Schwachstellenmanagement: Sicherheitslücken finden, priorisieren, schließen

Schwachstellenmanagement ist der kontinuierliche, risikobasierte Prozess zur Identifikation, Bewertung, Priorisierung und Behebung von Sicherheitslücken in IT-Systemen, Anwendungen und Netzwerken. Er umfasst fünf Phasen: Asset-Inventarisierung, Schwachstellen-Scanning, risikobasierte Priorisierung, Remediation (Patching oder kompensierende Kontrollen) und Verifikation. Im Unterschied zur einmaligen Schwachstellenanalyse ist Schwachstellenmanagement ein dauerhafter Regelkreis mit definierten Verantwortlichkeiten, SLAs und Management-Reporting.

Ein Schwachstellen-Scan ist die technische Momentaufnahme durch einen Scanner. Die Schwachstellenanalyse bewertet die Ergebnisse eines oder mehrerer Scans im Kontext Ihrer Infrastruktur. Schwachstellenmanagement ist der übergeordnete, kontinuierliche Prozess, der Scans und Analysen in einen Regelkreis mit Priorisierung, Behebung, Verifikation und Berichterstattung überführt. Auditoren und Aufsichten (ISO 27001, DORA, NIS2) verlangen den Prozess, nicht nur Scan-Reports.

ISO 27001:2022 fordert in Annex A 8.8 (Management of technical vulnerabilities) einen nachweisbaren Prozess: Informationen über technische Schwachstellen müssen rechtzeitig beschafft, die Exponierung bewertet und angemessene Maßnahmen ergriffen werden. Für das Audit brauchen Sie dokumentierte Verantwortlichkeiten, Priorisierungsregeln, Behebungsfristen und Wirksamkeitsnachweise. Wir bauen den Prozess so auf, dass er direkt in Ihr ISMS und Ihre Auditvorbereitung einzahlt.

DORA verlangt in Art. 10 Mechanismen zur zeitnahen Erkennung anomaler Aktivitäten und Schwachstellen; die RTS zum IKT-Risikomanagement konkretisieren Anforderungen an Schwachstellen-Scans, Patch-Prozesse und den Umgang mit Legacy-Systemen. Seit dem EZB-Schreiben vom Juli 2026 (SSM‑2026‑0301) steht das Thema zusätzlich unter Aufsichtsdruck: Bedeutende Institute müssen ihr Schwachstellen- und Patch-Management beschleunigen und bis 31. Oktober 2026 einen Aktionsplan beim Joint Supervisory Team einreichen.

Risikobasiertes Schwachstellenmanagement priorisiert Schwachstellen nicht allein nach CVSS-Schweregrad, sondern nach tatsächlichem Risiko: Wird die Lücke aktiv ausgenutzt (CISA-KEV-Katalog)? Wie wahrscheinlich ist Ausnutzung (EPSS-Score)? Ist das Asset aus dem Internet erreichbar? Wie geschäftskritisch ist es? In der Praxis tragen nur 2 bis 5 % aller Findings relevantes Risiko, wer diese zuerst behebt, senkt das Gesamtrisiko schneller als Teams, die CVSS-Listen von oben abarbeiten.

Mindeststandard ist heute: kontinuierlich für internetzugängliche Systeme, mindestens wöchentlich für kritische interne Systeme, monatlich flächendeckend, ergänzt um anlassbezogene Scans nach größeren Changes und bei kritischen CVE-Veröffentlichungen. Statische Quartals-Scans gelten angesichts KI-beschleunigter Exploit-Entwicklung als nicht mehr angemessen; die EZB fordert explizit die Vorbereitung auf häufigere und umfangreichere Patch-Zyklen.

Etablierte Enterprise-Plattformen sind Tenable (Nessus), Qualys VMDR und Rapid7 InsightVM; im Open-Source-Bereich ist OpenVAS/Greenbone verbreitet (und wird vom BSI referenziert); Cloud-native Scanner wie Microsoft Defender Vulnerability Management oder AWS Inspector decken Cloud-Workloads ab. Entscheidend ist weniger das Tool als die Integration: Asset-Quelle (CMDB), Ticketing (Jira, ServiceNow), SIEM und Reporting müssen einen geschlossenen Regelkreis bilden. Wir beraten herstellerunabhängig.

Die Kosten hängen von Asset-Anzahl, Scan-Tiefe und Betriebsmodell ab. Grobe Orientierung: Tool-Lizenzen liegen je nach Plattform bei 15 bis 60 Euro pro Asset und Jahr; ein initiales Assessment mit Baseline-Scan und Prozessdesign ist als Projekt von wenigen Wochen kalkulierbar; Vulnerability Management as a Service wird monatlich je Asset-Paket abgerechnet und ist für die meisten Mittelständler günstiger als eigene Analysten-Kapazität. Wir kalkulieren transparent nach Scope.

Für Legacy-, OT- und End-of-Life-Systeme, die nicht gepatcht werden können, sind kompensierende Kontrollen der anerkannte Weg: Netzwerksegmentierung bis Mikro-Segmentierung, virtuelles Patching über IPS/WAF, gehärtete Konfiguration, erweitertes Monitoring und eingeschränkte Erreichbarkeit. Wichtig ist die dokumentierte Risikoakzeptanz mit Ablaufdatum, auch die EZB nennt die Ablösung oder besondere Absicherung von Legacy-Technologie als strukturelle Erwartung.

Ja. Mit Vulnerability Management as a Service übernehmen wir Scanning, Triage, risikobasierte Priorisierung, Remediation-Tracking mit Ihren IT-Teams und das monatliche Management-Reporting, auf Basis Ihrer vorhandenen Tools oder unserer Plattform. Bei aktiv ausgenutzten Schwachstellen eskalieren wir direkt in unsere Incident-Response-Prozesse. Sie behalten Governance und Risikoentscheidungen, wir liefern den Maschinenraum.