Wissen · Schwachstellen
Schwachstellenmanagement-Prozess: vom Befund zur Behebung
Schwachstellenmanagement ist der wiederkehrende Prozess, Schwachstellen in Systemen zu finden, nach Risiko zu bewerten, zu beheben und die Behebung nachzuweisen. Entscheidend ist nicht die Zahl der Befunde, sondern die richtige Reihenfolge.
Aktualisiert am 14. November 2026
FIGSchwachstellenmanagement-Prozess
Die sechs Schritte des Prozesses
- Inventar: Ohne vollständiges Asset-Inventar bleiben Systeme ungeprüft (siehe Attack Surface Management).
- Erkennen: Scanner, Agenten und Cloud-Anbindungen liefern Befunde.
- Bewerten: Schweregrad, Ausnutzbarkeit, Erreichbarkeit und Geschäftswert zusammenführen.
- Priorisieren: Reihenfolge nach Risiko festlegen und Fristen vergeben.
- Beheben: Patch, Konfigurationsänderung oder kompensierende Maßnahme.
- Nachprüfen und belegen: Erneut scannen, Ergebnis dokumentieren.
Warum CVSS allein nicht reicht
Der CVSS-Wert beschreibt den technischen Schweregrad einer Schwachstelle – nicht das Risiko für Ihr Unternehmen. Ein großer Teil der Schwachstellen mit hohem CVSS-Wert wird nie ausgenutzt oder betrifft Systeme, die gar nicht erreichbar sind. Wer strikt nach CVSS arbeitet, bindet Kapazität an den falschen Stellen.
Bessere Signale: EPSS, KEV und Angriffspfade
- EPSS (Exploit Prediction Scoring System von FIRST) schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird.
- Der KEV-Katalog der US-Behörde CISA listet Schwachstellen, die nachweislich aktiv ausgenutzt werden.
- Erreichbarkeit und Angriffspfade zeigen, ob eine Schwachstelle von außen erreichbar ist und zu kritischen Systemen führt – das leistet Exposure Management.
Fristen und Nachweise
Behebungsfristen sollten sich nach Risiko richten, etwa wenige Tage für aktiv ausgenutzte, erreichbare Schwachstellen auf kritischen Systemen. Für Audits nach ISO/IEC 27001 (Anhang A 8.8 „Handhabung technischer Schwachstellen“) und für NIS2 zählt, dass Prozess, Fristen und Behebung nachvollziehbar dokumentiert sind.
Worauf es bei Software für Schwachstellenmanagement ankommt
- Zusammenführung aller Quellen ohne Dubletten
- Priorisierung nach Ausnutzbarkeit und Erreichbarkeit, nicht nur nach CVSS
- Aufgaben mit Kontext für die zuständigen Teams
- Automatische Nachprüfung nach der Behebung
- Berichte mit Verlauf für Prüfer und Geschäftsleitung
01Plattform
Passende Produkte
02FAQ
Häufige Fragen
Was ist risikobasiertes Schwachstellenmanagement?
Ein Vorgehen, das Schwachstellen nicht nur nach technischem Schweregrad, sondern nach tatsächlichem Risiko priorisiert: Ausnutzbarkeit, Erreichbarkeit und Bedeutung des betroffenen Systems.
Was ist der Unterschied zwischen CVSS und EPSS?
CVSS bewertet, wie schwer eine Schwachstelle technisch wiegt. EPSS schätzt, wie wahrscheinlich ihre Ausnutzung in naher Zukunft ist. Beide zusammen ergeben ein besseres Bild als einer allein.
Wie oft sollte gescannt werden?
Kritische und aus dem Internet erreichbare Systeme fortlaufend, interne Systeme mindestens wöchentlich – und immer nach wesentlichen Änderungen.
Know your exposure.
Control your risk.
3Kontakt
Sprechen Sie mit uns über Ihre Angriffsfläche, Ihre Prioritäten und den passenden Einstieg in XMfortress.