Was ist Schwachstellenmanagement?

Schwachstellenmanagement ist der kontinuierliche Prozess der Identifizierung, Klassifizierung, Priorisierung und Behebung von Sicherheitslücken in Ihrer gesamten Infrastruktur, bevor Angreifer diese ausnutzen können. Wenn Ihr Unternehmen mehr als nur eine Handvoll Geräte betreibt, gibt es bereits Schwachstellen – die Frage ist nur, ob Sie davon wissen und einen Plan haben, diese zu beheben.

Warum Schwachstellenmanagement für IT- und Sicherheitsteams wichtig ist

Jede nicht gepatchte CVE, jeder falsch konfigurierte Dienst oder jede veraltete Betriebssystemversion ist ein potenzieller Einstiegspunkt. Angreifer suchen systematisch nach bekannten Schwachstellen – oft bereits innerhalb weniger Stunden nach deren öffentlicher Bekanntgabe. Schwachstellenmanagement ist die operative Disziplin, die dieses Zeitfenster schließt.

Es steht viel auf dem Spiel. Laut dem „Verizon Data Breach Investigations Report“ ist die Ausnutzung von Schwachstellen durchweg eine der häufigsten Methoden für den ersten Zugriff bei bestätigten Sicherheitsverletzungen. Ein ausgereiftes Schwachstellenmanagement-Programm reduziert die Angriffsfläche Ihres Unternehmens kontinuierlich – nicht nur nach einem Vorfall.

Für IT-Teams, die gemischte Geräteflotten verwalten, darunter macOS, iOS, iPadOS und andere Plattformen, steigt die Komplexität rapide an. Jede Plattform hat ihren eigenen Patch-Rhythmus, ihren eigenen Prozess zur Offenlegung von Schwachstellen und ihre eigenen Anforderungen an die Tools.

Die Kernkomponenten eines Schwachstellenmanagement-Programms

Schwachstellenmanagement ist ein fortlaufender Zyklus und kein einmaliges Projekt. Die Kernkomponenten sind:

1. Bestandsaufnahme der Assets

Was man nicht sieht, kann man nicht verwalten. Ein vollständiges, genaues Bestandsverzeichnis ist die Grundlage jedes Schwachstellenmanagement-Programms. Dazu gehören Hardware, Software, Betriebssystemversionen und Firmware. Lücken im Bestandsverzeichnis führen direkt zu blinden Flecken in Ihrer Sicherheitslage. Die Verwaltung des Hardware-Bestands ist eine Grundvoraussetzung, kein optionaler Schritt.

2. Schwachstellenscan

Scan-Tools überprüfen Ihre Endgeräte, Server und Netzwerkgeräte auf bekannte Schwachstellen, indem sie Systemkonfigurationen und Softwareversionen mit Schwachstellendatenbanken wie der National Vulnerability Database (NVD) abgleichen. Scans können authentifiziert (agentengestützt oder mit Anmeldedaten) oder nicht authentifiziert durchgeführt werden. Authentifizierte Scans liefern deutlich genauere Ergebnisse, da sie installierte Pakete und Konfigurationen direkt überprüfen können.

Einen tieferen Einblick, wie sich das Scannen in Ihren Arbeitsablauf einfügt, finden Sie unter „Schwachstellenscans: Ein Leitfaden für Praktiker“.

3. Schwachstellenbewertung und -klassifizierung

Sobald Schwachstellen identifiziert wurden, müssen sie klassifiziert werden. Das „Common Vulnerability Scoring System“ (CVSS) liefert eine standardisierte Schweregradbewertung von 0 bis 10. Doch reine CVSS-Werte allein reichen für die Priorisierung nicht aus. Eine Schwachstelle mit dem Schweregrad „kritisch“ in einer Software, die nicht mit dem Internet verbunden ist, birgt ein anderes Risiko als dieselbe Bewertung bei einem von außen zugänglichen Dienst.

Bei der Klassifizierung sollten folgende Faktoren berücksichtigt werden:

• CVSS-Basiswert, d. h. den inhärenten Schweregrad der Schwachstelle
• Ausnutzbarkeit: ob öffentlicher Exploit-Code existiert
• Kritikalität der Ressource: Wie wichtig ist das betroffene System für den Geschäftsbetrieb?
• Exposition: ob das System mit dem Internet verbunden ist, sich in einem segmentierten Netzwerk befindet oder über eine Air-Gap-Verbindung verfügt
• CISA-KEV-Status: ob die Schwachstelle im CISA -Katalog „Known Exploited Vulnerabilities“ aufgeführt ist

4. Priorisierung

Die Priorisierung ist der Punkt, an dem die meisten Programme entweder erfolgreich sind oder ins Stocken geraten. Sicherheitsteams sehen sich routinemäßig mit Tausenden offener Schwachstellen konfrontiert, während die Kapazitäten für deren Behebung begrenzt sind. Der Versuch, alles sofort zu patchen, ist betrieblich nicht machbar. Ein risikobasierter Ansatz konzentriert die Bemühungen auf die Schwachstellen, die am ehesten ausgenutzt werden und am ehesten echten Schaden verursachen.

Die Priorisierung und Behebung von CVEs ist eine eigenständige Disziplin. Teams, die dies gut umsetzen, nutzen Threat-Intelligence-Feeds, Bewertungssysteme zur Exploit-Vorhersage (EPSS) und den Kontext der Systeme, um fundierte Triage-Entscheidungen zu treffen.

5. Behebung

Die Behebung kann verschiedene Formen annehmen:

• Patching: Anwendung von herstellerseitig bereitgestellten Updates zur Beseitigung der Schwachstelle
• Konfigurationshärtung: Änderung von Einstellungen, um den Schwachpunkt zu beseitigen (z. B. Deaktivierung eines nicht benötigten Dienstes)
• Ausgleichsmaßnahmen: Wenn das Installieren von Patches nicht sofort möglich ist, werden abmildernde Maßnahmen wie Netzwerksegmentierung oder erweiterte Überwachung hinzugefügt
• Akzeptanz: Formelle Dokumentation, dass ein Risiko geprüft und akzeptiert wurde, mit einem festgelegten Prüfdatum

Eine wirksame Behebung erfordert die Koordination zwischen den Bereichen Sicherheit, IT-Betrieb und den Anwendungsverantwortlichen. Die Festlegung von SLAs nach Schweregrad (z. B. kritische Schwachstellen innerhalb von 24 Stunden behoben, hohe Schwachstellen innerhalb von 7 Tagen) schafft Verantwortlichkeit.

6. Überprüfung und Berichterstattung

Überprüfen Sie nach der Behebung durch erneutes Scannen der betroffenen Systeme, ob die Korrektur korrekt angewendet wurde. Die Berichterstattung schließt den Kreis: Sie belegt die Einhaltung interner SLAs, unterstützt Audit-Anforderungen und verschafft der Führungsebene im Laufe der Zeit Einblick in den Zustand des Programms.

Schwachstellenmanagement vs. Patch-Management

Diese Begriffe werden oft synonym verwendet, sind jedoch nicht identisch. Das Patch-Management ist ein Teilbereich des Schwachstellenmanagements. Beim Patchen werden Schwachstellen durch die Installation von Software-Updates behoben, doch viele Schwachstellen lassen sich nicht allein durch einen Patch beheben. Fehlkonfigurationen, unsichere Standardeinstellungen und Software am Ende ihrer Lebensdauer erfordern Abhilfemaßnahmen, die über das Patchen hinausgehen.

Ein ausgereiftes Schwachstellenmanagement-Programm umfasst das Patch-Management, deckt aber auch das Konfigurationsmanagement, die Steuerung des Software-Lebenszyklus und kompensierende Kontrollmaßnahmen ab.

Gängige Rahmenwerke und Standards

Mehrere Branchenrahmenwerke bieten eine Struktur für Schwachstellenmanagement-Programme:

• NIST SP 800-40 (Leitfaden zur Planung des Patch-Managements in Unternehmen) bietet praktische Anleitungen zum Aufbau und zur Bewertung von Patch-Management-Fähigkeiten
• CIS Controls v8, Kontrolle 7 (Kontinuierliches Schwachstellenmanagement), definiert spezifische Schutzmaßnahmen, darunter automatisierte Scans, die Nachverfolgung von Abhilfemaßnahmen und eine risikobasierte Priorisierung
• ISO/IEC 27001, Anhang A.12.6, behandelt das technische Schwachstellenmanagement als Teil eines umfassenderen Informationssicherheits-Managementsystems (ISMS)
• PCI DSS-Anforderung 6 schreibt die Identifizierung von Schwachstellen und die Installation von Patches für Systeme vor, die Karteninhaberdaten speichern, verarbeiten oder übertragen

Die Ausrichtung Ihres Programms an einem dieser Rahmenwerke bietet Ihnen eine fundierte Grundlage und vereinfacht die Compliance-Berichterstattung bei Audits.

Schwachstellenmanagement auf Apple-Geräten

Apple-Endgeräte erfordern besondere Überlegungen. macOS, iOS und iPadOS haben ihre eigenen Zeitpläne für die Offenlegung von Sicherheitslücken und eigene Mechanismen zur Behebung. Apple veröffentlicht Sicherheitsinformationen für jede Version auf seiner Seite für Sicherheitsupdates, doch um auf dem neuesten Stand zu bleiben, ist eine MDM-Durchsetzung erforderlich – nicht nur Aufforderungen an die Benutzer.

Zu den häufigen Apple-spezifischen Herausforderungen gehören:

• Fragmentierung der Betriebssystem-Updates: Ohne MDM-Durchsetzung weichen die Betriebssystemversionen im Gerätepark erheblich voneinander ab, insbesondere nach größeren Releases
• Sicherheitslücken in Anwendungen von Drittanbietern: Browser, Produktivitätswerkzeuge und Entwicklertools führen unabhängig von Apples Patch-Rhythmus zu Sicherheitslücken
• BYOD-Szenarien: Privatgeräte in Unternehmensumgebungen erschweren sowohl die Transparenz als auch die Befugnisse zur Behebung; die Verwaltung von BYOD-Geräten erfordert einen anderen Durchsetzungsansatz
• Isolierte Tools: Viele Schwachstellenscanner wurden für Windows-zentrierte Umgebungen entwickelt und liefern unter macOS unvollständige Ergebnisse

Für Unternehmen, die überwiegend Apple-Hardware einsetzen, überschneiden sich hier die Bereiche Apple-Geräteverwaltung und Schwachstellenmanagement direkt.

Wie Iru das Schwachstellenmanagement angeht

Iru wurde speziell für Apple-Geräteflotten entwickelt, was bedeutet, dass die Funktionen zum Schwachstellenmanagement auf das tatsächliche Verhalten von Apple-Geräten zugeschnitten sind und nicht aus einer Windows-orientierten Architektur adaptiert wurden.

In der Praxis sieht das wie folgt aus:

• Kontinuierliche Bestandserfassung von Betriebssystemen und Software: Iru bietet einen Echtzeit-Überblick über die Betriebssystemversion, die installierten Anwendungen und den Patch-Status jedes Geräts, ohne dass manuelle Abfragen erforderlich sind. Diese Daten fließen direkt in die Workflows zur Schwachstellenbewertung ein.
• Automatisierte Workflows zur Behebung: Wenn Apple ein Sicherheitsupdate veröffentlicht, kann Iru dieses Update über MDM-native Mechanismen flottenweit durchsetzen – mit konfigurierbaren Aufschubfristen und der Durchsetzung von Fristen für Endnutzer.
• Benutzerdefinierte Skripte und Durchsetzung von Konfigurationen: Bei Schwachstellen, die Konfigurationsänderungen anstelle von Patches erfordern (Deaktivierung unsicherer Protokolle, Durchsetzung von FileVault, Verwaltung des SIP-Status), beschleunigt die Bibliothek von Iru mit vorgefertigten Skripten und Compliance-Parametern die Behebung, ohne dass benutzerdefinierte Tools erforderlich sind.
• Integration mit Endpoint Detection and Response (EDR): Iru lässt sich in führende EDR-Lösungen integrieren, sodass der Kontext der Sicherheitslücken in die aktive Bedrohungsüberwachung einfließt und umgekehrt.
• Compliance-Berichterstattung: Die Compliance-Ansichten von Iru ordnen den Gerätestatus Rahmenwerken wie den CIS-Benchmarks und NIST-Kontrollen zu und liefern Sicherheitsteams auditfähige Dokumentation ohne manuelle Tabellenkalkulationsarbeit.

Das einheitliche Plattformmodell spielt hier eine entscheidende Rolle. Wenn Ihr MDM und Ihre Sicherheitstools auf dieselben Gerätedaten zurückgreifen, beseitigen Sie die Abgleichlücke, die dazu führt, dass Patches in einem Tool als installiert, in einem anderen jedoch als nicht verifiziert angezeigt werden.

Aufbau eines skalierbaren Schwachstellenmanagement-Programms

Schwachstellenmanagement ist kein Tool, das man einmal einsetzt und dann vergisst. Es erfordert operative Disziplin: eine konsistente Scan-Abdeckung, klare Zuständigkeiten für die Behebung sowie regelmäßige Programmüberprüfungen.

So starten Sie ein Programm oder verbessern ein bereits bestehendes:

1. Beginnen Sie mit der Vollständigkeit Ihrer Bestandsaufnahme. Wenn Ihr Bestand unvollständig ist, beheben Sie dies zuerst. Ein Scanner, der 80 % Ihrer Geräte abdeckt, vermittelt Ihnen ein falsches Gefühl der Abdeckung.

2. Definieren Sie Ihre Schweregrad-SLAs explizit. Dokumentieren Sie den erwarteten Zeitrahmen für die Behebung bei kritischen, hohen, mittleren und niedrigen Befunden. Holen Sie die Zustimmung der Führungskräfte ein.

3. Integrieren Sie das Programm in Ihren Änderungsmanagementprozess. Patches, die einen Systemneustart oder Konfigurationsänderungen erfordern, müssen mit den Betriebsteams abgestimmt werden, um ungeplante Ausfallzeiten zu vermeiden.

4. Automatisieren Sie, wo immer es möglich ist. Manuelles Patchen in großem Umfang ist nicht nachhaltig. Durch MDM erzwungene Betriebssystem-Updates und die automatisierte Anwendungsbereitstellung beseitigen ganze Kategorien von Verzögerungen.

5. Berichten Sie über Trends, nicht nur über Momentaufnahmen. Eine im Laufe der Zeit sinkende Anzahl von Sicherheitslücken bei gleichzeitig verbesserter SLA-Einhaltung sagt mehr aus als ein einmaliger Auditbericht.

Wenn Sie sehen möchten, wie Iru das Schwachstellenmanagement in einer Apple-Geräteflotte handhabt, fordern Sie eine Demo an, um den Arbeitsablauf unter Berücksichtigung Ihrer spezifischen Umgebung durchzugehen.