Ein Pentester kommt an einen unbekannten Standort und sieht nur die Fassade. Die echten Schwachstellen, SQL-Injections, XSS, Path-Traversal, verbergen sich in der Tiefe: versteckte Verzeichnisse, vergessene Endpunkte, nicht offensichtliche Request-Parameter. Manuelles Durchsuchen kostet Stunden. Automatisiertes Durchsuchen verfehlt ohne das richtige Werkzeug entweder kritische Einstiegspunkte oder legt die Anwendung mit einer Flut von Requests lahm.

Burp Suite Professional löst diese Aufgabe mit der Kombination „Crawler + Scanner". Ein Durchlauf, und Sie haben eine Anwendungskarte, bei der jede Seite auf Dutzende Schwachstellenklassen geprüft ist. Alles in einem Fenster, ohne Skripte oder Kommandozeile.

Dieser Leitfaden ist eine schrittweise Aufschlüsselung des Burp Suite Crawlers und Scanners: vom grundlegenden Durchsuchen bis zur Feinabstimmung des Audits. Screenshots sind aktuell für Versionen ab 2024, die Logik hat sich seit Burp 2.0 nicht geändert. Wir behandeln Crawl, Audit und den kombinierten Crawl-and-Audit-Modus.

💡 Kurzüberblick:

• Starten Sie einen einfachen Crawl-Scan: Registerkarte Dashboard, Neuer Scan, Crawl, Sie erhalten eine Sitemap unter Target.
• Konfigurieren Sie den Crawler für Ihre Aufgabe: Schließen Sie URLs außerhalb des Geltungsbereichs aus, fügen Sie Zugangsdaten hinzu, passen Sie den Request-Pool an.
• Wechseln Sie zum Audit: Audit Selected Items bei einer beliebigen URL aus der Karte, Burp findet Schwachstellen und ordnet sie nach Schweregrad.
• Kombinieren Sie Crawl + Audit für End-to-End-Tests: Der Crawler durchsucht die Seite, der Scanner prüft jede entdeckte Seite sofort.
• Schließen Sie die Analyse ab, indem Sie die Advisory studieren: Payload, Request/Response, CVSS und Behebungsschritte.

Was ein Web-Crawler in Burp Suite ist

Ein Web-Crawler (auch Spider genannt) ist ein Mechanismus, der eine Webanwendung durchläuft: Er folgt Links, sendet Formulare ab und meldet sich in geschützten Bereichen an. Das Ergebnis ist eine baumartige Sitemap auf der Registerkarte Target, bei der jede URL mit HTTP-Methoden und Request-Parametern versehen ist.

Bis Version 1.7 verwendete Burp Suite Spider, ein separates Werkzeug mit eigener Registerkarte. Ab Burp 2.0 hat PortSwigger es durch Crawler ersetzt, der direkt im Dashboard integriert ist. Alle automatisierten Aktionen, Durchsuchen, Auditieren, Protokollieren, sind in einem Fenster zusammengefasst. Verwaltung: Pausieren/Fortsetzen für jede Aufgabe separat.

Im Wesentlichen macht der Crawler dasselbe wie DirBuster oder Dirb: Er enumeriert Verzeichnisse, zeichnet versteckte URLs auf. Aber anders als diese analysiert Burp Crawler den Seiteninhalt, führt JavaScript aus (sofern die Analyse aktiviert ist) und versteht die Navigationslogik der Anwendung. DirBuster und Dirb erzwingen lediglich einen Brute-Force-Angriff mithilfe einer Wortliste. Crawler erstellt einen Anwendungsgraphen.

Ausführen des Crawlers: Grundlegendes Scannen

Öffnen Sie Burp Suite und wechseln Sie zur Registerkarte Dashboard. Das Panel ist in vier Zonen unterteilt:

• Tasks, alle laufenden Durchsuchungen und Scans. Von hier aus können Sie jede Aufgabe pausieren, fortsetzen und Details einsehen.
• Event log, Burp Suite-Ereignisse: Proxy-Start, Modulfehler, Scan-Abschluss.
• Issue activity, entdeckte Schwachstellen mit Filterung nach Schweregrad und Typ.
• Advisories, detaillierte Karte für die ausgewählte Schwachstelle: Payload, Request/Response und CVSS.

Klicken Sie oben im Abschnitt Tasks auf die Schaltfläche New Scan.

Ein Popup-Fenster für einen neuen Scan erscheint mit zwei Optionen:

• Crawl and audit, Durchsuchung + Audit in einem Durchlauf;
• Crawl, nur Durchsuchung.

Wählen Sie für eine erste Einführung Crawl. Geben Sie eine Test-URL ein, zum Beispiel http://testphp.vulnweb.com, und klicken Sie auf OK.

Das Fenster schließt sich. Im Dashboard unter Tasks erscheint eine neue Aufgabe, „Crawl testphp.vulnweb.com". Das Event log bestätigt das Ereignis „Crawl started".

Nach ein paar Minuten ist die Aufgabe abgeschlossen. Das Ergebnis finden Sie auf der Registerkarte Target, der Crawler gibt die Sitemap dort in Form eines URL-Baums aus.

Im rechten Panel ist jede URL mit HTTP-Methoden und einer Spalte Parameters versehen. Parameter zeigen Einstiegspunkte an, die potenziell anfällig für Injections sind. Doppelklicken Sie auf die Spaltenüberschrift Parameters, URLs mit Parametern werden nach oben sortiert.

Das linke Panel von Target wird vom Seitenbaum eingenommen, der anklickbar ist und eine URL-Verschachtelung aufweist. Wählen Sie ein beliebiges Verzeichnis aus, das rechte Panel zeigt sofort dessen Methoden und Parameter an.

Feinabstimmung des Crawlers

Das grundlegende Durchsuchen reicht für einfache Seiten aus. Eine reale Anwendung ist jedoch komplexer: Einige Seiten liegen außerhalb des Geltungsbereichs, geschlossene Bereiche erfordern eine Autorisierung, und eine fragile Anwendung hält Dutzenden gleichzeitiger Requests nicht stand.

Wir kehren zum Dashboard zurück, klicken erneut auf New Scan, beeilen uns jetzt aber nicht mit OK. Wir konfigurieren.

Ausschließen von URLs außerhalb des Geltungsbereichs

Im Abschnitt Scan details finden Sie Detailed scope configuration. Gehen Sie zu Excluded URL prefixes und fügen Sie eine URL hinzu, die nicht in die Durchsuchung einbezogen werden soll, zum Beispiel http://testphp.vulnweb.com/signup.php.

Erstellen einer benutzerdefinierten Konfiguration

Gehen Sie zu Scan configuration und klicken Sie auf die Schaltfläche New.

Es öffnet sich ein Fenster mit Parametern. Den Konfigurationsnamen können Sie auf dem Standardwert belassen. Der entscheidende Parameter ist Crawl-Optimierung: Ein Schieberegler von „Schnellste" bis „Tiefste" bestimmt, wie tief der Crawler in die Anwendung eindringt. Für einen Produktionstest setzen Sie ihn näher an „Tiefste", für eine schnelle Erkundung näher an „Schnellste".

Hier werden auch Zeit- und Seitenanzahlbegrenzungen festgelegt. Sinnvolle Werte für eine mittelgroße Anwendung: Maximale Crawl-Zeit 50 Minuten, Maximal gefundene eindeutige Adressen 5000.

Zugangsdaten für geschlossene Bereiche

Falls die Anwendung eine Anmeldung erfordert, aktivieren Sie die Kontrollkästchen An Benutzerregistrierungsportalen anmelden und Mit ungültigen Anmeldedaten anmelden. Der Crawler versucht dann, sich mit Zufallsdaten zu registrieren oder bewusst falsche Anmeldedaten zu verwenden, um das Verhalten der Seite bei fehlgeschlagener Authentifizierung zu beobachten.

Klicken Sie auf Speichern, die Konfiguration erscheint in der Dropdown-Liste der Scan-Konfigurationen.

Nun hinterlegen wir echte Anmeldedaten, diese sind nützlich, wenn der Crawler auf ein Admin-Portal oder einen geschlossenen Bereich stößt. Wechseln Sie in den Bereich Anwendungsanmeldung und klicken Sie auf Erstellen.

Geben Sie Benutzernamen und Passwort ein und klicken Sie auf OK.

Ressourcenpool und gleichzeitige Anfragen

Der Bereich Ressourcenpool steuert, wie viele gleichzeitige Anfragen der Crawler mit welcher Verzögerung an die Anwendung sendet. Bei einer fragilen Anwendung reduzieren Sie die Anzahl der Threads und erhöhen die Verzögerung. Für einen Demo-Aufbau belassen wir die Standardwerte.

Klicken Sie auf OK, der Crawler startet mit der angegebenen Konfiguration. Den Fortschritt verfolgen wir im Dashboard.

Nach Abschluss wechseln wir in den Reiter „Ziel". Die Seite signup.php fehlt in der Sitemap, der ausgeschlossene Präfix hat wie vorgesehen funktioniert.

Schwachstellenscan: Audit-Modus

Der Crawler liefert eine Anwendungslandkarte. Der Audit geht weiter: Er prüft die gefundenen URLs auf Schwachstellen, SQL-Injections, XSS, Command Injection, Path Traversal und Dutzende weiterer Klassen. In der Terminologie von Burp Suite nennt man das „Active Scanning".

Anders als das passive Scanning (Analyse der Antworten ohne zusätzliche Anfragen) sendet das aktive Audit modifizierte Anfragen mit Payloads und interpretiert die Reaktion der Anwendung.

Audit mit den Standardeinstellungen

Wenn die Anwendung bereits vom Crawler gescannt wurde, können Sie jede URL aus der Site-Map auditieren. Klicken Sie im Tab „Target" mit der rechten Maustaste auf die Basis-URL und wählen Sie Scan.

Das Fenster „New Scan" öffnet sich erneut, jetzt ist jedoch die Option Audit selected items aktiv. Alle URLs aus der Site-Map werden automatisch in das Feld „Items to scan" übernommen. Klicken Sie auf OK.

Wir wechseln zum Dashboard. Das Bild hat sich verändert: Die Bereiche Tasks und Event log sind aktiv, und vor allem enthalten Issue activity und Advisories jetzt Daten.

Innerhalb weniger Minuten hat der Scanner rund 17.000 Anfragen gesendet und Schwachstellen identifiziert, gruppiert nach Schweregrad: Hoch (rot), Mittel (gelb), Information (grau).

Es öffnet sich ein Fenster mit einer vollständigen Aufschlüsselung. Der Tab Audit items zeigt die geprüften URLs und die Anzahl der gefundenen Schwachstellen.

Der Tab Issue activity zeigt dieselben Informationen, aufgeschlüsselt nach Schweregrad. Jede Schwachstelle lässt sich aufklappen, um die Advisory einzusehen.

Der Tab Advisories zeigt die vollständige Karteikarte der ausgewählten Schwachstelle. Oben stehen URL, Schweregrad, Konfidenz und CVSS-Score. Darunter folgen Beschreibung, Behebungsempfehlungen und Links zu externen Ressourcen zu dieser Schwachstellenklasse.

Um die konkrete HTTP-Anfrage und -Antwort zu sehen, die den Befund ausgelöst hat, wechseln Sie zum Tab HTTP request/response. Hier sehen Sie die Payload, die Burp an die Anwendung gesendet hat, und die Serverantwort, die die Schwachstelle bestätigt.

Feinabstimmung des Audits

Das Standard-Audit deckt alle Schwachstellenklassen ab. Manchmal müssen Sie den Fokus jedoch eingrenzen: nur SQL-Injections prüfen oder nur XSS. Oder umgekehrt benutzerdefinierte Prüfungen für eine bestimmte API hinzufügen.

Ein Audit-Profil erstellen

Wir öffnen erneut das Fenster „New Scan". Klicken Sie im Abschnitt „Scan configuration" auf New, um eine Audit-Konfiguration zu erstellen.

Wechseln Sie im sich öffnenden Fenster zum Tab Audit optimization. Hier gibt es drei Stufen:

• Default, Standardabdeckung, ausgewogenes Verhältnis von Geschwindigkeit und Tiefe;
• Thorough, erweiterter Satz an Payloads und tiefere Prüfung jedes Parameters;
• Fast, schlanker Modus, weniger Anfragen und Prüfungen.

Der Abschnitt Issues reported erlaubt es Ihnen, bestimmte Schwachstellenklassen auszuwählen. Lassen Sie beispielsweise nur SQL-Injection und Cross-Site-Scripting aktiv, dann verschwendet der Scanner keine Zeit mit der Prüfung auf Path Traversal oder Command Injection.

Auf der Registerkarte Auditoptimierung > Benutzerdefiniert können Sie die Überschneidung von Klassen und die Intensität der Prüfungen genauer konfigurieren.

Scan-Typen

Auf der Registerkarte Auditoptimierung finden Sie den Bereich Scan-Typ mit vier Aggressivitätsstufen:

• Passiv, nur Traffic-Analyse, keine zusätzlichen Requests. Produktionssicher, findet jedoch nur Header- und Konfigurationsprobleme.
• Leicht aktiv, minimaler Satz aktiver Prüfungen. Kompromiss zwischen Abdeckung und Risiko.
• Mittel aktiv, mehr Prüfungen, mittlere Last. Für Staging-Umgebungen.
• Intrusiv, voller Satz, einschließlich destruktiver Prüfungen. Nur auf isolierten Testsystemen.

An gleicher Stelle kann optional die JavaScript-Analyse aktiviert werden, wobei der Crawler JS ausführt, um dynamische Inhalte und versteckte Endpunkte in SPA-Anwendungen zu entdecken.

Die endgültige Wahl des Scan-Typs wird oben im Konfigurationsfenster angezeigt.

Insertion Points

Insertion Points sind Positionen innerhalb von Requests, an denen Burp Payloads einfügt. Standardmäßig ermittelt der Scanner diese automatisch: URL-Parameter, POST-Body, Header, Cookies. Im erweiterten Modus können Sie den Satz der Positionen einschränken oder erweitern.

Wir speichern die Konfiguration, sie erscheint in der Dropdown-Liste.

Klicken Sie auf OK. Der Scanner sendet etwa 2.700 Requests (gegenüber 17.000 bei einem vollständigen Audit) und findet eine Schwachstelle mit hohem Schweregrad.

Wenn Sie nun im Target-Bereich mit der rechten Maustaste auf eine URL klicken, erscheinen nicht eine, sondern zwei Scan-Optionen: die Standardkonfiguration und unsere benutzerdefinierte.

Integrierte Prüfungen aus der Bibliothek

Eine manuelle Audit-Konfiguration ist nicht erforderlich. Burp Suite wird mit einer Bibliothek vorgefertigter Profile ausgeliefert. Klicken Sie beim Erstellen einer neuen Konfiguration unten im Fenster auf Aus Bibliothek auswählen.

Wählen Sie ein beliebiges integriertes Profil aus, beispielsweise eines, das auf eine bestimmte Schwachstellenklasse oder einen Anwendungstyp zugeschnitten ist.

Das ausgewählte Profil wird in das Fenster „New Scan" übernommen.

Klicken Sie auf OK. Nach Abschluss des Audits zeigt das URL-Kontextmenü in „Target" drei Scan-Optionen an: default, custom und library.

Scan und Audit in einem Durchlauf

Bisher haben wir den Crawler und das Audit getrennt ausgeführt. Burp Suite unterstützt jedoch einen durchgängigen Crawl and Audit-Modus: Zuerst durchläuft es die Anwendung und prüft dann unmittelbar alle gefundenen Inhalte auf Schwachstellen.

Klicken Sie im Dashboard erneut auf New Scan, wählen Sie Crawl and audit und geben Sie die URL ein.

Im Konfigurationsbereich fragt Burp beim Klick auf Create, welcher Teil konfiguriert werden soll: Crawler-Optimierung oder Audit-Parameter. Die internen Parameter sind dieselben, die wir bereits bei der getrennten Betrachtung gesehen haben.

Dies ist der Hauptmodus für produktive Pentests: Ein Durchlauf deckt sowohl die Erkundung als auch die Schwachstellenerkennung ab. Bei großen Anwendungen mit Zehntausenden von Seiten ist es schneller, den Vorgang in zwei Phasen aufzuteilen, zuerst den Crawler, dann das Audit. Für die meisten Websites liefert „Crawl and Audit" die Ergebnisse jedoch in einem Durchgang.

Aufgabenverwaltung: Löschen und Aufräumen

Abgeschlossene und veraltete Aufgaben sollten gelöscht werden, um eine Überfrachtung des Dashboards zu vermeiden. Klicken Sie auf das Papierkorb-Symbol neben der Aufgabe.

Bestätigen Sie die Löschung im Popup-Fenster.

Aufgaben werden mitsamt aller gesammelten Daten sofort gelöscht. Stellen Sie vor dem Löschen sicher, dass die Audit-Ergebnisse gespeichert oder exportiert wurden.

Video: Vollständige Aufschlüsselung des Burp Suite Scanners

Crawler und Scanner sind nur ein Teil von Burp Suite. Dieses Video behandelt den vollständigen Pentest-Zyklus: von der Proxy-Konfiguration bis zum aktiven Audit und der Ausnutzung entdeckter Schwachstellen.

⁉️🤔 Häufig gestellte Fragen

Wie unterscheidet sich der Burp Suite Crawler von DirBuster und Dirb?

DirBuster und Dirb arbeiten wörterbuchbasiert und zählen Verzeichnisnamen aus einer vorgefertigten Liste auf. Der Burp Suite Crawler erstellt einen Anwendungsgraphen: Er analysiert Seiteninhalte, extrahiert Links, sendet Formulare ab und kann sich anmelden. Das Ergebnis ist eine Anwendungskarte mit Navigationsbeziehungen, Methoden und Parametern. Er findet, was Wörterbücher nicht enthalten: dynamische URLs, Einstiegspunkte über JavaScript-Weiterleitungen und versteckte Endpunkte hinter Login-Formularen.

Welche Burp Suite Version wird für Crawler und Audit benötigt?

Crawler und aktiver Audit sind nur in Burp Suite Professional verfügbar (499 USD pro Nutzer und Jahr für 2026, Burp Suite Professional Preise). Die Community Edition enthält Proxy, Repeater, Intruder mit Ratenbegrenzung und Decoder, jedoch nicht Crawler und nicht Scanner. Professional bietet beide Werkzeuge plus unbegrenzten Intruder, Collaborator und BCheck-Skripte für benutzerdefinierte Prüfungen. Ab Version 2025 enthält Professional zudem Burp AI, einen KI-Assistenten zur Interpretation von Scanergebnissen. Die Enterprise Edition ergänzt CI/CD-Integration, Zeitplanung und Teamzusammenarbeit.

Kann man eine Website scannen, die aus dem Internet nicht sichtbar ist?

Crawler und Audit arbeiten über den Upstream-Proxy von Burp Suite. Alles, was für den Browser über Burp Proxy erreichbar ist, ist auch für den Crawler erreichbar: localhost, Staging-Server hinter VPN, Unternehmensportale. Es ist keine zusätzliche Netzwerkkonfiguration erforderlich, der Scope wird über den Target-Scope festgelegt.

Wie vermeidet man Produktionsausfälle durch aktives Auditing?

Wählen Sie Light active anstelle von Intrusive. Deaktivieren Sie Prüfungen mit Risiko von Datenkorruption: SQL-Injection mit INSERT/UPDATE/DELETE, destruktive Command Injection, Datei-Upload. Drei Regeln: (1) Erster Durchlauf nur passiv, (2) zweiter Durchlauf Light active ohne intrusive Prüfungen, (3) Intrusive nur auf Staging. Ressourcen-Pool: 1 Thread, 500 ms Verzögerung.

Was ist der Unterschied zwischen passivem Audit und aktivem Audit?

Passives Auditing (Passive scanning) sendet keine neuen Anfragen, sondern analysiert den bereits durch den Proxy gelaufenen Datenverkehr: Header, Cookies, Antworttexte. Aktives Auditing (Active scanning) generiert neue Anfragen mit modifizierten Payloads. Passiv findet keine SQL-Injection, identifiziert aber fehlende Sicherheitsheader und Cookies ohne HttpOnly/Secure. In der Praxis werden beide nacheinander eingesetzt: passiv während des Surfens, aktiv mit Fokus auf interessante Endpunkte.

Wie relevant ist Burp Suite im Jahr 2026?

Burp Suite bleibt der De-facto-Standard für Web-Pentesting. 2025 hat PortSwigger einen KI-Assistenten für die Schwachstellenanalyse hinzugefügt, 2026 einen kombinierten Professional/Community-Installer, Markdown-Notizen und erweiterte HTTP-Traffic-Kontrolle. Wettbewerber (OWASP ZAP, Caido) holen auf, aber bei der Tiefe des aktiven Audits und dem Erweiterungs-Ökosystem ist Burp nach wie vor außer Reichweite.

Welchen Burp Suite Modus Sie für Ihre Aufgabe wählen sollten

Crawler, Audit oder beides gleichzeitig, die Wahl hängt von der Pentest-Phase und dem Ziel ab.

Wenn Sie vor der manuellen Analyse eine Anwendungskarte erstellen müssen, führen Sie Crawl mit der Optimierung Deepest aus. Hinterlegen Sie Zugangsdaten für geschlossene Bereiche und schließen Sie URLs außerhalb des Scopes aus (Logout-Seiten, Passwort-Zurücksetzen).

Wenn die Karte bereits existiert und das Ziel darin besteht, Schwachstellen zu finden, setzen Sie Audit auf eine bestimmte Menge von URLs an. Für den ersten Durchlauf Passive + Light active. Intrusive heben Sie sich für Staging auf.

Für umfassende Tests „von Grund auf" wählen Sie Crawl and Audit. Ein Durchlauf, minimale manuelle Eingriffe.

Und die wichtigste Regel: Führen Sie Intrusive niemals auf fremder Produktion ohne schriftliche Einwilligung aus. Selbst Light active hinterlässt Spuren in Server-Logs.