Fehler gehören zu jeder Software, und ein Teil davon öffnet Angreifern die Tür. Täglich erscheinen neue Sicherheitslücken, während automatisierte Scans das Internet ununterbrochen nach verwundbaren Systemen absuchen. Wer eine Lücke erst beim Vorfall bemerkt, reagiert zu spät.
Schwachstellenmanagement verwandelt diesen Wettlauf in einen planbaren Prozess: Es schafft Überblick über den eigenen Bestand und stellt sicher, dass die gefährlichsten Lücken zuerst geschlossen werden.
Was ist Schwachstellenmanagement?
Schwachstellenmanagement (englisch Vulnerability Management) ist der fortlaufende Prozess, Sicherheitslücken in IT-Systemen aufzuspüren, nach Risiko zu bewerten und ihre Behebung nachweisbar zu steuern. Im Blick stehen Betriebssysteme und Anwendungen ebenso wie Netzwerkkomponenten, Cloud-Workloads und Fehlkonfigurationen. Fundament ist ein gepflegtes Inventar, denn prüfen lässt sich nur, was bekannt ist.
Gemeint ist deutlich mehr als bloßes Scannen: Zum Prozess gehören die Bewertung jedes Funds im Unternehmenskontext, klare Zuständigkeiten für die Behebung, definierte Fristen je Risikoklasse und die Kontrolle des Erfolgs. Rahmenwerke wie ISO 27001 verlangen einen solchen Prozess ausdrücklich, ebenso PCI DSS für Kartenzahlungsumgebungen und die EU-Richtlinie NIS-2 für viele Unternehmen ab mittlerer Größe.
Eine Sonderstellung nehmen Lücken ein, für die zum Zeitpunkt der ersten Angriffe noch kein Patch existiert. Was diese Fälle auszeichnet und wie Unternehmen damit umgehen, erklärt der Glossareintrag zu Zero-Day-Schwachstellen.
Der Zyklus in fünf Schritten
- Inventarisieren: Alle Assets erfassen, vom Server über Clients bis zu Cloud-Instanzen und Containern. Schatten-IT und vergessene Systeme sind der häufigste blinde Fleck.
- Scannen: Automatisierte Scanner prüfen die Systeme regelmäßig gegen Datenbanken bekannter Schwachstellen (CVE). Authentifizierte Scans liefern dabei deutlich präzisere Ergebnisse als reine Netzwerkscans von außen.
- Priorisieren: Der CVSS-Basiswert allein taugt selten als Maßstab. Den Ausschlag gibt der Kontext: Eine Lücke auf einem aus dem Internet erreichbaren System mit öffentlich verfügbarem Exploit gehört an die Spitze der Liste, dieselbe Lücke auf einem isolierten Testsystem kann warten. Kataloge aktiv ausgenutzter Schwachstellen und die Bedeutung der betroffenen Geschäftsprozesse schärfen die Rangfolge zusätzlich.
- Beheben: Der Regelfall ist das Patchen. Wo das kurzfristig nicht möglich ist, greifen kompensierende Maßnahmen – Konfigurationsänderungen, strengere Zugriffsregeln oder die Isolation des Systems per Segmentierung.
- Verifizieren und berichten: Ein Nachscan bestätigt die Behebung. Kennzahlen wie die Zeit bis zur Schließung kritischer Lücken machen den Prozess für Management und Auditoren transparent.
Anschließend beginnt der Zyklus von vorn, denn jeder Patchday und jede neue Anwendung verändert die Angriffsfläche.
Warum es wichtig ist
- Bekannte Lücken sind das Haupteinfallstor: Ein großer Teil erfolgreicher Angriffe nutzt Schwachstellen, für die seit Monaten Patches bereitstehen. Konsequentes Schließen nimmt Angreifern die einfachsten Wege.
- KI verkürzt die Zeitfenster: Angreifer setzen KI-gestützte Werkzeuge ein, um Lücken schneller zu finden und Exploits schneller zu entwickeln. Der Abstand zwischen Veröffentlichung und aktiver Ausnutzung schrumpft spürbar.
- Regulatorik verlangt den Prozess: Vorgaben wie ISO 27001, NIS-2 oder PCI DSS fordern einen geregelten, dokumentierten Umgang mit technischen Schwachstellen.
- Wachsende Angriffsfläche: Cloud-Dienste und Remote-Arbeit vergrößern den prüfbaren Bestand laufend; ohne Prozess entsteht ein unkontrollierter Rückstau offener Funde.
- Fokus für knappe Ressourcen: Kein Betriebsteam schließt alle Funde sofort. Risikobasierte Priorisierung lenkt die verfügbare Zeit dorthin, wo sie das Risiko am stärksten senkt.
- Nachweisbarkeit zählt: Berichte und Kennzahlen belegen gegenüber Auditoren und Cyber-Versicherern, dass Risiken kontrolliert behandelt werden.
Typische Szenarien
Ein mittelständisches Unternehmen scannt seine Server wöchentlich und die Clients monatlich. Kritische Funde auf extern erreichbaren Systemen sind binnen weniger Tage zu beheben, interne Systeme folgen in gestaffelten Fristen.
Hektik entsteht, wenn eine schwere Lücke in einer verbreiteten Komponente publik wird, etwa in einem VPN-Gateway oder einer weit genutzten Softwarebibliothek. Dann zählt die Frage, wo die Komponente überhaupt im Einsatz ist – ein gepflegtes Inventar macht aus tagelanger Suche eine einzige Abfrage.
Der dritte Klassiker sind Altsysteme, für die der Hersteller keine Patches mehr liefert. Hier verschiebt sich die Aufgabe vom Patchen zur Risikominimierung: Das System wird vom übrigen Netz isoliert, und Zugriffe schrumpfen auf das betrieblich Notwendige.
Abgrenzung zum Penetrationstest
Beide Disziplinen suchen Schwächen, gehen aber unterschiedlich vor. Schwachstellenmanagement arbeitet dauerhaft, weitgehend automatisiert und in der Breite: Der gesamte Bestand wird regelmäßig gegen bekannte Lücken geprüft. Ein Penetrationstest ist eine zeitlich begrenzte, manuelle Prüfung in der Tiefe: Erfahrene Tester verketten einzelne Funde zu realen Angriffspfaden und weisen nach, welcher Schaden tatsächlich möglich wäre.
Der Pentest ersetzt den laufenden Prozess deshalb nicht, er ergänzt ihn: Er deckt Logikfehler und verkettete Pfade auf, die kein Scanner erkennt. Umgekehrt sorgt das Schwachstellenmanagement dafür, dass ein Pentest neue Erkenntnisse liefert statt einer Liste längst bekannter Versäumnisse.
Beim Aufbau des Prozesses holen sich viele Organisationen externe Unterstützung – von der Bestandsaufnahme über ein Priorisierungsmodell mit betriebstauglichen Fristen bis zu vorgelagerten Schutzschichten wie Web Application Firewalls, die bekannte Angriffsmuster blockieren, bevor ein Patch eingespielt ist; entsprechende Professional Services decken diesen Rahmen ab.
Häufige Fragen
Wie häufig sollten Schwachstellenscans laufen?
Das richtet sich nach dem Schutzbedarf. Extern erreichbare Systeme sollten mindestens wöchentlich geprüft werden, interne Systeme je nach Kritikalität in kürzeren oder längeren Abständen. Wichtiger als ein starrer Takt ist die Fähigkeit, bei akuten Bedrohungslagen kurzfristig einen gezielten Scan zu fahren. Regelwerke wie PCI DSS geben zusätzlich feste Mindestintervalle vor.
Was heißt risikobasierte Priorisierung?
Statt Funde stur nach CVSS-Wert abzuarbeiten, fließt der eigene Kontext ein: Ist das System aus dem Internet erreichbar? Kursiert ein öffentlicher Exploit? Wie kritisch sind die betroffenen Daten? So rangiert eine mittelschwere Lücke auf einem exponierten System vor einer schweren Lücke auf einem isolierten Testserver.
Genügt der CVSS-Score zur Bewertung?
Als alleiniger Maßstab selten. Der CVSS-Basiswert beschreibt die technische Schwere einer Lücke, sagt aber wenig über die Lage im konkreten Netz aus. Erst Erreichbarkeit, Exploit-Verfügbarkeit und Bedeutung des betroffenen Systems ergeben eine belastbare Rangfolge. Moderne Programme verbinden CVSS deshalb mit Bedrohungsdaten und eigenem Asset-Kontext.
Was tun, wenn sich ein System nicht patchen lässt?
Dann treten kompensierende Maßnahmen an die Stelle des Patches. Bewährt haben sich die Isolation des Systems durch Segmentierung, streng begrenzte Zugriffsrechte und eine engmaschige Überwachung der verbleibenden Verbindungen. Das Risiko sinkt deutlich, auch wenn die Lücke technisch bestehen bleibt. Solche Ausnahmen gehören dokumentiert und regelmäßig neu bewertet.
Ersetzt Schwachstellenmanagement den Penetrationstest?
Nein, beide ergänzen sich. Schwachstellenmanagement prüft kontinuierlich und automatisiert den gesamten Bestand auf bekannte Lücken. Der Penetrationstest untersucht punktuell und manuell, ob sich Schwächen zu realen Angriffspfaden verketten lassen – einschließlich Logikfehlern, die kein Scanner findet. Bewährt ist der laufende Prozess als Basis, ergänzt um Tests in regelmäßigen Abständen oder nach größeren Änderungen.