Vulnerability Management (Schwachstellenmanagement)

Vulnerability Management (Schwachstellenmanagement) ist der laufende Prozess, Schwachstellen in Servern, Anwendungen, Netzwerkgeräten und Cloud-Ressourcen zu erkennen, nach Risiko zu priorisieren, zu beheben und die Behebung nachzuweisen. Der Prozess ist zyklisch: Neue Systeme, neue Software-Versionen und täglich neu veröffentlichte Schwachstellen (CVEs) sorgen dafür, dass er nie abgeschlossen ist.

Warum Schwachstellenmanagement wichtig ist

Ein großer Teil erfolgreicher Angriffe nutzt Schwachstellen, für die zum Zeitpunkt des Angriffs bereits ein Patch existierte. Die Lücke liegt selten im Wissen, dass eine Schwachstelle existiert, sondern in der Frage, welche der hunderten oder tausenden Funde zuerst behoben werden müssen und wer das tut. Regulierungen wie NIS2 und DORA sowie Normen wie ISO 27001 fordern deshalb ausdrücklich einen dokumentierten Prozess für den Umgang mit Schwachstellen, nicht nur einen gelegentlichen Scan.

So funktioniert Vulnerability Management

1. Inventar: Welche Systeme und Technologien sind im Einsatz? Ohne aktuelles Inventar bleibt jeder Scan unvollständig.
2. Erkennung: Netzwerk- und Web-Scans, authentifizierte Prüfungen auf Hosts, Konfigurationsprüfungen in der Cloud und Abgleich des Technologie-Inventars mit neuen CVEs.
3. Priorisierung: Der CVSS-Wert beschreibt die theoretische Schwere. Für die Reihenfolge der Behebung zählen zusätzlich: Wird die Schwachstelle tatsächlich ausgenutzt (EPSS, CISA KEV)? Ist ein Exploit öffentlich? Ist das System aus dem Internet erreichbar? Wie kritisch ist es für das Geschäft?
4. Behebung: Patchen, Konfiguration ändern, Dienst abschalten oder Risiko begründet akzeptieren. Die Zuständigkeit muss klar sein, meist über Tickets in Jira oder ServiceNow.
5. Nachweis: Ein Retest bestätigt die Behebung; Berichte dokumentieren den Stand für Audit, Management und Versicherer.

So setzt blacklens.io Vulnerability Management um

blacklens.io führt externe, interne (Sentry-Agent) und Cloud-Findings in einem Workflow zusammen. Der Schwachstellen-Feed umfasst über 200.000 Tests mit täglichen Updates. Jedes Finding trägt EPSS-Wert und -Perzentil, CISA-KEV-Status samt Frist und Ransomware-Kennzeichen, Exploit- und PoC-Verfügbarkeit, CVSS v3/v4 und die behobene Version. Der Status-Workflow (offen, in Bearbeitung, zurückgestellt, Risiko akzeptiert, geschlossen) schließt Findings nach erfolgreichem Re-Scan automatisch; zurückgestellte Findings öffnen sich nach 30 Tagen wieder. Neue CVEs werden in Echtzeit gegen das Technologie-Inventar geprüft und im Threat Center automatisch verifiziert.

Reicht der CVSS-Wert für die Priorisierung?

Nein. CVSS bewertet die Schwere unter Annahme des schlimmsten Falls, sagt aber nichts darüber, ob jemand die Schwachstelle tatsächlich ausnutzt. Die Kombination aus CVSS, EPSS, CISA KEV, Exploit-Verfügbarkeit und Erreichbarkeit reduziert die Liste der dringenden Findings typischerweise auf einen kleinen Bruchteil.

Wie oft sollte gescannt werden?

Extern erreichbare Systeme kontinuierlich, interne Systeme mindestens wöchentlich, ergänzt um einen Abgleich des Technologie-Inventars mit neu veröffentlichten CVEs in Echtzeit. Ein Quartals-Scan lässt Angreifern zu viel Zeit.

Was ist der Unterschied zwischen Vulnerability Management und einem Pentest?

Vulnerability Management ist automatisiert, breit und laufend. Ein Penetrationstest ist manuell, tief und punktuell: Er findet logische Fehler und verkettet Schwachstellen, die kein Scanner erkennt. Beides ergänzt sich; PTaaS verbindet die Ergebnisse in einem Workflow.