Security Service
Vulnerability Management
Vulnerability Management ist der kontinuierliche Prozess, Schwachstellen zu erfassen, zu bewerten, zu priorisieren und bis zur Behebung nachzuverfolgen. Fokus ist ein steuerbares Risiko-Backlog statt einmaliger Scan-Outputs.
Kontinuierliche Sichtbarkeit
Wiederkehrende Scans mit definiertem Asset-Umfang.
Priorisierte Behebung
Risiko nach Kontext, Exploit-Lage und Kritikalitaet.
Messbarer Fortschritt
SLA, Aging, Coverage und Ausnahmen sind nachvollziehbar.
Vulnerability Management ersetzt keine Penetrationstests und garantiert keine “sichere” Umgebung. Es zeigt Schwachstellen auf und steuert deren Behebung, aber entdeckt nicht jede komplexe Angriffskette oder Konfigurationsfalle.
Kurzüberblick
- Kontinuierlicher Betrieb, keine Einmal-Aktion.
- Breite Abdeckung, meist toolbasiert und automatisiert.
- Fokus auf Risiko-Backlog und Behebungssteuerung.
- klare Prioritaeten statt langer Findings-Listen
- SLA-Tracking und Aging nach Ownern/Teams
- Transparenz ueber Abdeckung und Ausnahmen
- Regelmaessige Reports fuer Management und Betrieb
Passt zu Ihnen, wenn …
- Sie wiederkehrend patchen, aber Priorisierung fehlt.
- Asset-Owner klar sind und Tickets bearbeitet werden koennen.
- Sie Nachweise fuer Audits oder Kunden brauchen.
Sie Schwachstellen nicht nur finden, sondern auch nachhalten wollen.
Passt nicht, wenn …
- kein stabiles Asset-Inventar vorhanden ist.
- keine Ressourcen fuer Behebung und SLA-Tracking existieren.
- Sie auf Einmal-Scans ohne Betriebskonzept setzen.
Vulnerability Management vs. Pentest vs. Patch Management
kontinuierlich, breit, toolbasiert, priorisiert und nachverfolgt.
punktuell, manuell, tief, validiert kritische Angriffspfade.
setzt Patches um, steuert Rollout und Ausnahmen im Betrieb.
Vulnerability Management identifiziert und priorisiert, Patch Management setzt um, Penetrationstests validieren kritische Risiken.
Typische Anwendungsfaelle
- Mehrere Teams brauchen ein gemeinsames Risiko-Backlog.
- Audits fordern SLA, Aging und Abdeckung.
- Ausnahmen muessen begruendet und nachverfolgt werden.
- Hybrid-Umgebungen mit Servern, Cloud und SaaS.
- Exploits werden aktiv ausgenutzt, Prioritaeten muessen klar sein.
Ablauf & Methodik
Asset-Inventar, Owner, Scopes, Kritikalitaet, Ausnahmen.
Regelmaessige Erkennung, Normalisierung, Risiko-Scoring.
Tickets, SLA, Aging, Re-Scans und Abschlusskriterien.
Scope & Vorbereitung
- Asset-Inventar und Owner-Listen abstimmen.
- Netzbereiche, Cloud-Konten und Umgebungen definieren.
- Authentifizierte Scans und Wartungsfenster klaeren.
- Ausnahmen fuer OT/Legacy schriftlich festhalten.
Scans & Bewertung
- Findings normalisieren und deduplizieren.
- Risiko nach CVSS plus Kontext und Exploit-Lage bewerten.
- Kritische Findings mit festen Fristen und Ownern versehen.
- Ticketing und Reporting in vorhandene Tools integrieren.
Ohne klare Owner und feste Behebungsfenster bleibt der Backlog stehen. Gute Anbieter helfen, Verantwortungen und SLA pragmatisch zu definieren.
Ergebnisdokumente
- Priorisiertes Risiko-Backlog mit Ownern und Fristen.
- Reports zu SLA, Aging, Coverage und Ausnahmen.
- Validierte Abschlusskriterien durch Re-Scans.
- Nachweisbare Historie fuer Audits und Management.
Auswahlkriterien fuer Dienstleister
- Kontextbasierte Priorisierung statt reiner CVSS-Listen.
- Sauberes Ticketing, SLA-Tracking und Aging-Reporting.
- Klare Regeln fuer Ausnahmen und Risiko-Akzeptanz.
- Unterstuetzte Scanner, Agenten und Cloud-Integrationen.
- Datenstandort, Zugriff auf Rohdaten und Retention.
- Preismodell pro Asset, pro Scan oder pauschal.
Naechste Schritte
- Asset-Inventar und Owner validieren.
- Scope, Ausnahmen und Scan-Frequenz festlegen.
- SLA und Behebungsfenster pro Kritikalitaet definieren.
- Pilot starten und Coverage sowie Backlog messen.