Laufend werden neue Sicherheitslücken in Betriebssystemen, Anwendungen, Netzwerkgeräten und Cloud-Diensten bekannt. Viele Angriffe nutzen dabei nicht die neuesten, sondern seit Längerem bekannte Lücken, für die längst Updates bereitstehen. Schwachstellenmanagement sorgt dafür, dass ein Unternehmen weiß, wo es verwundbar ist, und diese Stellen geordnet schließt.

Wie funktioniert Schwachstellenmanagement?

Der Prozess läuft als Kreislauf:

Inventar: Alle Systeme, Anwendungen und Dienste werden erfasst. Was nicht bekannt ist, kann nicht geschützt werden.
Erkennung: Schwachstellenscanner und Agenten prüfen Systeme regelmäßig auf bekannte Lücken und Fehlkonfigurationen.
Bewertung: Jeder Befund wird nach Risiko eingeordnet. Hilfreich sind dabei die öffentliche CVE-Kennung, die Schweregradbewertung nach CVSS auf einer Skala von 0 bis 10 und Hinweise, ob eine Lücke bereits aktiv ausgenutzt wird.
Behebung: Updates werden eingespielt, Konfigurationen angepasst oder, wenn noch kein Update verfügbar ist, Ausweichmaßnahmen umgesetzt.
Überprüfung: Ein erneuter Scan bestätigt, dass die Lücke geschlossen ist.

Entscheidend ist die Priorisierung. Eine mittelschwere Lücke auf einem aus dem Internet erreichbaren Server kann dringender sein als eine kritische Lücke auf einem isolierten Testsystem.

Neben Fehlern in Software gehören auch Fehlkonfigurationen zum Schwachstellenmanagement, etwa offen erreichbare Verwaltungsoberflächen oder Standardpasswörter. Hilfreich ist zudem der Blick von außen: Welche Systeme eines Unternehmens sind aus dem Internet überhaupt sichtbar? Ergänzend prüfen Penetrationstests in größeren Abständen manuell, ob sich Lücken tatsächlich ausnutzen lassen.

Typische Beispiele

Ein Scan zeigt, dass eine Firewall eine Firmware mit bekannter Lücke im VPN-Dienst nutzt.
Auf mehreren Arbeitsplätzen läuft eine veraltete Version einer PDF-Software.
Ein Server ist mit einer unsicheren Verschlüsselungskonfiguration aus dem Internet erreichbar.
Für eine neu bekannt gewordene Zero-Day-Schwachstelle muss rasch ermittelt werden, welche Systeme betroffen sind.

Worauf Unternehmen achten sollten

Ein vollständiges Inventar pflegen, siehe IT-Asset-Management.
Fristen für die Behebung je nach Risikostufe festlegen und Verantwortliche benennen.
Schwachstellenmanagement eng mit dem Patch-Management verzahnen.
Ausnahmen dokumentieren und befristen, wenn ein System vorübergehend nicht aktualisiert werden kann.
Ergebnisse regelmäßig an die Geschäftsführung berichten, auch als Nachweis etwa im Rahmen von NIS2.

Bezug zu TOMORIS

Im vernetzten IT-Betrieb von TOMORIS macht der Baustein GRID.scout Schwachstellen sichtbar.

GRID.scout ansehen