Kurzdefinition: Schwachstellenmanagement ist der fortlaufende, gesteuerte Prozess, Schwachstellen zu erkennen, zu bewerten, zu priorisieren, zu beheben und die Behebung zu überprüfen. Es verwandelt einzelne Funde in ein systematisches, nachweisbares Risiko-Handling.
Was ist Schwachstellenmanagement?
Der geregelte Umgang mit Schwachstellen über ihren Lebenszyklus: von der Erkennung über die Bewertung und Priorisierung bis zur Behebung und Kontrolle.
Wie unterscheidet es sich vom Patch-Management?
Patch-Management ist ein Teil davon. Schwachstellenmanagement ist der übergreifende Prozess, der auch Schwachstellen ohne Patch (Mitigations) und die Priorisierung umfasst.
Wie priorisiert man Schwachstellen?
Nach Schweregrad, Exponiertheit und tatsächlicher Ausnutzung. Eine aus dem Internet erreichbare, aktiv ausgenutzte Lücke hat Vorrang vor einer internen, theoretischen.
Warum ist es ein Dauerprozess?
Weil ständig neue Schwachstellen bekannt werden. Ein einmaliger Scan veraltet sofort; nur ein fortlaufender Prozess hält das Risiko unter Kontrolle.
Was braucht es als Grundlage?
Ein vollständiges Asset-Inventar und definierte Verantwortlichkeiten. Man kann nur die Schwachstellen der Systeme managen, die man kennt.
Häufige Fehlannahmen
- „Ein jährlicher Scan reicht.“ Nein. Schwachstellenmanagement ist fortlaufend.
- „Alle Schwachstellen sind gleich dringend.“ Nein. Priorisierung ist entscheidend.
- „Ohne Patch kann man nichts managen.“ Doch. Mitigations gehören dazu.
- „Der Prozess ist reine Technik.“ Nein. Er braucht Verantwortlichkeiten und Steuerung.
- „Funde ohne Behebung genügen.“ Nein. Erst die kontrollierte Behebung zählt.
Was die Geschäftsleitung tun sollte
- Erkennen. Schwachstellen kontinuierlich scannen und beziehen.
- Priorisieren. Nach Risiko und Ausnutzung ordnen.
- Beheben. Patches oder Mitigations umsetzen.
- Nachhalten. Behebung überprüfen und dokumentieren.
Für die Geschäftsleitung
Schwachstellenmanagement macht aus zufälligen Funden einen gesteuerten Prozess. Wer Schwachstellen fortlaufend erkennt, risikobasiert priorisiert und die Behebung nachweisbar kontrolliert, hält die Angriffsfläche dauerhaft klein.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
