Schwachstellenmanagement: So behalten Unternehmen Sicherheitslücken im Griff

Unternehmen sehen sich mit einer überwältigenden Menge neu bekannt gewordener Sicherheitslücken konfrontiert, sodass es unmöglich ist, jedem Problem die gleiche Priorität einzuräumen. Das Schwachstellenmanagement bietet einen strukturierten, kontinuierlichen Ansatz zur Erkennung, Bewertung, Priorisierung und Behebung von Sicherheitslücken. Dies hilft Unternehmen, Risiken zu reduzieren, ihre Widerstandsfähigkeit zu verbessern und den steigenden regulatorischen Anforderungen gerecht zu werden.

Kernpunkte dieses Artikels:

• Schwachstellenmanagement (VM) ist der Prozess, bei dem systematisch ermittelt wird, an welchen Stellen die IT-Infrastruktur Ihres Unternehmens wahrscheinlich angegriffen wird, um diese Angriffspunkte anschließend zu schließen.
• Oftmals werden dabei bestehende, eigenständige Techniken einbezogen und zu einem strukturierten, kontinuierlichen Prozess zusammengeführt, der Sicherheitslücken aufspürt, priorisiert und anschließend behebt.
• Im Rahmen dieses Prozesses kann das VM sowohl Schwachstellenscans als auch das Patch-Management einbeziehen oder nutzen.
• In den letzten Jahren haben gesetzliche Vorschriften, darunter NIS2, DORA und CRA in der EU, die Erwartung an einen dokumentierten Umgang mit Schwachstellen geschaffen.

Einleitung: Ein kurzer Überblick über CVEs

Jedes Jahr werden von Sicherheitsforschern Zehntausende von Schwachstellen identifiziert: Derzeit sind über 350.000 in der „Common Vulnerabilities and Exposures“ (CVE)-Datenbank gelistet. Von den fast 50.000 CVEs, die allein im Jahr 2025 veröffentlicht wurden, wurden 3.984 als „kritisch“ eingestuft. Sie betrafen Betriebssysteme wie Windows, Linux und macOS ebenso wie Android und den Adobe Experience Manager, eine Web-Suite, die viele große Websites unterstützt.

Eine Prognose des „Forum of Incident Response and Security Teams“ (FIRST) vom Februar 2026 ging davon aus, dass diese Zahl im folgenden Jahr auf fast 60.000 ansteigen würde. Im Juni 2026 verzeichnete die CVE-Datenbank, ein Projekt zur langfristigen Verfolgung von CVE-Trends, bereits über 41.000 veröffentlichte Schwachstellen. Tendenz: stark steigend.

Die gute Nachricht ist allerdings: Nur ein kleiner Teil dieser Schwachstellen stellt für die eigene Organisation tatsächlich ein akutes Risiko dar. Ob eine Sicherheitslücke relevant ist, hängt unter anderem davon ab, welche Systeme betroffen sind, wie sie genutzt werden und ob bereits Exploits existieren.

Genau an diesem Punkt setzt Schwachstellenmanagement an. Statt jede neu veröffentlichte CVE gleich zu behandeln, bewertet der Prozess das tatsächliche Risiko für das Unternehmen. So entsteht eine priorisierte Maßnahmenliste, die IT- und Security-Teams gezielt abarbeiten können. Gleichzeitig entsteht eine nachvollziehbare Dokumentation, die bei Audits und regulatorischen Anforderungen immer wichtiger wird.

Was ist Schwachstellenmanagement?

Schwachstellenmanagement ist ein kontinuierlicher Prozess, bei dem Schwachstellen in der Cybersicherheit der IT- und OT-Systeme eines Unternehmens sowie der zugehörigen Infrastruktur aufgedeckt, bewertet, priorisiert und behoben werden. Dabei handelt es sich nicht um ein einmaliges Projekt: Bei korrekter Umsetzung betrachten Teams den Prozess als zyklisch und kontinuierlich, proaktiv und als Mittel zur Risikominderung sowie zur Verringerung der Wahrscheinlichkeit, dass ein Cyberangriff erfolgreich ist.

Schwachstellenmanagement vs. Schwachstellenbewertung vs. Schwachstellenscan

Die meisten großen Cybersicherheitsplattformen, darunter auch die ESET PROTECT Platform, bieten Schwachstellenscans für Geräte und Dienste an. Dabei handelt es sich um automatisierte Scans, die dabei helfen, Ressourcen zu identifizieren und sie mit einer Datenbank bekannter Schwachstellen abzugleichen – beispielsweise ungepatchte Software oder riskante Konfigurationen – und anschließend eine Übersicht über die dringendsten Probleme zu erstellen. Das Endergebnis ist eine Momentaufnahme darüber, wie sicher ein System zu diesem Zeitpunkt ist. Vergangene oder zukünftige Probleme oder Risiken werden dabei nicht erfasst. Diese Art von Arbeit wird regelmäßig mithilfe von Schwachstellen- und Patch-Management-Diensten automatisiert.

Eine Schwachstellenbewertung ist aufwändiger und wird von Unternehmen oft in regelmäßigen Abständen durchgeführt. Häufig richtet sich der Zeitplan für diese Bewertungen nach Risiken oder regulatorischen Anforderungen. Neben den beim Scannen eingesetzten automatisierten Tools beinhalten diese Bewertungen auch eine manuelle Beurteilung, und der Umfang wird von einer einzelnen App oder einem einzelnen Gerät auf ein gesamtes Netzwerk, System oder Unternehmen ausgeweitet. Im Gegensatz zu einem Scan, der schnell und effizient durchgeführt werden kann, ist eine Bewertung in der Regel langwieriger, umfassender und in die langfristige Sicherheits- und Geschäftsstrategie des Unternehmens eingebunden.

Im Gegensatz dazu ist das Schwachstellenmanagement ein kontinuierlicher Prozess. Während man argumentieren könnte, dass ein Schwachstellenscan kurz, schnell und taktisch ist und eine Schwachstellenbewertung gelegentlich und strategisch, ist das Schwachstellenmanagement etwas anderes: ein proaktiver, sich ständig wiederholender Prozess, der die Organisation kontinuierlich gegen Angriffe absichert.

Patch-Management vs. Schwachstellenmanagement

Das Patch-Management ist ein wichtiger und wertvoller Prozess zum Schutz von Unternehmen. Es stellt sicher, dass die vom Unternehmen genutzten Geräte und Software auf dem neuesten Stand sind, und entlastet damit die Sicherheits- und IT-Teams (vorausgesetzt, die Patches der Anbieter sind von hoher Qualität). Es gewährleistet, dass die vom Unternehmen verwendete Software so stabil, sicher und konform wie möglich ist.

Das Patch-Management zielt darauf ab, sicherzustellen, dass die gesamte Hardware und Software einheitlich und nach einem vereinbarten Zeitplan aktualisiert wird. Dabei Updates verwendet, die vor ihrer Anwendung getestet und validiert wurden.

Zwar folgt dies im Großen und Ganzen derselben Philosophie wie das Schwachstellenmanagement, doch es deckt nur einen Aspekt der Cyber-Anfälligkeit eines Unternehmens ab und nur ein Element zu deren Behebung. Das Patch-Management ist von Natur aus reaktiv und hängt von den  veröffentlichten Updates ab.

Warum Schwachstellenmanagement gerade jetzt wichtig ist

Zwar sind Techniken wie das Patch-Management hervorragende Mittel zur Risikominderung, doch gibt es mittlerweile eine größere Anzahl potenzieller Schwachstellen, die von Jahr zu Jahr deutlich zuzunehmen scheint; Unternehmen betreiben immer komplexere Systeme, und die potenziellen Verluste durch einen Vorfall steigen.

Der Gesetzgeber hat darauf reagiert. Vorschriften wie NIS2 Artikel 21, DORA und CRA verlangen von Unternehmen einen nachvollziehbaren Umgang mit Cyberrisiken und Schwachstellen. Gefordert wird nicht nur das Erkennen von Sicherheitslücken, sondern ein dokumentierter Prozess, der ihre Bewertung, Priorisierung und Behebung umfasst.

Für viele Unternehmen ist Schwachstellenmanagement deshalb längst mehr als eine technische Aufgabe. Es ist ein zentraler Bestandteil des Risikomanagements und eine wichtige Voraussetzung, um Sicherheitsvorfälle zu vermeiden und Compliance-Anforderungen nachweisbar zu erfüllen.

Arten von Schwachstellen

Das Schwachstellenmanagement umfasst vier verschiedene Arten von Schwachstellen:

• Schwachstellen in Betriebssystemen und Software sind wahrscheinlich das, woran die meisten Menschen bei diesem Thema denken. Jeder hat schon einmal darauf gewartet, dass die Installation eines Betriebssystem-Updates abgeschlossen ist, und es gibt zahlreiche Berichte über die Verwendung von Standard-Anmeldedaten für kritische Systeme.
  • Auch Systeme und Software, die so veraltet sind, dass sie nicht mehr unterstützt werden, können in diese Liste fallen. Es ist erwähnenswert, dass Server, Netzwerk-Switches und IoT-Geräte alle in diese Kategorie fallen.
• Zu den Netzwerkschwachstellen zählen vor allem WLAN-Netzwerke mit veralteten, unzureichenden oder falsch konfigurierten Sicherheitsmaßnahmen; die gesamte Angriffsfläche des Netzwerks sollte jedoch alles umfassen, was dem Internet ausgesetzt ist – oder einem versierten Angreifer in unmittelbarer Nähe.
  • Eine veraltete Firewall, ein Router mit falschen Einstellungen oder offen gelassenen Ports sind die eine Sache. Eine andere ist es, wenn Ethernet-Anschlüsse in öffentlichen Bereichen von Bürogebäuden aktiv sind.
• Menschen sind ebenso anfällig und fallen auf Phishing-Angriffe und andere Social-Engineering-Taktiken herein. Sie wählen leichtfertig schwache Passwörter, lassen Smartphones im Bus und Laptops im Café liegen und nutzen nicht autorisierte Software oder Dienste zur Verarbeitung sensibler Daten.
• Prozessbezogene Schwachstellen verschärfen diese Probleme manchmal noch. Ihre Mitarbeiter wissen möglicherweise gar nicht, dass sie eine Sicherheitslücke verursachen, weil es keine Richtlinie für das Herunterladen von Software aus beliebigen Quellen oder für die Anmeldung bei dem neuesten KI-Trend gibt.
  • Hinzu kommen die Reaktion auf Sicherheitsvorfälle, die Art und Weise, wie neue Systeme integriert werden, sowie die Entscheidungsprozesse bezüglich der Speicherung, Verarbeitung und des Zugriffs auf sensible Informationen – und das ist erst der Anfang.

Der Lebenszyklus des Schwachstellenmanagements

Der Umgang mit diesen Schwachstellen und die Minderung ihrer potenziellen Auswirkungen sind fester Bestandteil des Schwachstellenmanagements. Es ist sowohl wünschenswert als auch gewissermaßen unvermeidlich, dass es einen Prozess gibt, der sicherstellt, dass dies auf zuverlässige und nachhaltige Weise geschieht.

1: Erkennung und Bestandsaufnahme der Ressourcen

Das Schwachstellenmanagement ist ein kontinuierlicher Kreislauf, dessen letzter Schritt darin besteht, zum ersten Punkt des Kreislaufs zurückzukehren: der Erkennung. Ziel ist es, ein umfassendes, kontinuierlich aktualisiertes Bestandsverzeichnis aller Ressourcen in Ihrer Organisation zu erstellen, wobei die Hinzufügung neuer Elemente sowie die Außerbetriebnahme nicht mehr benötigter Hardware, Software, Dienste und Berechtigungen berücksichtigt werden müssen.

Endgeräte, Server und Netzwerkgeräte stehen im Erfassungsprozess an erster Stelle, doch die Teams suchen auch nach Cloud-Diensten, Geräten des Internets der Dinge (IoT) und der Betriebstechnik (OT) sowie nach Containern. Die erfassten Daten sollten Angaben zum Eigentümer, zur Kritikalität für den Betrieb des Unternehmens, zum Standort (sowohl physisch als auch im Netzwerk), zur Software- und Betriebssystemauslastung usw. enthalten.

Vieles davon lässt sich durch automatisierte Erfassung sichern, anstatt auf manuell aktualisierte Tabellenkalkulationen zurückzugreifen, und eine gute Konfigurationsmanagement-Datenbank (CMDB) verfügt entweder bereits über eine Integration mit Netzwerkscans und agentenbasierter Erfassung oder ermöglicht diese.

Zwei weitere Punkte: Nicht verwaltete Geräte und Schatten-IT stellen beide ein enormes Risiko dar. Führen Sie für Ersteres eine Verwaltung ein und erarbeiten Sie für Letzteres eine pragmatische Richtlinie.

2: Bewerten und scannen

Nachdem Sie nun einen aktuellen Überblick über die Ressourcen in Ihrer Infrastruktur haben, besteht der nächste Schritt darin, regelmäßige Schwachstellenscans zu planen sowie einen Prozess für Scans zu bestimmten Zeitpunkten festzulegen, beispielsweise bei Software-Releases, der Inbetriebnahme neuer Ressourcen oder bei Vorfällen.

Kombinieren Sie dies mit Scans, die die Vorgehensweise eines Angreifers simulieren – nicht authentifizierte Scans, die die Anfälligkeit Ihres Unternehmens am Perimeter testen.

Es lohnt sich außerdem, die Scan-Ergebnisse mit Schwachstellenlisten von Anbietern und aus Open-Source-Quellen wie CVE abzugleichen und CIS-Benchmarks zur Durchführung von Konfigurationsbewertungen zu nutzen.

3: Prioritäten setzen

An dieser Stelle kann Ihr Team damit beginnen, auf der Grundlage des Risikos Prioritäten zu setzen: Sie verfügen über eine Liste von Systemen und eine Vorstellung davon, welchen Schwachstellen diese möglicherweise ausgesetzt sind. Eine reine Punktbewertung reicht nicht aus.

Berücksichtigen Sie zusätzlich, wie kritisch ein System ist, ob es bereits im Umlauf befindliche Exploits dafür gibt, wie stark es Angriffen ausgesetzt ist und welche Bedeutung es für das Unternehmen hat.

Das risikobasierte Schwachstellenmanagement (RVBM) ist hier hilfreich, damit Ihr Team Prioritäten nicht nur anhand der Assets mit dem höchsten CVSS-Wert (Common Vulnerability Scoring System) setzen kann.

4: Beheben

Der nächste Schritt besteht darin, die Ergebnisse der drei vorangegangenen Schritte zu berücksichtigen und dann entsprechende Maßnahmen zu ergreifen. Für jede betroffene Ressource gibt es drei Optionen: Patching, Risikominderung oder Akzeptanz.

• Patch: Wenden Sie mithilfe eines kontrollierten Patch-Management-Prozesses den entsprechenden, vom Hersteller bereitgestellten Fix an.
• Risikominderung: Richten Sie zusätzliche Sicherheitsmaßnahmen rund um das anfällige System ein. Dies kann so einfach sein wie das Deaktivieren bestimmter Dienste, das Hinzufügen von Regeln zu Ihrer Firewall oder die Isolierung des Systems im Netzwerk. Dies ist eine gute Option, wenn noch kein Patch entwickelt und veröffentlicht wurde oder wenn die Installation eines Patches Folgewirkungen nach sich ziehen würde.
  • Ein Beispiel hierfür, das während des WannaCry-Ransomware-Ausbruchs zutage trat, waren die MRT-Scanner in britischen Krankenhäusern. Viele dieser Systeme liefen unter älteren Windows-Versionen, was sie besonders anfällig machte. Bis ein Fix verfügbar war, bestand die einzige praktikable Abhilfemaßnahme in dem vom britischen NCSC empfohlenen Ansatz: die Verringerung der Wahrscheinlichkeit einer Kompromittierung durch die Verhinderung des Zugriffs auf nicht vertrauenswürdige Inhalte und die Begrenzung der Auswirkungen durch die Einschränkung des Zugriffs auf sensible Daten. Leider sind und waren MRT-Untersuchungen für die dringende Patientenversorgung unverzichtbar, was die Situation erschwerte.
• „Akzeptieren“ klingt ziemlich fatalistisch – ist es aber nicht. Wenn es keine andere Option gibt (und wenn die wirtschaftlichen Argumente für die weitere Nutzung einer anfälligen Anlage überwältigend oder unumstößlich sind), dann ist eine dokumentierte Akzeptanz der richtige Weg.
  • Ein akzeptablerer Grund liegt vor, wenn das Risiko deutlich unter den Kosten oder den Auswirkungen einer Behebung der Schwachstelle liegt. Dies beinhaltet die formelle Dokumentation der Risikoakzeptanz gemeinsam mit dem Eigentümer der Ressource und das Weitermachen wie bisher.

In dieser Phase kommen Endpoint-Protection-Plattformen (EPPs) voll zur Geltung. Das ESET Vulnerability Patch Management ist ein gutes Beispiel dafür, wie eine integrierte EPP die Zeit zwischen der Dokumentation einer Schwachstelle und deren Behebung verkürzen kann.

5: Überprüfen und melden

Diese letzte Phase (naja, bis der Prozess kurz darauf wieder von vorne beginnt) ist eine der kritischsten, wenn Ihr Unternehmen regulatorischen Verpflichtungen im Rahmen von Vorschriften wie NIS2, DORA und so weiter unterliegt.

Der erste Teil ist verfahrenstechnischer Natur: Führen Sie einen erneuten Scan durch, um zu bestätigen, dass die Schwachstelle beseitigt wurde, und erfassen Sie Programmkennzahlen wie MTTR (Mean Time To Remediate), die Einhaltung von SLAs etc.

Der zweite Teil ist für die Einhaltung gesetzlicher Vorschriften relevant: Nutzen Sie die gesammelten Kennzahlen, um Prüfpfade anzulegen und zu pflegen – beispielsweise Scan-Verläufe, Zeitstempel für Behebungsmaßnahmen und Freigaben zur Risikoakzeptanz. All dies kann zur Dokumentation eines ordnungsgemäßen Risikomanagements, der Vorfallbearbeitung und so weiter genutzt werden. Wenn Anbieter und Lieferanten Unterlagen zur Risikominderung in der Lieferkette anfordern, sind diese Daten ebenfalls äußerst hilfreich.

6: Zurück zur Erkundungsphase

Das war’s. Jetzt sind Sie und Ihr Team bereit, zur Erkundungs- und Bestandsaufnahmephase zurückzukehren und den Prozess von vorne zu beginnen. Die gute Nachricht ist: Sofern sich keine wesentlichen Änderungen an der Bestandsliste ergeben (z. B. durch eine Fusion, eine Hardware-Erneuerung oder ein ähnliches Ereignis), ist ein Großteil des Aufwands aus dem ersten Zyklus bereits geleistet, sodass sich zukünftige Iterationen auf die Behebung neuer Schwachstellen konzentrieren können.

Risikobasierte Priorisierung: Beheben Sie, was wirklich wichtig ist

Ein Schlüsselelement des Zyklus ist die Festlegung, was in welcher Reihenfolge behoben werden muss. Die Erstellung und Anpassung dieser Behebungsliste ist eine fortlaufende Aufgabe, bei der organisatorische und Cyber-Risiken berücksichtigt werden müssen, da sich beide Faktoren ändern.

Wir haben die risikobasierte Priorisierung bereits erwähnt, aber es lohnt sich, etwas näher darauf einzugehen. Die reine CVSS-Bewertung berücksichtigt weder die Kritikalität des Assets noch dessen Stellung innerhalb der Organisation oder den weiteren Kontext und die Auswirkungen seiner Nutzung bei einem Angriff.

Um es ganz offen zu sagen: Man kann nicht alle Schwachstellen beheben, daher muss man zuerst die dringendsten und wichtigsten Probleme beheben und alles andere in absteigender Reihenfolge der Priorität auflisten.

CVSS schätzt Schweregrad und Ausnutzbarkeit ein, spiegelt jedoch keine realen Ausnutzungsaktivitäten wider. So kann es beispielsweise sein, dass eine Schwachstelle erst durch das Zusammenspiel mehrerer weiterer Faktoren zu einem echten Risiko wird, wodurch ihr potenzielles Risiko geringer ist als das anderer dokumentierter Schwachstellen.

CVSS misst den Schweregrad, während EPSS (Exploit Probability Scoring System) die Wahrscheinlichkeit eines Exploits innerhalb der nächsten 30 Tage betrachtet. Darüber hinaus pflegt und veröffentlicht die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) eine Liste bekannter ausgenutzter Schwachstellen – den KEV-Katalog –, mit dessen Hilfe sich die Liste der Schwachstellen, die dringend behoben werden müssen, eingrenzen lässt.

Kombinieren Sie diese drei Bewertungen mit Ihrem Verständnis dafür, was für Ihr Unternehmen aus Sicht der Cybersicherheit und der Geschäftsrisiken am wichtigsten ist, und Sie haben den Grundstein für einen praktischen Bewertungsansatz gelegt.

Aufbau eines Schwachstellenmanagement-Programms

Hoffentlich ist nun klar, dass ein Programm erforderlich ist; zwar haben einmalige Scans durchaus ihre Berechtigung, sie sollten jedoch nicht als Äquivalent zu einem Schwachstellenmanagement-Programm (VM-Programm) oder als Ersatz dafür angesehen werden.

Bedenken Sie, dass Schwachstellenmanagement-Programme im Laufe der Zeit tendenziell reifen – von ad-hoc-Maßnahmen (oder, offen gesagt, Panikreaktionen infolge eines Vorfalls oder einer anderen Erkenntnis) über periodische bis hin zu kontinuierlichen und risikobasierten Ansätzen. Es ist entscheidend, zu verstehen und vorauszusehen, wie sich die Reife Ihres Schwachstellenmanagements im Laufe der Zeit verändert und (hoffentlich) verbessert.

Um dies einzurichten, müssen Sie einige allgemeine Verwaltungsschritte sowie einige spezifischere Maßnahmen ergreifen.

Rollen und Verantwortlichkeiten

Legen Sie zunächst die Rollen und Verantwortlichkeiten für Ihr Team sowie für andere Teams fest, die voraussichtlich im Rahmen des RACI-Modells (Responsible, Accountable, Consulted, Informed) in diesem Bereich einbezogen werden. Das RACI-Modell ist immer ein guter Ausgangspunkt, um Verantwortungs- und Stakeholder-Chaos zu vermeiden.

Finden Sie Ihren optimalen Rhythmus

Legen Sie anschließend einen Rhythmus fest, indem Sie entscheiden, wie oft der VM-Prozess ablaufen soll. Fragen Sie sich außerdem, wie lange ein vollständiger Zyklus voraussichtlich dauern wird. Passen Sie dies an oder legen Sie Grenzen fest, sobald Sie mehr über die spezifischen Anforderungen der Organisation erfahren.

Priorisieren Sie anhand klarer SLAs und Rahmenbedingungen

Identifizieren und legen Sie als Nächstes Service Level Agreements (SLAs) auf der Grundlage der Schwere der identifizierten Probleme fest, was bei der Priorisierung hilft.

Sie sollten dies zudem für alle Beteiligten so unkompliziert wie möglich gestalten; daher lohnt sich die Einführung eines Rahmenwerks wie NIST CSF2, insbesondere für kleine und mittelständische Unternehmen. An dieser Stelle sei angemerkt, dass das ursprüngliche CSF ein hervorragendes Rahmenwerk für Cyberrisiken war und dass CSF Version 2 um eine Governance-Komponente erweitert wurde.

CSF 2 ist ein sehr geeignetes Rahmenwerk für Unternehmen, die sowohl den europäischen als auch den US-amerikanischen Vorschriften zum Cyber-Risikomanagement unterliegen.

Schließen Sie den Feedback-Kreislauf

Stellen Sie schließlich sicher, dass eine Rückkopplungsschleife vorhanden ist, die alle im RACI-Modell identifizierten Beteiligten einbezieht. Die aus Behebungsmaßnahmen, Vorfällen, Fehlalarmen und Verzögerungen bei der Patch-Installation gewonnenen Erkenntnisse sollten genutzt werden, um die Risikobewertung, SLAs, den Scan-Umfang und die Priorisierung zu verfeinern.

Regelmäßige Überprüfungen von Kennzahlen wie dem Alter von Schwachstellen, den Behebungszeiten und der Einhaltung von SLAs können dabei helfen, Engpässe zu identifizieren und das Programm kontinuierlich zu verbessern.

Kennzahlen und KPIs für das Schwachstellenmanagement

Die Erfolgsmessung (und die Ermittlung weiterer Handlungsbedarfe) ist entscheidend für den Erfolg von VM-Plattformen. Die Kennzahlen müssen für alle Beteiligten leicht verständlich sein, aber auch die Bemühungen und Aktivitäten in die richtige Richtung lenken.

Für viele Unternehmen ist es unerlässlich, Kennzahlen und KPIs angemessen kurz und leicht verständlich zu halten, einfach weil die Menge an Daten für alle Beteiligten sonst überwältigend werden kann.

Eine überschaubare Liste mit weniger als zehn Kennzahlen, die unterschiedliche Aspekte abdecken, ist praktikabel.

Drei nützliche Kategorien sind Geschwindigkeit (z. B. MTTR), Abdeckung (der Prozentsatz der gescannten bekannten Assets) und Risikosignale über CVSS, EPSS und das Vorhandensein auf der KEV-Liste.

Tools für das Schwachstellenmanagement: Worauf Sie achten sollten

Hier sind fünf Aspekte, auf die Sie unserer Meinung nach bei Tools für das Schwachstellenmanagement achten sollten:

1. Eine einheitliche Verwaltungskonsole bietet Ihnen vollständige Transparenz über mehrere Betriebssysteme hinweg, vorzugsweise zumindest über die wichtigsten Desktop-Betriebssysteme: Windows, Linux und macOS.
2. Automatisierte Scans und sofortige Berichterstellung: Warten Sie nicht auf einen manuellen Überprüfungszyklus. Ein Pluspunkt ist es, wenn identifizierte Schwachstellen mit einer Möglichkeit zur Priorisierung anhand des Schweregrads und anderer Faktoren einhergehen, auf die wir als Nächstes eingehen werden.
3. Filter- und Priorisierungsoptionen sollten vom Team, das das Management-Tool nutzt, anpassbar sein, damit es die Prioritäten auf der Grundlage aller anderen Faktoren, die wir zuvor im Management-Lebenszyklus beschrieben haben, anpassen kann. Dies erhöht die Leistungsfähigkeit des Tools, übernimmt aber auch einen Großteil der Arbeit, die für ein gutes Schwachstellenmanagement erforderlich ist.
4. CVE-Transparenz ist ein Muss: Ein Tool nützt nichts, wenn nicht sofort ersichtlich ist, welche Schwachstellen es erkennen kann und welche nicht oder nach welchen CVEs es suchen kann und nach welchen nicht.
5. Die automatisierte und manuelle Patch-Kontrolle sollte mit Ihrem festgelegten Rhythmus für das Schwachstellenmanagement sowie mit zukünftigen Anpassungen kompatibel sein. Sie muss bei Bedarf auch manuell durchgeführt werden können.

Best Practices für das Schwachstellenmanagement

Wir haben über den Lebenszyklus des Schwachstellenmanagements gesprochen. Sein Betrieb und seine kontinuierliche Weiterentwicklung, während sowohl die Praxis als auch die Organisation, die es schützt, reifen, verkörpern viele Aspekte dessen, was als Best Practice angesehen wird. Dennoch ist es wichtig, über den Zyklus hinaus auf das breitere Umfeld zu blicken.

Kurz gesagt:

• Führen Sie ein vollständiges Bestandsverzeichnis Ihrer Assets und aktualisieren Sie es in regelmäßigen Abständen. Führen Sie manuelle und proaktive Aktualisierungen durch, wenn neue Assets eingeführt werden – zum Beispiel, wenn eine Generation von Laptops ausgetauscht wird.
• Priorisieren Sie weitaus stärker als nur nach Schweregrad. Kombinieren Sie Kennzahlen und Faktoren, um eine spezifische Priorisierung zu erstellen, die für die Infrastruktur und das Risikoprofil Ihrer Organisation relevant ist. Vergessen Sie nicht, dabei SLAs für die Behebung festzulegen – und halten Sie sich daran.
• Verfolgen Sie Kennzahlen und führen Sie Patches systematisch durch. Messen, passen Sie an und arbeiten Sie methodisch, nicht reaktiv.
• Definieren Sie Rollen und Zuständigkeiten – das bereits erwähnte RACI-Modell wird Ihnen viel Ärger ersparen.
• Integrieren Sie bestehende Workflows wie Ticketing, CMDB, Patch-Management und so weiter. Wenn Sie ein SIEM betreiben, sollte auch dieses auf der Liste stehen.
• Nutzen Sie ein Framework oder Leitlinien, sei es CSF 2, ISO 27001 oder spezifische Anforderungen wie DORA.
• Stellen Sie sicher, dass die Berichterstattung den für die Zielgruppe geeigneten Kontext und die passende Sprache verwendet. VM eignet sich hervorragend zum Verständnis und zur Kommunikation von Cyberrisiken; berichten Sie daher regelmäßig an die Führungsebene und legen Sie dabei den Schwerpunkt auf Informationen, die sowohl Geschäftsrisiken als auch Chancen aufzeigen.

Häufig gestellte Fragen

Was ist Schwachstellenmanagement?

Schwachstellenmanagement ist der kontinuierliche Prozess der Identifizierung, Priorisierung, Behebung und Überprüfung von Sicherheitslücken in Ihren Systemen und Ihrer Software. Im Gegensatz zu einem einmaligen Scan läuft es als fortlaufender Zyklus ab: Schwachstellen finden, entscheiden, welche am wichtigsten sind, diese beheben und überprüfen, ob die Maßnahmen wirken.

Was sind die 5 Schritte des Schwachstellenmanagements?

1. Erfassen und inventarisieren Sie Ihre Ressourcen
2. Bewerten Sie diese durch einen Scan auf bekannte Schwachstellen
3. Priorisieren Sie nach Risiko, nicht nur nach Schweregrad
4. Beheben Sie die Schwachstellen durch Patches, Risikominderung oder Akzeptanz des Risikos und
5. Überprüfen Sie die Behebung und erstellen Sie einen Bericht. Kehren Sie an dieser Stelle zum Anfang zurück und beginnen Sie von vorne.

Was ist der Unterschied zwischen Schwachstellenmanagement und einer Schwachstellenanalyse?

Eine Schwachstellenanalyse ist eine punktuelle Bewertung, die eine Momentaufnahme der Schwachstellen liefert. Schwachstellenmanagement ist das fortlaufende Programm, das im Laufe der Zeit auf diese Ergebnisse reagiert und dabei kontinuierlich Prioritäten setzt, Probleme behebt und erneut überprüft. Eine Schwachstellenanalyse ist ein Schritt innerhalb des Managements.

Was ist der Unterschied zwischen Patch-Management und Schwachstellenmanagement?

Patch-Management ist der Prozess der Bereitstellung von Software-Updates. Das Schwachstellenmanagement verfolgt einen ganzheitlichen Ansatz, der einen weitaus größeren Bereich abdeckt und tiefer in die Materie eindringt. Es identifiziert und priorisiert Schwachstellen und entscheidet, wie mit jeder einzelnen umgegangen werden soll – sei es durch einen Patch, eine Konfigurationsänderung, eine kompensierende Kontrollmaßnahme oder die Akzeptanz des Risikos. Das Patchen ist ein Ergebnis des Schwachstellenmanagements, aber nicht das einzige.

Was ist risikobasiertes Schwachstellenmanagement?

Beim risikobasierten Schwachstellenmanagement werden Korrekturen nach dem tatsächlichen Risiko und nicht nach der reinen Schweregradbewertung priorisiert. Es kombiniert den CVSS-Schweregrad einer Schwachstelle mit der Wahrscheinlichkeit ihrer Ausnutzung (zum Beispiel EPSS und die Liste der bekanntermaßen ausgenutzten Schwachstellen der CISA) sowie der Bedeutung des betroffenen Systems, sodass Sie zuerst die wenigen Schwachstellen beheben, die eine echte Bedrohung darstellen, anstatt jedem hohen Schweregrad-Wert hinterherzujagen.

Wie unterstützt das Schwachstellenmanagement die Einhaltung der NIS2- und CRA-Vorschriften?

NIS2 erwartet von den betroffenen Organisationen, dass sie Schwachstellen im Rahmen ihrer Risikomaßnahmen verwalten und behandeln, und der EU-Cyber-Resilience-Act fügt Pflichten zum Umgang mit Schwachstellen und zur Berichterstattung für Produkte mit digitalen Elementen hinzu. Mit einem dokumentierten Schwachstellenmanagementprozess weisen Organisationen nach, dass sie diese Erwartungen erfüllen. Er unterstützt die Einhaltung der Vorschriften, ersetzt jedoch keine Rechtsberatung.