Schwachstellenmanagement

Was umfasst Schwachstellenmanagement?

Mehr als Patchen: Schwachstellen stecken auch in Fehlkonfigurationen, schwachen Passwörtern, überflüssigen Zugriffsrechten, vergessenen Testsystemen und nicht dokumentierter Shadow-IT. Der Prozess läuft als Kreislauf: Inventarisieren (was existiert überhaupt?), Scannen und Bewerten (welche Lücken gibt es, wie kritisch sind sie im eigenen Kontext?), Priorisieren (was zuerst - nach Risiko, nicht nach Scanner-Farbe), Beheben (Patch, Konfiguration, Kompensation) und Verifizieren (ist die Lücke wirklich zu?).

Warum scheitert es in KMU so oft?

Die typischen Muster: Ein Scan wird einmal beauftragt, der Bericht landet im Ordner, niemand verfolgt die Findings weiter. Oder die schiere Menge an Meldungen überfordert - ohne Priorisierung wirkt jede Liste endlos. Dazu kommen fehlende Zuständigkeit („macht das nicht der IT-Dienstleister?”) und fehlende Dokumentation, die bei Audits, Versicherungsfällen oder Kundenanfragen zum Problem wird. Der Ausweg ist Pragmatismus: wenige, dafür regelmäßige Scans, klare Verantwortliche, konsequente Nachverfolgung der kritischen Findings.

Wie hängt es mit Pentest und Patch-Management zusammen?

Patch-Management ist das wichtigste Behebungswerkzeug innerhalb des Schwachstellenmanagements; der Penetrationstest ist die punktuelle Härteprobe, deren Ergebnisse zurück in den Kreislauf fließen. Den kompletten Aufbau - auch mit knappen Ressourcen - beschreibt der Schritt-für-Schritt-Leitfaden zum Schwachstellenmanagement.