Um in ein System (Web-Anwendung, Server, Dienst, Netzwerk …) einzudringen, nutzen Angreifer:innen oft bekannte Sicherheitslücken oder Fehlkonfigurationen aus. Ein Schwachstellen-Scan soll nachweisen, dass das vorliegende System keine bekannten Schwachstellen aufweist, die ein:e Angreifer:in ausnutzen könnte oder die generell die Gesamtsicherheit eines Systems gefährden. Ein Scan nach Schwachstellen ist nicht einem Penetrationstest gleichzusetzen, kann aber eine erste Analyse zur Sicherheit eines Systems sein.