Vulnerability Management, auf Deutsch Schwachstellenmanagement, ist der kontinuierliche, systematische Prozess, mit dem Unternehmen Sicherheitslücken in ihren IT-Systemen, Anwendungen und Netzwerken identifizieren, bewerten, priorisieren, beheben und die Behebung nachweisbar dokumentieren. Ziel ist es, die Angriffsfläche fortlaufend zu reduzieren, bevor Schwachstellen von Angreifern ausgenutzt werden. Im Unterschied zu einer einmaligen Prüfung ist Vulnerability Management ein wiederkehrender Kreislauf, der mit definierten Rollen, Werkzeugen und Reaktionszeiten (SLAs) fest im IT-Betrieb verankert wird.

Der Begriff grenzt sich von verwandten Konzepten ab: Ein einzelner Schwachstellenscan ist nur ein Werkzeug innerhalb des Prozesses, eine Schwachstellenanalyse oder ein Vulnerability Assessment ist eine punktuelle Bestandsaufnahme. Vulnerability Management ist der organisatorische Rahmen, der diese Bausteine einordnet und dafür sorgt, dass aus erkannten Lücken tatsächlich behobene Lücken werden.

Wie läuft der Vulnerability-Management-Prozess ab?

Der Schwachstellenmanagement-Prozess wird üblicherweise als fortlaufender Lebenszyklus beschrieben. In der Praxis haben sich fünf Phasen etabliert:

  1. Identifikation (Asset-Inventar): Bevor Schwachstellen gefunden werden können, muss klar sein, was überhaupt geschützt werden soll. Grundlage ist ein möglichst vollständiges Verzeichnis aller Assets: Server, Clients und Endgeräte, Komponenten der Netzwerkinfrastruktur, Cloud-Ressourcen, Anwendungen und Schnittstellen. Nicht erfasste Systeme bleiben blinde Flecken.
  2. Bewertung und Scan: Automatisierte Schwachstellenscanner prüfen die Systeme in festen Intervallen auf bekannte Sicherheitslücken. Man unterscheidet authentifizierte Scans (mit Zugangsdaten, für einen tieferen Einblick) und unauthentifizierte Scans (aus der Außenperspektive eines Angreifers). Die Scanner gleichen Software-Stände gegen öffentliche Schwachstellendatenbanken ab, allen voran CVE (Common Vulnerabilities and Exposures).
  3. Priorisierung: Da laufend neue Schwachstellen bekannt werden, kann und muss nicht jede Lücke sofort geschlossen werden. Als Basisbewertung dient der CVSS-Score auf einer Skala von 0 bis 10. Entscheidend ist jedoch die risikobasierte Priorisierung: Wird die Lücke bereits aktiv ausgenutzt? Ist das System aus dem Internet erreichbar? Welche Daten wären betroffen? Eine mittlere Lücke auf einem exponierten System kann dringender sein als eine kritische auf einem isolierten Testrechner.
  4. Remediation (Behebung): Für jede priorisierte Schwachstelle wird eine Maßnahme gewählt: ein Patch aus dem Patch-Management, eine Konfigurationsänderung, eine kompensierende Schutzmaßnahme wie Netzsegmentierung oder das dokumentierte, bewusste Akzeptieren eines geringen Restrisikos. Für die Bearbeitung werden Fristen festgelegt, gestaffelt nach Kritikalität.
  5. Reporting und Verifizierung: Ein erneuter Scan bestätigt, dass die Lücke tatsächlich geschlossen wurde. Trend-Reports zeigen, wie sich die Zahl offener Schwachstellen entwickelt. Eine zentrale Kennzahl ist die Mean Time to Remediate (MTTR), also die durchschnittliche Zeit bis zur Behebung.

Was bedeutet der CVSS-Score?

Der CVSS (Common Vulnerability Scoring System) bewertet die technische Schwere einer Schwachstelle und teilt sie in vier Stufen ein: niedrig (0,1 bis 3,9), mittel (4,0 bis 6,9), hoch (7,0 bis 8,9) und kritisch (9,0 bis 10,0). Er beschreibt allerdings nur das Gefährdungspotenzial an sich, nicht die Bedeutung im konkreten Unternehmensumfeld.

Ergänzend gewinnen deshalb kontextbezogene Modelle an Bedeutung. EPSS (Exploit Prediction Scoring System) schätzt die Wahrscheinlichkeit ab, dass eine Schwachstelle tatsächlich ausgenutzt wird. Listen aktiv ausgenutzter Schwachstellen wie der CISA-KEV-Katalog zeigen, welche Lücken bereits in realen Angriffen verwendet werden. Erst die Kombination aus CVSS, Ausnutzungswahrscheinlichkeit und Exponiertheit des betroffenen Systems ergibt eine belastbare Priorisierung.

Welche Tools kommen im Schwachstellenmanagement zum Einsatz?

Für das Scanning kommen etablierte Werkzeuge zum Einsatz, etwa Tenable Nessus, Qualys VMDR, Rapid7 InsightVM, Microsoft Defender Vulnerability Management oder die Open-Source-Lösung OpenVAS/Greenbone. Diese Scanner liefern jedoch nur Rohdaten. Der Wert entsteht erst durch die saubere Einbettung in den Prozess aus Priorisierung, Behebung und Nachkontrolle, häufig flankiert durch ein zentrales Monitoring der betroffenen Systeme.

Worin unterscheiden sich Schwachstellenscan und Penetrationstest?

Beide Verfahren werden häufig verwechselt, ergänzen sich aber. Ein Schwachstellenscan läuft weitgehend automatisiert, deckt breit bekannte Schwachstellen anhand von Software-Versionen und Signaturen auf und wird häufig wiederholt. Ein Penetrationstest im Rahmen der Offensive Security wird dagegen manuell von Sicherheitsexperten durchgeführt: Sie versuchen aktiv, Schwachstellen auszunutzen, Ketten aus mehreren Lücken zu bilden und so reale Angriffe zu simulieren.

Penetrationstests gehen tiefer, sind aber punktuell und seltener. Vulnerability Management ist der übergeordnete, dauerhafte Prozess, in den beide Prüfarten einfließen.

Warum ist Schwachstellenmanagement für den Mittelstand wichtig?

Ungepatchte Schwachstellen zählen zu den häufigsten Einstiegspunkten für Cyber-Angriffe und insbesondere für Ransomware. Angreifer scannen das Internet automatisiert nach verwundbaren Systemen, oft innerhalb weniger Tage nach Bekanntwerden einer Lücke. Wer Schwachstellen nicht systematisch schließt, verlässt sich darauf, nicht gefunden zu werden.

Gerade im Mittelstand fehlt jedoch oft die Kapazität, Scanner-Ergebnisse regelmäßig auszuwerten, richtig zu priorisieren und Fristen einzuhalten. Genau hier entsteht das größte Risiko: nicht das Finden von Schwachstellen, sondern das konsequente, zeitnahe Beheben. Schwachstellenmanagement ist damit ein Grundbaustein jeder IT-Security-Strategie und ergänzt weiterführende Konzepte wie Zero Trust, die die Angriffsfläche zusätzlich verkleinern.

Welche Compliance-Vorgaben fordern Schwachstellenmanagement?

Für viele Unternehmen ist Vulnerability Management längst nicht mehr nur eine technische Kür, sondern zunehmend regulatorische Pflicht. Mit der NIS2-Richtlinie und ihrer Umsetzung in deutsches Recht wird ein systematischer Umgang mit Schwachstellen für viele Unternehmen und ihre Lieferketten verbindlich.

Auch bewährte Rahmenwerke fordern es ausdrücklich: Die ISO/IEC 27001 verlangt ein technisches Schwachstellenmanagement, in der Fassung 2022 als Maßnahme 8.8. Der BSI IT-Grundschutz adressiert es im Kontext von Patch- und Änderungsmanagement. Organisatorisch verankert wird der Prozess üblicherweise in einem ISMS.

Wie setzt NetPlans Managed Vulnerability Management um?

Als IT-Systemhaus mit Fokus auf Managed Security betreibt NetPlans Vulnerability Management als durchgängigen, betreuten Prozess: von der Asset-Erfassung über regelmäßige Scans und die risikobasierte Priorisierung bis zur Behebung und dem verständlichen Reporting. In enger Anbindung an ein rund um die Uhr besetztes Security Operations Center (SOC) lassen sich neu bekannt gewordene, kritische Schwachstellen schnell einordnen und priorisiert schließen, ohne dass interne IT-Teams den vollen Aufwand allein tragen müssen. So wird aus punktuellen Scans ein belastbares, nachweisbares Sicherheitsniveau.

Häufige Fragen zum Schwachstellenmanagement

Was ist Vulnerability Management einfach erklärt?

Vulnerability Management ist der laufende Prozess, Sicherheitslücken in der eigenen IT zu finden, nach Risiko zu bewerten und die gefährlichsten zuerst zu schließen, vergleichbar mit einer regelmäßigen, systematischen Gesundheitsvorsorge für die IT-Landschaft.

Was ist der Unterschied zwischen Vulnerability Management und einem Penetrationstest?

Ein Schwachstellenscan im Vulnerability Management ist automatisiert, breit und häufig, ein Penetrationstest ist eine manuelle, tiefe Prüfung, bei der Experten Schwachstellen aktiv ausnutzen. Der Scan zeigt bekannte Lücken, der Penetrationstest zeigt, was ein realer Angreifer damit anrichten könnte. Beides ergänzt sich.

Wie oft sollten Schwachstellen-Scans durchgeführt werden?

Externe Systeme sollten mindestens monatlich, idealerweise wöchentlich gescannt werden, interne Systeme mindestens quartalsweise. Nach größeren Änderungen wie neuen Systemen oder umfangreichen Updates empfiehlt sich ein zusätzlicher Scan. Für kritische Systeme setzt sich kontinuierliches Scanning zunehmend als Standard durch.

Was bedeutet der CVSS-Score?

Der CVSS (Common Vulnerability Scoring System) bewertet die technische Schwere einer Schwachstelle auf einer Skala von 0 bis 10: niedrig (0,1 bis 3,9), mittel (4,0 bis 6,9), hoch (7,0 bis 8,9) und kritisch (9,0 bis 10,0). Er ist eine Basisbewertung, ersetzt aber keine risikobasierte Priorisierung im konkreten Umfeld.

Welche Tools werden im Vulnerability Management eingesetzt?

Verbreitet sind Tenable Nessus, Qualys VMDR, Rapid7 InsightVM, Microsoft Defender Vulnerability Management sowie die Open-Source-Lösung OpenVAS/Greenbone. Die Werkzeugauswahl hängt von der bestehenden IT-Umgebung und der Anzahl der zu schützenden Assets ab.

Ist Vulnerability Management für den Mittelstand Pflicht?

Für viele Unternehmen wird ein systematisches Schwachstellenmanagement durch Vorgaben wie NIS2 sowie durch Standards wie ISO/IEC 27001 verbindlich oder faktisch vorausgesetzt. Auch ohne direkte Pflicht ist es eine der wirksamsten und wirtschaftlichsten Basismaßnahmen der IT-Sicherheit.

Was ist der Unterschied zwischen Schwachstellenmanagement und Patch-Management?

Ein Patch-Management ist das Einspielen und Verwalten von Software-Updates und damit eine von mehreren möglichen Maßnahmen zur Behebung. Schwachstellenmanagement ist der übergeordnete Prozess, der zusätzlich das Auffinden, Bewerten, Priorisieren und Nachweisen umfasst, auch dort, wo kein Patch verfügbar ist.