Was zuerst? Intelligente Schwachstellen-Priorisierung mit blacklens

Die unbequeme Wahrheit im Vulnerability Management: Das Problem ist selten, Schwachstellen zu finden. Das Problem ist, aus tausend Findings die zehn zu erkennen, die heute wirklich zählen. Wer nach reiner CVSS-Zahl abarbeitet, verbrennt Zeit an Findings, die nie ausgenutzt werden – während der eine wirklich erreichbare, wirklich ausnutzbare Fehler in Zeile 847 der Tabelle wartet.

Mit dem neuesten Release beantwortet blacklens die drei Fragen, an denen Priorisierung wirklich hängt: Was zuerst? Warum genau das? Und wie beheben wir es?

Ein Plan statt einer Tabelle: der Remediation Plan

Unter Vulnerabilities → Remediation erzeugt blacklens auf Knopfdruck einen priorisierten Maßnahmenplan aus allen offenen Findings – extern, intern und Cloud zusammen gedacht:

• Gruppiert nach dem Fix, nicht nach dem Finding. Ein veraltetes TLS-Setup auf zwölf Hosts ist kein Dutzend Aufgaben, sondern eine. Der Plan bündelt Findings nach der Maßnahme, die sie gemeinsam behebt.
• Sortiert nach Risikoreduktion. Ganz oben steht der Cluster, der – nach Schweregrad und Breite – den größten Hebel hat. Nicht der lauteste, der wirksamste.
• Mit Begründung und Anleitung. Jeder Cluster erklärt, warum er dort steht, schätzt den Aufwand ein (low / medium / high) und liefert nummerierte Schritte, inklusive Code zum Kopieren, wo es passt.
• Fortschritt, den man sieht. Während Ihr Team arbeitet, bleibt der Plan stabil – nur die Zähler bewegen sich: erledigte Schritte, aufgelöste Instanzen, Abdeckung der offenen Findings. Bis zum „Plan complete — nice work".

Die Erstellung dauert etwa 30–60 Sekunden, und Sie können währenddessen weiterarbeiten. Das Ergebnis verändert die Arbeitseinheit Ihres Teams: nicht mehr „Finding für Finding", sondern „Schritt für Schritt" – mit sichtbarer Bewegung statt endloser Restliste.

Priorisieren heißt verstehen: Kontext auf jedem Finding

Eine gute Reihenfolge braucht gute Gründe. Deshalb bekommt jedes Finding – extern, intern und Cloud – eine Erklärungsebene, die Prioritätsentscheidungen belastbar macht:

• Dringlichkeit mit Belegen: Eine vorgeschlagene Einstufung samt Exploit-Status-Chip – Exploit available, PoC public, No known exploit oder Exploitability unknown. Die Plattform-Severity bleibt dabei maßgeblich; die Einschätzung ergänzt, sie überstimmt nicht.
• Threat Intelligence pro CVE: CVSS, EPSS (Wahrscheinlichkeit einer Ausnutzung in freier Wildbahn binnen 30 Tagen), Exploit-/PoC-Verfügbarkeit, Angriffsvektor und Advisory-Link – aus dem blacklens-Threat-Feed. Genau die Daten, mit denen man „hoch" von „dringend" unterscheidet.
• Root Cause, Impact und Behebung: Warum existiert das Finding, was legt es offen, und wie wird es geschlossen – in 1–6 konkreten Schritten. Dazu Compensating Controls für den realistischen Fall, dass der eigentliche Fix noch warten muss.
• Rückfragen direkt am Finding: Ein Chat unter der Analyse beantwortet Anschlussfragen im echten Kontext Ihres Workspaces – dem tatsächlichen Service-Fingerprint, den betroffenen Hosts, demselben Finding auf anderen Systemen.

Die Analysen entstehen auf Anfrage, werden transparent mit Zeitstempel gecacht und tragen sichtbar den Hinweis, generierte Inhalte vor kritischen Schritten zu prüfen. Die Entscheidung bleibt bei Ihrem Team – sie wird nur deutlich schneller.

Priorisierung jenseits der CVE: Welche Lookalike-Domain ist gefährlich?

Auch bei Typosquatting ist die Frage nie „Gibt es Lookalikes?", sondern „Welche davon ist ein Problem?". Die neue Detailansicht liefert die Entscheidungsgrundlage: Zeichen-Diff gegen Ihre Domain, Registrierungs- und DNS-Daten, Reputations-Score – und Risiko-Badges wie Mail capable, die auf einen Blick zeigen, ob eine Domain alles hat, was ein Credential-Phishing braucht.

Auf Abruf geht blacklens einen Schritt weiter: Es erfasst, was die Domain tatsächlich ausliefert, inklusive Screenshot, und bewertet, ob sie Ihre Marke imitiert. Dabei bleiben Beweise und Einschätzung sauber getrennt: Observed on the page listet objektive, von blacklens selbst extrahierte Signale – Passwortfeld, Markenname, Formular an eine fremde Domain –, das Assessment ist die Deutung dazu. Erst wenn die Beweislage vollständig ist (die Checkliste zeigt 5/5), wird der Draft abuse report freigeschaltet: eine vorbefüllte, sachliche E-Mail an den Abuse-Kontakt der Registrierungsstelle. Versendet wird sie von Ihnen.

Schneller zur richtigen Sicht: Fragen statt Filterbau

Priorisierung beginnt oft mit einer simplen Frage: „Zeig mir kritische Findings auf Prod-Hosts." Genau so können Sie sie jetzt stellen – auf 17 Dashboard-Listen übersetzt blacklens die Beschreibung in eine fertige, editierbare Filterabfrage mit Vorschau. Dabei sieht das Sprachmodell zu keinem Zeitpunkt Ihre Daten, sondern nur Feldnamen, Typen und erlaubte Werte – und nichts läuft, bevor Sie nicht auf Apply filters klicken.

Dazu passt der neue Statur-Streifen über jeder Attack-Surface-Liste: fünf Kennzahlen pro Seite – etwa Exposing, Vulnerable, High risk – viele davon klickbar als Filter. Und ein Prinzip, das wir gern zitieren: Unbekannt zählt nie als sicher. Kacheln wie Public oder No MFA zählen nur, was ein Provider explizit gemeldet hat.

Zu Ihren Bedingungen

Die intelligenten Funktionen dieses Releases – Remediation Plan, Finding-Erklärungen, Domain-Verdikte, natürlichsprachige Suche – sind pro Workspace opt-in und nach dem Update zunächst ausgeschaltet. Workspace-Admins entscheiden unter Settings → General → AI Features, und „aus" heißt aus: Der Server lehnt entsprechende Anfragen für deaktivierte Workspaces ab. Die Analysen laufen auf unserer eigenen Hardware und sind DSGVO-konform – Ihre Daten verlassen unsere Infrastruktur nicht.

Fazit

Weniger Zeit mit Sortieren, mehr Zeit mit Beheben: Dieses Release macht aus der Findings-Flut eine begründete Reihenfolge – einen Plan mit dem größten Risikohebel oben, Kontext und Threat Intelligence an jedem Finding, Beweise statt Bauchgefühl bei Lookalike-Domains. Die Intelligenz steckt in der Priorisierung. Die Kontrolle bleibt bei Ihnen.

Loslegen: Workspace-Admins aktivieren die Funktionen unter Settings → General → AI Features. Danach wartet Ihr erster Remediation Plan unter Vulnerabilities → Remediation.

Interne Hinweise (vor Veröffentlichung entfernen):

• „Läuft auf unserer eigenen Hardware / keine Daten verlassen unsere Infrastruktur" ist die In-Product-Wortwahl – laut Release-Brief §4 vor externer Verwendung Ops/Legal-Freigabe einholen.
• Versionslabel noch offen (TBD) – mit Engineering klären, bevor eine Versionsnummer genannt wird.
• Bewusst vermieden: „kontinuierlich/automatisch/Echtzeit", „One-Click-Takedown", KEV, Modell-/Anbieternamen.