation, Vertragslaufzeit, Mindestmengen, Supportstufe und Zusatzmodule müssen im Angebot bestätigt werden.
InsightVM verbindet laut Dokumentation Security Console, Scan Engines, Asset-Gruppen, geplante Scans, Berichte und risikobasierte Priorisierung. Rapid7 beschreibt außerdem die Einbindung von Vulnerability Research, Exploit-Informationen und Threat Intelligence. Die Active-Risk-Strategie nutzt aktuelle CVSS-Daten und zusätzliche Bedrohungsinformationen; ein Risiko-Score ersetzt aber nicht die eigene Prüfung von Assetkritikalität und Geschäftsprozess.
Im Unterschied zu rein cloudverwalteten Angeboten ist die Security Console ein eigener Bestandteil des Betriebsmodells. Hardware, Architektur, Scan-Engine-Standorte, Netzwerkzugriffe und Wartungsaufwand müssen zur Umgebung passen. Rapid7 nennt auch cloudbasierte Produktpakete; InsightVM, Exposure Command und weitere Module dürfen deshalb nicht ohne Prüfung gleichgesetzt werden.
Die entscheidenden Kriterien
1. Assetdefinition: Zählt ein Gerät, eine IP, eine Anwendung, ein Container, ein Cloud-Workload oder ein FQDN? Welche Assets werden nach 30 oder 90 Tagen erneut gezählt? 2. Scanabdeckung: Werden interne Systeme, externe Angriffsfläche, Cloud, Container, Webanwendungen, OT/IoT und mobile Geräte im benötigten Umfang abgedeckt? 3. Authentifizierung und Sensorik: Welche Agenten, Scanner, Zugangsdaten und Netzwerkfreigaben sind erforderlich? Wie werden nicht verwaltete Assets erkannt? 4. Priorisierung: Werden CVSS, aktive Ausnutzung, Assetkritikalität und Exponierung gemeinsam berücksichtigt, oder bleibt es bei einer statischen Schweregradliste? 5. Remediation: Können Tickets erstellt, Verantwortliche zugewiesen, Patches vorgeschlagen und die Behebung durch einen erneuten Scan überprüft werden? 6. Betrieb und Daten: Wo laufen Scanner und Konsolen, welche Daten werden gespeichert, und wie werden DPA/AVV, Unterauftragnehmer, Aufbewahrung und Löschung geregelt?
Was vor einer Entscheidung offen bleibt
Die sinnvollste nächste Stufe ist ein identisches Anforderungsblatt mit Assetzahl, internen und externen Systemen, Cloud-/Container-Anteil, Scanfrequenz, Authentifizierung, Ticketing, gewünschter Aufbewahrung und Datenregion. Erst damit werden Angebote wirklich vergleichbar.
- Tenable: genaue Lizenzzählung für die eigene Assetstruktur, regionale Konditionen, DPA/AVV, Scanregionen und Kosten zusätzlicher Exposure- oder Cloud-Module.
- Qualys: verbindlicher Preis für dieselbe Assetzahl, konkrete Modulgrenzen, Assetdefinition, Datenregion und Umfang der Patch- beziehungsweise ITSM-Integrationen.
- Rapid7: verbindliches Angebot, Mindestmengen, Betriebsaufwand der Security Console und Scan Engines sowie Trennung von InsightVM und weiteren Exposure-Produkten.
- Alle: Scanqualität im eigenen Netzwerk, falsche Positive, privilegierte Zugänge, Wartungsfenster, Ticketprozesse und tatsächliche Reduktion des Risikos.
Quellen und Prüfstand
Die Produkt- und Preisangaben sind einzelnen offiziellen Anbieterquellen zugeordnet. Der Prüfstand dieses Vergleichs ist der 28.10.2026. Preise, Lizenzmodelle, Paketnamen und Produktgrenzen können sich ändern und müssen vor Bestellung erneut geprüft werden.