Vergleich der 10 besten Open-Source-/kostenlosen DAST-Tools

Cem Dilmegani

mit

Sena Sezer

aktualisiert am Feb 26, 2026

Siehe unsere ethischen Normen

Loading Chart

Wir stützten uns auf unsere Recherchen zu Schwachstellenscan-Tools und DAST , um führende Open-Source-DAST-Tools und kostenlose Versionen proprietärer DAST-Software auszuwählen. Unsere Begründung finden Sie unter den Produktnamen (Links folgen).

Da die Kosten und die Häufigkeit von Cyberangriffen zunehmen, setzen Unternehmen vermehrt auf DAST-Tools, um ihre Sicherheitslage zu verbessern.

Open-Source- oder kostenlose DAST-Software stellt den kostengünstigsten Einstieg in die DAST-Software dar und kann geeignet sein für

KMU
Unternehmen, die ihre Cybersicherheitsreise beginnen
Unternehmen, die nach zusätzlichen DAST-Tools suchen, um ihre Cybersicherheitsstrategie zu ergänzen

Kostenlose DAST-Tools

Sortierung : Nach Anzahl der Sterne auf GitHub.

Quellen: Die OWASP-Organisation führt eine Liste von DAST-Tools, viele davon mit kostenlosen Versionen (siehe Spalte „Lizenz“). ⁶

Einschlusskriterien für:

Open-Source-Projekte: Über 900 Sterne auf GitHub
Proprietäre Software: Muss ein kostenloses Softwarepaket eines DAST- Softwareanbieters sein.

ZAP

ZAP ist das am weitesten verbreitete Open-Source-DAST-Tool, gemessen an den GitHub-Sternen. Es deckt automatisierte Schwachstellenscans, manuelle Penetrationstests von Webanwendungen und REST-API-Tests ab und ist damit die praktische Standardlösung für Teams, die neu im Bereich DAST sind.

ZAP fungiert als transparenter Proxy, der den Datenverkehr zwischen Browser und Webanwendung zur Echtzeitanalyse abfängt und zudem im aktiven Scanmodus anhand vordefinierter Schwachstellenregeln ausgeführt werden kann. Es wird von der OWASP-Community gepflegt, aktiv weiterentwickelt und verfügt über ein umfangreiches Ökosystem an Add-ons und Dokumentation.

ZAP hat die erste Integrationsphase mit dem OWASP PenTest Kit (PTK) abgeschlossen, einer Browsererweiterung, die nun in allen von ZAP gestarteten Browsern vorinstalliert ist. Dies ermöglicht authentifizierte Sitzungstests, die insbesondere für Single-Page-Anwendungen relevant sind, indem der Sitzungsstatus auf Browserebene direkt in die Scan-Pipeline von ZAP eingebunden wird.

Nikto

Nikto ist ein Open-Source-Webserver-Scanner, der auf gefährliche Dateien und CGIs, veraltete Serversoftware, Fehlkonfigurationen und andere häufige Probleme prüft. Er ist ausschließlich über die Kommandozeile bedienbar und verfügt über keine grafische Benutzeroberfläche.

Neueste Aktualisierungen:

Deutlich schnellere Scans
Neue domänenspezifische Sprache (DSL) zur Definition von Prüfungen
Änderungen im Berichtsformat; Cookies sind standardmäßig aktiviert
Randomisierter User-Agent zur Reduzierung von Fingerprinting
Das LFI-Testmodul (Local File Inclusion) wurde neu geschrieben.
Lizenz geändert auf GPLv3 ⁷

Einschränkung: Keine grafische Benutzeroberfläche; Bedienung ausschließlich über die Kommandozeile, was eine Hürde für technisch nicht versierte Benutzer darstellt.

Arachni

Das GitHub-Repository von Arachni kennzeichnet das Projekt nun explizit als veraltet. Die letzte Version stammt aus dem Jahr 2022 (Version 1.6.1.3), und das Projekt wird nicht mehr aktiv weiterentwickelt. Sein modulares Design und seine fortschrittlichen Crawling-Funktionen waren während seiner aktiven Jahre bemerkenswert, doch sollten Teams es als veraltet betrachten und ZAP oder Wapiti als Alternativen in Betracht ziehen.

OpenVAS

OpenVAS ist ein Open-Source-Schwachstellenscanner, der Sicherheitsprobleme in Computersystemen und Netzwerken aufspürt und den Kern des Greenbone Vulnerability Management (GVM)-Frameworks bildet. Er scannt sowohl kleine als auch große Unternehmensumgebungen nach bekannten CVEs, Fehlkonfigurationen und veralteter Software.

Klassifizierungshinweis: OpenVAS ist primär ein Netzwerk- und Host-Schwachstellenscanner und kein DAST-Tool für Webanwendungen im herkömmlichen Sinne. Es gehört als häufig verwendetes ergänzendes Tool in diese Liste, ersetzt aber weder ZAP noch Wapiti für dynamische Webanwendungstests (Formular-Injection, Session-Management, clientseitige Logik). Verwenden Sie es für die Host-/Netzwerkabdeckung; für die Oberflächenabdeckung von Webanwendungen verwenden Sie ZAP oder Wapiti.

Wapiti

Wapiti ist ein Black-Box-Web-Schwachstellenscanner. Er durchsucht eine bereitgestellte Webanwendung, extrahiert Links, Formulare und Skripte und injiziert anschließend Schadcode in die gefundenen Parameter, um ungewöhnliches Anwendungsverhalten zu erkennen, das auf Schwachstellen hinweist. Zusätzlich bietet er einen passiven Modus zur Verkehrsanalyse ohne aktives Fuzzing.

Wapiti unterstützt benutzerdefinierte Skripte, um seine Fähigkeiten zur Schwachstellenerkennung zu erweitern, was es in speziellen Umgebungen nützlich macht, in denen der Standardregelsatz erweitert werden muss.

Proprietäre Tools, die für Open-Source-Projekte kostenlos sind

CI Fuzz (Code Intelligence)

Ein Kommandozeilen-Tool für Fuzz-Tests, das sich auf eingebettete Anwendungen, insbesondere in der Automobil- und Medizintechnik, konzentriert. Kostenlos für Open-Source-Projekte.

StackHawk (HawkScan)

StackHawk ist das etablierteste kostenlose Tool für API-Sicherheitstests in dieser Liste und eines der wenigen kommerziellen DAST-Produkte, das sich primär auf API-Tests konzentriert. Entwickler von Open-Source-Projekten können es kostenlos nutzen.

Die Plattform von StackHawk wurde über reine API-Tests hinaus erweitert und umfasst nun auch die Erkennung von Angriffsflächen im Quellcode, Laufzeittests und moderne AJAX-Spider-Funktionen (SPA-Framework-basiertes Crawling). Die kostenlose Open-Source-Version bleibt weiterhin verfügbar, während die kommerzielle Plattform darum herum ausgebaut wird.

Aktuelle Veröffentlichungen:

Version 5.3.0 (17. Februar 2026): JSON-RPC-Scanning hinzugefügt; Modern AJAX Spider für SPA-Framework-Kompatibilität neu geschrieben; DOM-XSS-Senkenerkennung hinzugefügt; Migration zu Chrome/Puppeteer für Browserautomatisierung; schnellere Initialisierung
Version 5.2.0 (15. Januar 2026): Verbesserter Workflow zur Alarmpriorisierung; reduzierte Fehlalarmrate bei SQL-Injection-Angriffen. ⁸

Proprietäre Tools mit kostenlosen Community-Editionen

Weitere Informationen zu diesen Tools finden Sie unter Tenable Nessus Alternativen oder in einer vollständigen Liste der DAST-Tools .

Weitere kostenlose Tools für Anwendungssicherheit

DAST ist eine Komponente eines umfassenderen Programms zur Anwendungssicherheit. Open-Source- und kostenlose SAST-Tools bieten ergänzende statische Analysen und decken Probleme auf Codeebene auf, die DAST zur Laufzeit nicht erkennen kann. Ein ausgereiftes Sicherheitskonzept kombiniert beide Ansätze.

Im Jahr 2026 wird sich der Markt in Richtung der Korrelation von DAST- und SAST-Ergebnissen bewegen, um Laufzeitschwachstellen aufzudecken und diese gleichzeitig bis zur spezifischen Codestelle zurückzuverfolgen. Snyks „AI Security Fabric“ ist ein Beispiel dafür, wie diese Entwicklung von einem manuellen Prozess zu einem Standardprodukt wird. ⁹

Vorteile von Open-Source-DAST-Tools

Sie bieten eine schnelle und kostengünstige Möglichkeit, der aktuellen Bedrohung durch externe Akteure zu begegnen, indem sie Testmöglichkeiten für Organisationen jeder Größe und mit jedem Budget bereitstellen:

Geringere Vorabkosten : Keine Lizenzverhandlungen oder Beschaffungsprozesse. Herunterladen, konfigurieren und scannen.
Schnelle Bereitstellung: Für Teams ohne etablierte Sicherheitstest-Pipeline kann ein Tool wie ZAP oder Nikto innerhalb weniger Stunden nach der Entscheidung zum Testen in einer Testumgebung eingesetzt werden.
Einfachere Konfiguration für Standardanwendungsfälle : Mehrere Tools in dieser Liste funktionieren sofort gut für gängige Webanwendungsmuster, ohne dass eine tiefgreifende Anpassung erforderlich ist.
Aktive Communitys : Die etabliertesten Tools (insbesondere ZAP) verfügen über große Nutzergemeinschaften, öffentliche Dokumentation und gepflegte Add-on-Ökosysteme. Community-Foren ersetzen den Herstellersupport, der bei kostenpflichtigen Tools üblicherweise enthalten ist.
Keine Anbieterbindung : Die Ergebnisse gehören Ihnen. Die Integration in CI/CD-Pipelines ist flexibel, da die Tools offen und skriptfähig sind.

Empfehlungen zur Auswahl eines Open-Source-DAST-Tools

Sie können diese Lösungen ganz einfach in Testläufen mit den Anwendungen Ihres Unternehmens ausprobieren und Alternativen vergleichen. Es ist wichtig, diese für verschiedene Lösungen zu messen:

Prozentsatz der korrekt identifizierten Schwachstellen
Prozentsatz falsch positiver Ergebnisse an allen identifizierten Schwachstellen
Leitfaden zur Problembehebung: Wie hilfreich ist das Tool bei der Beschreibung von Lösungsansätzen?
CI/CD-Integration : Kann sie ohne manuelle Eingriffe im Headless-Modus in einer Pipeline ausgeführt werden?
Scangeschwindigkeit : Wenn sie die Bereitstellung behindert, stellt ein 45-minütiger Scan einer großen Anwendung ein Workflow-Problem dar.
Ressourcennutzung : Tiefe aktive Scans sind rechenintensiv; stellen Sie sicher, dass die Testinfrastruktur entsprechend dimensioniert ist.
Anpassung : Unterstützt das Tool Erweiterungen oder benutzerdefinierte Regeln für den spezifischen Technologie-Stack Ihrer Anwendung?

Warum überhaupt in DAST investieren?

DAST deckt eine Klasse von Schwachstellen auf, die statische Analysen und Code-Reviews regelmäßig übersehen, insbesondere Probleme, die erst dann auftreten, wenn die Anwendung läuft und reale Anfragen verarbeitet. Authentifizierungsschwächen, Fehler im Sitzungsmanagement und Fehlkonfigurationen in der bereitgestellten Infrastruktur sind die häufigsten Beispiele.

Die drei Hauptangriffsvektoren für Unternehmen sind kompromittierte Zugangsdaten, Phishing und die Ausnutzung von Sicherheitslücken. Unverschlüsselte Daten während der Übertragung stellen einen Schnittpunkt aller drei dar. DAST testet direkt:

Ob sensible Daten während der Übertragung offengelegt werden
Ob Sitzungstoken abgefangen oder gefälscht werden können
Ob Authentifizierungsmaßnahmen (Passwortrichtlinien, Kontosperrung, Autorisierungsprüfungen) aktiver Manipulation standhalten

Die Folgen von Fehlern in diesen Bereichen, wie etwa Finanzdiebstahl, Offenlegung personenbezogener Daten und Betriebsstörungen, sind gut dokumentiert und die Kosten steigen von Jahr zu Jahr.

Mehr zu DAST- und AppSec-Tests

Referenzlinks

https://owasp.org/www-community/Free_for_Open_Source_Application_Security_Tools)“.

Release Nikto 2.6.0 · sullo/nikto · GitHub

Changelog | StackHawk Documentation

StackHawk

Snyk Unveils the AI Security Fabric: An Adaptive System to Unleash AI Innovators Securely | Snyk

Snyk

Cem Dilmegani

Leitender Analyst

Folgen auf

Cem ist seit 2017 leitender Analyst bei AIMultiple. AIMultiple informiert monatlich Hunderttausende von Unternehmen (laut similarWeb), darunter 55 % der Fortune 500. Cems Arbeit wurde von führenden globalen Publikationen wie Business Insider, Forbes und der Washington Post, von globalen Unternehmen wie Deloitte und HPE sowie von NGOs wie dem Weltwirtschaftsforum und supranationalen Organisationen wie der Europäischen Kommission zitiert. Weitere namhafte Unternehmen und Ressourcen, die AIMultiple referenziert haben, finden Sie hier. Im Laufe seiner Karriere war Cem als Technologieberater, Technologieeinkäufer und Technologieunternehmer tätig. Über ein Jahrzehnt lang beriet er Unternehmen bei McKinsey & Company und Altman Solon in ihren Technologieentscheidungen. Er veröffentlichte außerdem einen McKinsey-Bericht zur Digitalisierung. Bei einem Telekommunikationsunternehmen leitete er die Technologiestrategie und -beschaffung und berichtete direkt an den CEO. Darüber hinaus verantwortete er das kommerzielle Wachstum des Deep-Tech-Unternehmens Hypatos, das innerhalb von zwei Jahren von null auf einen siebenstelligen jährlichen wiederkehrenden Umsatz und eine neunstellige Unternehmensbewertung kam. Cems Arbeit bei Hypatos wurde von führenden Technologiepublikationen wie TechCrunch und Business Insider gewürdigt. Er ist ein gefragter Redner auf internationalen Technologiekonferenzen. Cem absolvierte sein Studium der Informatik an der Bogazici-Universität und besitzt einen MBA der Columbia Business School.

Vollständiges Profil anzeigen

Recherchiert von