Schwachstellenmanagement: Lücken finden, bewerten und schließen

Was Schwachstellenmanagement ist

Eine Schwachstelle ist ein Fehler in Software, Hardware oder Konfiguration, den Angreifer ausnutzen können. Schwachstellenmanagement sorgt dafür, dass solche Lücken systematisch gefunden und geschlossen werden, bevor jemand sie nutzt. Grundlage ist ein vollständiges Inventar: Nur was bekannt ist, kann geprüft werden.

Schwachstellenmanagement ist mehr als Patch-Management. Patches sind ein Weg zur Behebung, daneben gibt es Konfigurationsänderungen, Abschottung oder vorübergehende Schutzmaßnahmen, wenn noch kein Update verfügbar ist. Ein Penetrationstest ergänzt den Prozess, indem er prüft, was Angreifer mit den vorhandenen Lücken tatsächlich erreichen.

Pentest und Schwachstellenmanagement im Vergleich

Der Kreislauf des Schwachstellenmanagements

Der Prozess läuft in einem wiederkehrenden Kreislauf. Zuerst wird erfasst, welche Systeme, Anwendungen und Cloud-Dienste es gibt. Scanner prüfen sie regelmäßig auf bekannte Schwachstellen und Fehlkonfigurationen. Jeder Fund wird bewertet und priorisiert. Dann folgt die Behebung durch Update, Konfigurationsänderung oder eine Übergangsmaßnahme. Ein erneuter Scan zeigt, ob die Lücke geschlossen ist, und ein Bericht dokumentiert den Stand für Management und Audit.

CVE, CVSS und die richtige Priorisierung

Bekannte Schwachstellen erhalten eine eindeutige Kennung, die CVE-Nummer. Das Common Vulnerability Scoring System (CVSS) des FIRST bewertet ihren Schweregrad auf einer Skala von 0 bis 10; aktuell ist Version 4.0. Der CVSS-Wert beschreibt aber die Schwere, nicht das Risiko im eigenen Unternehmen. Für die Priorisierung zählen zusätzlich, ob eine Lücke bereits aktiv ausgenutzt wird, etwa laut dem KEV-Katalog der US-Behörde CISA, wie wahrscheinlich ein Angriff ist (EPSS) und wie wichtig das betroffene System für den Betrieb ist.

Schwachstellenmanagement als Pflicht: NIS2 und ISO 27001

Für Einrichtungen unter NIS2 nennt das BSI-Gesetz das Management und die Offenlegung von Schwachstellen ausdrücklich als Mindestmaßnahme (§ 30 Abs. 2 Nr. 5 BSIG). Die ISO/IEC 27001 fordert in Control A.8.8 ein Management technischer Schwachstellen. Im IT-Grundschutz des BSI beschreibt der Baustein OPS.1.1.3 das Patch- und Änderungsmanagement. Gefragt ist jeweils ein nachvollziehbarer Prozess mit dokumentierten Ergebnissen.

Warum Backup-Systeme dazugehören

Angreifer zielen gezielt auf Backup-Server und Backup-Software, weil sie damit die Wiederherstellung verhindern können. Schwachstellen in Backup-Produkten wurden in den letzten Jahren wiederholt von Ransomware-Gruppen ausgenutzt. Backup-Systeme gehören deshalb mit hoher Priorität in jedes Schwachstellenmanagement. Zusätzlich schützen ein Immutable Backup und eine Kopie mit Air Gap die Sicherungen, falls eine Lücke doch ausgenutzt wird.