Schwachstellenmanagement & Penetrationstest
Neue Schwachstellen in Software und Systemen werden täglich veröffentlicht. Angreifer reagieren schnell – oft werden Systeme bereits innerhalb von Stunden nach Bekanntwerden einer Lücke angegriffen. Unternehmen unter DORA, NIS2 oder KRITIS müssen nachweisen, dass sie bekannte Schwachstellen systematisch erkennen und schließen.
Wissen wir, welche Angriffsfläche wir bieten – und haben wir sie unter Kontrolle?
Schwachstellenmanagement & Penetrationstest
Schritt 1 von 4 · Informationssicherheit
Schwachstellenmanagement: Welche Systeme sind kritisch – und wie schnell müssen Lücken geschlossen sein?
Zuerst klären wir, welche Systeme überwacht werden müssen und welche Prioritäten gelten. Daraus entsteht eine verbindliche Richtlinie:
Welche Systeme sind kritisch und müssen priorisiert behandelt werden?
Innerhalb welcher Fristen müssen Schwachstellen nach Schweregrad geschlossen sein?
Wie wird der Prozess für interne Nachvollziehbarkeit und externe Prüfer dokumentiert?
Ein Beispiel für klare Fristen:
| Schweregrad | Frist zur Behebung |
|---|---|
| Kritisch (CVSS ≥ 9) | 24 Stunden |
| Hoch (CVSS 7–8,9) | 7 Tage |
| Mittel (CVSS 4–6,9) | 14 Tage |
| Niedrig (CVSS < 4) | 30 Tage |
Schritt 2 von 4 · IT-Sicherheit
Die technische Umsetzung: Automatisiert scannen, priorisieren, patchen.
Die Richtlinie wird durch automatisierte Prozesse umgesetzt. Kein Mitarbeiter muss täglich manuell prüfen, das System meldet, priorisiert und dokumentiert selbst.
Kontinuierliches Scanning
Ein automatisierter Scanner prüft täglich alle relevanten Systeme. Neue Schwachstellen werden sofort erkannt und nach Schweregrad eingestuft. Bei kritischen Befunden erfolgt eine automatische Alarmierung.
Patch-Management
Sicherheitsupdates werden anhand einer Richtlinie systematisch eingespielt. Dabei werden diese nach Dringlichkeit priorisiert, getestet und dokumentiert. Kritische Patches werden nicht auf den nächsten Wartungstermin verschoben.
Hersteller wie Microsoft oder Cisco veröffentlichen täglich Security Advisories. Wir verfolgen diese Meldungen und übersetzen sie in konkrete Maßnahmen für Ihre Umgebung.
| Vorgabe | Technische Umsetzung |
|---|---|
| Tägliche Prüfung aller Systeme | Automatisierter Vulnerability-Scanner |
| Priorisierung nach Schweregrad | CVSS-Score-basierte Klassifizierung |
| Fristgerechte Behebung | Patch-Workflow mit Eskalation bei Überschreitung |
| Nachweisbarkeit | Lückenlose Protokollierung aller Maßnahmen |
Schritt 3 von 4 · Der kontrollierte Ernstfall
Die meisten Scan-Reports landen im Postfach – und bleiben dort liegen, bis der nächste Audit ansteht. Das ist keine Sicherheit. Das ist Aufschieben mit Dokumentation.
Schwachstellenmanagement erkennt bekannte Lücken. Ein Penetrationstest geht weiter: Er prüft, ob ein realer Angreifer durch Kombinationen von Schwachstellen, die ein Scanner nicht erkennt, in Ihre Systeme eindringen kann.
Schwachstellenmanagement findet, was bekannt ist. Der Penetrationstest findet, was möglich ist.
Wie wir vorgehen: Ein erfahrener Tester – extern und unabhängig von Ihrer IT – greift Ihre Systeme mit denselben Methoden an, die echte Angreifer nutzen. Kein theoretisches Regelwerk, sondern reale Angriffstechniken unter kontrollierten Bedingungen.
| Penetrationstest | Was geprüft wird |
|---|---|
| Externer Angriff | Ist Ihr Unternehmen von außen über Portale oder die Website angreifbar? |
| Interner Angriff | Was kann ein Angreifer tun, der bereits im Netzwerk ist? |
| Social Engineering | Können Mitarbeiter durch gezielte Täuschung kompromittiert werden? |
Am Ende steht ein Bericht, der zeigt: Wo die Lücken sind, wie kritisch sie sind, und was zu tun ist. Dieser Bericht dient auch als Nachweis gegenüber BaFin, BSI und ISO27001-Auditoren.
Schritt 4 von 4 · Nachweis und Nachverfolgung
Gefundene Schwachstellen müssen nachweislich behoben werden – nicht nur gemeldet. Wir prüfen das nach.
| Prüfpunkt | Was wir prüfen |
|---|---|
| Vollständigkeit | Wurden alle kritischen Systeme gescannt und getestet? |
| Fristtreue | Wurden Schwachstellen innerhalb der definierten Fristen behoben? |
| Wirksamkeit | Hat die Behebung die Lücke tatsächlich geschlossen? |
| Dokumentation | Ist der gesamte Prozess für Prüfer nachvollziehbar dokumentiert? |
Nach jedem Penetrationstest führen wir einen Retest durch: Wir prüfen, ob die identifizierten Schwachstellen wirklich behoben sind.
Kein Papier, das nach dem Audit im Regal verschwindet. Sondern ein System, das Angriffsflächen laufend reduziert – und das Sie gegenüber Prüfern, Aufsichtsbehörden und Kunden belegen können.
Eine prüfungsfeste Richtlinie für Schwachstellenmanagement und Patch-Fristen
Automatisiertes, kontinuierliches Scanning mit klarer Priorisierung
Penetrationstest mit realen Angriffstechniken und schriftlichem Bericht
Nachgewiesene Behebung aller kritischen Befunde
Vollständige Dokumentation als Nachweis gegenüber BaFin, BSI und ISO27001-Auditoren