Schwachstellenmanagement, das nicht bei der Fundliste aufhört
Beginnen Sie mit dem, was jeder im Internet über Sie sehen kann – und arbeiten Sie sich von dort nach innen.
Sie haben ein Ergebnis. Was bedeutet es?
Der Schnellcheck zeigt, was von außen sichtbar ist. Darunter steht, wie die Fachbegriffe dahinter zu lesen sind – und wie aus einer Fundliste ein Schwachstellenmanagement wird, das etwas verändert.
Was eine Schwachstelle ist
Eine Schwachstelle ist ein Fehler oder eine Fehlkonfiguration in Software, Hardware oder einem Ablauf, die sich missbrauchen lässt. Sie ist nicht der Angriff, sondern die Gelegenheit dazu: die unverschlossene Tür, nicht der Einbruch.
Drei Begriffe werden im Alltag durcheinandergeworfen, obwohl sie verschiedene Dinge meinen. Wer sie trennt, hat den Einstieg ins Schwachstellenmanagement schon gemacht.
- Schwachstelle
- Die Lücke selbst: ein Programmierfehler, ein fehlender Patch, ein zu weit gefasstes Recht, ein offener Dienst.
- Bedrohung
- Wer oder was die Lücke ausnutzen könnte – von der automatisierten Massenausnutzung bis zum gezielten Angriff.
- Risiko
- Die Kombination aus beidem, gewichtet mit dem, was auf dem Spiel steht. Nur darüber lässt sich sinnvoll priorisieren.
Deshalb führt die Frage nach der Anzahl in die Irre. Brauchbar ist die Frage, welche Lücke von außen erreichbar ist, sich mit vorhandenen Mitteln ausnutzen lässt und etwas trifft, das wehtut.
CVE, CVSS und OWASP Top 10
Drei Abkürzungen tauchen in praktisch jedem Prüfbericht auf. Sie beschreiben unterschiedliche Dinge – wer sie verwechselt, priorisiert falsch.
CVE – die Kennung
Eine CVE (Common Vulnerabilities and Exposures) ist die weltweit eindeutige Nummer einer konkreten Schwachstelle in einem konkreten Produkt. CVE-2021-44228 bezeichnet Log4Shell und nichts sonst. Vergeben wird sie von akkreditierten Stellen, den CNAs, zu denen viele Hersteller selbst gehören. Die Nummer belegt, dass etwas dokumentiert ist – nicht, wie gefährlich es für Sie ist.
CVSS – die technische Schwere
Das CVSS (Common Vulnerability Scoring System) bewertet auf einer Skala von 0 bis 10, wie schwer eine Lücke technisch wiegt: über das Netz ausnutzbar oder nur lokal, mit oder ohne Rechte, mit oder ohne Mitwirkung eines Nutzers. Der Basiswert beschreibt die Schwachstelle im luftleeren Raum und weiß nichts von Ihrer Umgebung.
OWASP Top 10 – die Fehlerklassen
Während CVE und CVSS Einzelfälle beschreiben, ordnet die OWASP Top 10 die häufigsten Fehlerklassen in Webanwendungen. Sie ist herstellerneutral und wird regelmäßig überarbeitet; aktuell gilt die Fassung 2025. Für Eigenentwicklungen gibt es keine CVE-Nummer – dort ist die Fehlerklasse der einzige brauchbare Zugang.
| Begriff | Was es beschreibt | Wer es pflegt | Was es nicht sagt |
|---|---|---|---|
| CVE | Eine einzelne, dokumentierte Schwachstelle in einem Produkt | MITRE mit akkreditierten CNAs | Ob Sie betroffen sind und wie dringend es ist |
| CVSS | Die technische Schwere auf einer Skala von 0 bis 10 | FIRST | Ob die Lücke in Ihrer Umgebung überhaupt erreichbar ist |
| OWASP Top 10 | Die häufigsten Fehlerklassen in Webanwendungen | Open Worldwide Application Security Project | Ob Ihre Anwendung konkret betroffen ist |
Warum der Punktwert allein nicht entscheidet
Drei Fragen bestimmen die tatsächliche Dringlichkeit. Keine davon beantwortet der CVSS-Basiswert.
Ist das System erreichbar?
Eine Lücke in einem Dienst, der nur im internen Netz lauscht, ist etwas anderes als dieselbe Lücke auf einem Server, den jeder aus dem Internet erreicht.
Lässt sie sich ausnutzen?
Zwischen theoretisch denkbar und öffentlich verfügbarem Angriffscode liegen Welten. Das EPSS schätzt die Ausnutzungswahrscheinlichkeit, die KEV-Liste der US-Behörde CISA führt Schwachstellen, deren Ausnutzung nachweislich beobachtet wurde.
Was liegt dahinter?
Ein Testsystem ohne echte Daten und das Kundenportal mit Bestandsdaten sind nicht gleich schutzbedürftig, auch wenn dieselbe Software darauf läuft.
Ein CVSS von 9,8 auf einem abgeschalteten Testsystem ist weniger dringend als eine 6,5 auf dem Portal, über das Ihre Kunden ihre Verträge einsehen. Wer stur nach Punktwert abarbeitet, investiert Aufwand an der falschen Stelle.
Priorisierung mit EPSS und KEV im DetailDie OWASP Top 10 2025 im Überblick
Die zehn Kategorien der aktuellen Fassung. Kein Prüfkatalog, sondern eine Landkarte der Fehler, die in Webanwendungen am häufigsten und am folgenreichsten auftreten.
- A01 Broken Access Control
- Zugriffskontrolle, die sich umgehen lässt: fremde Datensätze über manipulierte Kennungen, Funktionen ohne Rechteprüfung.
- A02 Security Misconfiguration
- Standardpasswörter, offene Verwaltungsoberflächen, gesprächige Fehlermeldungen, fehlende Sicherheits-Header.
- A03 Software Supply Chain Failures
- Risiken aus fremdem Code und der Lieferkette: Abhängigkeiten, Build-Werkzeuge, Update-Wege.
- A04 Cryptographic Failures
- Fehlende oder schwache Verschlüsselung, veraltete Verfahren, ungeschützte Übertragung schützenswerter Daten.
- A05 Injection
- Eingaben, die als Befehl ausgeführt werden – in der Datenbank, auf der Kommandozeile oder als Skript im Browser des Nutzers.
- A06 Insecure Design
- Lücken, die bereits im Entwurf angelegt sind und sich durch sauberere Programmierung nicht schließen lassen.
- A07 Authentication Failures
- Schwache Anmeldung: Rateangriffe ohne Bremse, unsichere Sitzungsverwaltung, fehlende Mehr-Faktor-Authentisierung.
- A08 Software or Data Integrity Failures
- Ungeprüfte Updates, Daten und Komponenten – niemand stellt fest, dass unterwegs etwas verändert wurde.
- A09 Security Logging and Alerting Failures
- Ohne Protokollierung und Alarmierung bleibt ein Angriff unbemerkt, bis Dritte darauf hinweisen.
- A10 Mishandling of Exceptional Conditions
- Falsch behandelte Fehlerfälle: Systeme, die im Ausnahmezustand in eine unsichere Betriebsart fallen.
Kategorien nach OWASP Top 10:2025, abgerufen im August 2026. Die Bezeichnungen stehen bewusst in der englischen Originalfassung, weil Prüfberichte und Werkzeuge sie so ausweisen.
Erfassen, bewerten, beheben, nachweisen
Ein Scan ist eine Messung zu einem Zeitpunkt und endet mit einer Liste. Schwachstellenmanagement ist der Prozess darum herum – zyklisch, weil sich alles darunter bewegt.
Erfassen
Sie können nur schützen, was Sie kennen. Der häufigste Einstiegspunkt ist nicht die exotische Lücke, sondern das vergessene System.
Bewerten
Kennung, technische Schwere, Erreichbarkeit, Ausnutzbarkeit und Schutzbedarf fließen zusammen. Ergebnis ist eine Rangfolge.
Beheben
Priorisiert nach Wirkung pro Aufwand, mit Zuständigkeit und Frist. Wo nichts geht, tritt eine kompensierende Maßnahme an ihre Stelle.
Nachweisen
Die Wirksamkeit wird nachgeprüft, nicht angenommen. Das ist zugleich die Grundlage für Audits.
ISO 27001 verlangt einen geregelten Umgang mit technischen Schwachstellen, NIS2 nimmt die Geschäftsleitung ausdrücklich in die Verantwortung. In beiden Fällen ist der Nachweis nicht die Fundliste, sondern der belegbare Prozess mit Zuständigkeiten, Fristen und Wirksamkeitskontrolle.
Unsere Leistungen im Schwachstellenmanagement
SECURITYSQUAD ist ein nach ISO 27001 auf Basis von IT-Grundschutz zertifizierter Dienstleister für Informationssicherheit. Wir arbeiten herstellerneutral und übernehmen den Kreislauf ganz oder in Teilen – von der ersten Bestandsaufnahme bis zum Nachweis gegenüber Auditoren.
Laufende externe Überwachung
Wir prüfen Ihre von außen erreichbaren Systeme fortlaufend statt in Kampagnen und melden Abweichungen, sobald sie auftreten: ablaufende Zertifikate, verwaiste DNS-Einträge, neu geöffnete Dienste.
Schnellcheck startenBewertung und Priorisierung
Wir übersetzen Fundlisten in eine Rangfolge – was erreichbar ist, was ausnutzbar ist, was dahinterliegt. Ergebnis ist ein Maßnahmenplan nach Wirkung pro Aufwand, keine nach Punktwert sortierte Tabelle.
Cyber-Risiko-Check ansehenBehebung und technische Härtung
Sicherheitsarchitektur, Netzwerk- und Client-Security: die Umsetzung, wenn aus Befunden Maßnahmen werden. Wo sich eine Lücke nicht schließen lässt, entwerfen wir die kompensierende Maßnahme.
Technische Härtung ansehenNachweis und Audit-Vorbereitung
Schwachstellenmanagement ist eine Anforderung der ISO 27001. Wir verankern den Prozess im ISMS, dokumentieren Entscheidungen und Fristen und bereiten Sie auf das Audit vor.
Unsere Zertifizierung ansehenErkennung im Betrieb mit GUARDIANVIEW
Zwischen zwei Prüfläufen ist eine periodische Messung zwangsläufig blind. Unser Managed SIEM erkennt Angriffe, während sie laufen.
GUARDIANVIEW ansehenVerantwortung als externer ISB
Wir stellen Ihren Informationssicherheitsbeauftragten und übernehmen die Verantwortung für den Prozess, statt Ihnen eine Fundliste zu hinterlassen.
Externen ISB kennenlernenHäufige Fragen zu Schwachstellen
Was ist der Unterschied zwischen einem Schwachstellenscan und Schwachstellenmanagement?
Ein Scan ist eine Messung zu einem Zeitpunkt und endet mit einer Liste. Schwachstellenmanagement ist der Prozess darum herum: Wer erfährt von einem Befund, wer entscheidet über die Dringlichkeit, wer setzt um, bis wann, und wie wird die Wirksamkeit nachgewiesen. Ohne diesen Prozess sammeln sich Berichte an, ohne dass sich am Sicherheitsniveau etwas ändert.
Was bedeutet CVE, und wie unterscheidet es sich von CVSS?
Eine CVE ist die eindeutige Kennung einer konkreten Schwachstelle in einem konkreten Produkt – eine Nummer, kein Urteil. Das CVSS bewertet deren technische Schwere auf einer Skala von 0 bis 10. Die CVE sagt, worüber gesprochen wird; das CVSS, wie schwer es technisch wiegt. Ob es für Sie dringend ist, sagt keines von beiden.
Ist ein kostenloser Sicherheitscheck von außen legal?
Solange ausschließlich öffentlich publizierte Daten abgerufen werden – DNS-Einträge, das TLS-Zertifikat, die Startseite, standardisierte Well-Known-Pfade –, entspricht das technisch einem Browserbesuch, und eine Einverständniserklärung ist dafür nicht erforderlich. Aktive Tests sind etwas anderes: Sie greifen in Systeme ein und berühren in Deutschland die §§ 202a ff. StGB.
Wie oft sollte auf Schwachstellen geprüft werden?
Fortlaufend statt in Kampagnen. Konfigurationen verrutschen, Zertifikate laufen ab, DNS-Einträge verwaisen, neue Schwachstellen erscheinen täglich. Für extern erreichbare Systeme hat sich eine laufende Überwachung bewährt, ergänzt um eine vertiefte Prüfung nach größeren Änderungen.
Ersetzt der Schnellcheck einen Penetrationstest?
Nein. Der Schnellcheck ist passiv und zeigt, was von außen ohne Eingriff sichtbar ist. Ein Penetrationstest prüft aktiv, ob sich die verbleibende Angriffsfläche tatsächlich ausnutzen lässt. Er wird ausschließlich mit schriftlicher Beauftragung durchgeführt und lohnt sich, wenn die passiv sichtbaren Punkte abgearbeitet sind.
Befunde einordnen lassen
Sie haben den Bericht und möchten die Ergebnisse bewerten, priorisieren oder einen Tiefentest beauftragen? Wir nehmen uns die Zeit dafür.
Gespräch vereinbaren