Continuous Threat Exposure Management (CTEM)

Häufige Fragen

Was ist Continuous Threat Exposure Management (CTEM)?

Continuous Threat Exposure Management (CTEM) ist ein von Gartner beschriebenes Programm, mit dem Organisationen ihre Angriffsfläche fortlaufend erfassen, bewerten und reduzieren, statt Sicherheit einmal im Jahr zu prüfen. Im Mittelpunkt steht nicht die einzelne Schwachstelle, sondern die Exposure: alles, was ein Angreifer von außen oder innen tatsächlich erreichen und ausnutzen kann. CTEM verkürzt die Zeit zwischen dem Auftauchen einer Exposure und ihrer Behebung, denn genau dieses Zeitfenster entscheidet, ob ein Angreifer zum Zug kommt.

Welche fünf Phasen hat CTEM?

Gartner beschreibt CTEM als Kreislauf aus fünf Phasen. Scoping legt den Prüfumfang fest: externe Systeme, Cloud, interne Infrastruktur und Lieferkette. Discovery findet darin Schwachstellen, Fehlkonfigurationen, geleakte Zugangsdaten und Datenlecks. Prioritization filtert mit EPSS, CISA KEV und Exploit-Verfügbarkeit die Exposures heraus, die sofort Aufmerksamkeit brauchen. Validation bestätigt sie technisch und sortiert False Positives aus. Mobilization überführt Funde in Aufgaben für die zuständigen Teams und verfolgt sie bis zur bestätigten Behebung.

Was ist der Unterschied zwischen CTEM und Vulnerability Management?

Vulnerability Management konzentriert sich auf bekannte Schwachstellen in bekannten Systemen. CTEM erweitert den Blick auf die gesamte Exposure: unbekannte Assets und Shadow IT, Fehlkonfigurationen in der Cloud, geleakte Zugangsdaten und die Lieferkette. Vulnerability Management ist damit ein Baustein innerhalb des CTEM-Kreislaufs, vor allem in den Phasen Discovery und Mobilization. In blacklens.io laufen externe, interne und Cloud-Funde in einem Workflow mit denselben Schweregraden und Status zusammen.

Brauchen wir ein eigenes Security-Team, um CTEM umzusetzen?

Nein, aber Sie brauchen klare Zuständigkeiten. Viele Kunden von blacklens.io betreiben den Kreislauf mit zwei bis drei Personen in der IT, weil die Plattform Erkennung, Priorisierung und Erklärung übernimmt. Explainable AI beschreibt Ursache, Auswirkung und Behebung jedes Funds, der KI-Remediation-Plan bündelt offene Funde nach gemeinsamer Ursache. Die KI läuft als self-hosted LLM in Europa. Für die Validation-Phase lassen sich zertifizierte Pentester über PTaaS hinzubuchen.

Wie schnell liefert blacklens.io erste Ergebnisse?

Nach der Registrierung Ihrer Domains startet die externe Erkennung sofort; erste Ergebnisse liegen in der Regel innerhalb von 24 Stunden vor. Cloud-Konnektoren für AWS, Microsoft Azure, Microsoft 365, Google Cloud, Cloudflare und Hetzner sowie der Sentry-Scanner erweitern den Prüfumfang in den folgenden Tagen. Sentry läuft als VM oder Docker-Container in Ihren Netzsegmenten, Agenten auf Endgeräten sind nicht nötig.

Ersetzt CTEM den jährlichen Penetrationstest?

Nein. CTEM sorgt dafür, dass zwischen zwei Tests keine unbemerkten Lücken entstehen, und macht den Test selbst zielgerichteter. In blacklens.io prüft das Threat Center Betroffenheit automatisch mit gezielten Verifikationsscans. Manuelle Tests über PTaaS fließen in denselben Workflow ein: Pentester markieren Funde als „Verified“, hängen Evidenz an und wiederholen Tests im gewählten Rhythmus, von wöchentlich bis jährlich, inklusive Retest und Pentest-Report.

Wie unterstützt CTEM bei NIS2 und ISO 27001?

Beide Regelwerke verlangen ein laufendes Schwachstellen- und Risikomanagement mit nachvollziehbarer Dokumentation. Der CTEM-Kreislauf liefert genau diese Nachweise: Inventar, Funde, Priorisierung, Behebung und Retest, mit Aktivitätsprotokoll und zeitgesteuerten Berichten. Executive-, Schwachstellen- und Pentest-Reports lassen sich täglich, wöchentlich oder monatlich automatisch per E-Mail versenden.

Wie wird Exposure in blacklens.io gemessen?

Über den Exposure Score von 0 bis 100, der nächtlich aus Assets, exponierten Diensten und offenen Funden berechnet wird. Der Verlauf über Woche, Monat, Quartal und Jahr zeigt, ob Maßnahmen wirken, und eignet sich als Kennzahl für das Management-Review. Ergänzend halten nächtliche Statistik-Snapshots fest, wie sich Assets, Dienste und Funde entwickeln.