Jede Woche werden hunderte neue Sicherheitslücken in Software und Geräten veröffentlicht. Angreifer nutzen diese Listen genauso wie Verteidiger – nur oft schneller. Schwachstellenmanagement sorgt dafür, dass du die Lücken in deinem Betrieb zuerst findest.
Was ist Schwachstellenmanagement?
Schwachstellenmanagement ist ein laufender Prozess, der Sicherheitslücken in allen Geräten und Programmen eines Betriebs findet, nach Risiko ordnet und schließt. Es ist kein einmaliger Test, sondern ein Kreislauf – vergleichbar mit der regelmäßigen Überprüfung eines Firmenfahrzeugs.
Warum lohnt sich das für kleine Betriebe?
- Angriffe sind automatisiert: Programme durchsuchen das Internet nach bekannten Lücken. Sie fragen nicht, wie groß dein Betrieb ist.
- Kleine Netze haben vergessene Geräte: der alte Router, das NAS im Keller, die Kamera am Eingang. Genau dort finden Scans die meisten Probleme.
- Updates allein reichen nicht: Fehlkonfigurationen, Standardpasswörter und Geräte ohne Herstellersupport werden durch Updates nicht behoben.
- Nachweise werden verlangt: Versicherungen, Auftraggeber und das NISG 2026 fragen zunehmend nach einem geregelten Umgang mit Schwachstellen.
Wie läuft Schwachstellenmanagement ab?
- Inventur: Welche Geräte, Programme und Cloud-Dienste gibt es? Was nicht auf der Liste steht, kann nicht geschützt werden.
- Scannen: Automatische Werkzeuge prüfen die Systeme von innen und außen auf bekannte Lücken und unsichere Einstellungen. Ein bekanntes Open-Source-Werkzeug dafür ist zum Beispiel OpenVAS von Greenbone.
- Priorisieren: Nicht jede Lücke ist gleich gefährlich. Wichtig sind der Schweregrad (CVSS-Wert), ob die Lücke bereits aktiv ausgenutzt wird und ob das Gerät aus dem Internet erreichbar ist.
- Beheben: Updates einspielen, Einstellungen ändern, Geräte ersetzen oder abschotten, wenn es keine Lösung gibt.
- Kontrollieren: Nachscan, ob die Lücke wirklich geschlossen ist – und dokumentieren.
Danach beginnt der Kreislauf von vorn: monatlich oder laufend automatisiert.
Faustregel fürs Priorisieren: Erreichbar aus dem Internet und aktiv ausgenutzt? Sofort. Kritisch, aber nur intern erreichbar? Diese Woche. Mittel oder niedrig? Im nächsten Wartungsfenster.
Was unterscheidet das von einem Penetrationstest?
Ein Penetrationstest ist ein einmaliger, gezielter Angriffsversuch durch Fachleute. Er zeigt, wie weit ein Angreifer kommen würde. Schwachstellenmanagement ist der laufende Basisschutz dazwischen. Für die meisten kleinen Betriebe ist das laufende Management der wichtigere Schritt, ein Pentest kann später folgen.
Was sagt das Gesetz?
Die NIS2-Richtlinie nennt den Umgang mit Schwachstellen ausdrücklich als Teil der Risikomanagementmaßnahmen. Für Unternehmen, die unter das NISG 2026 fallen, ist es also Pflicht. Für alle anderen ist es gute Praxis, die Auftraggeber zunehmend auch von Lieferanten erwarten. Mehr in Was bei NIS2 wirklich gilt.
Häufige Fragen
Brauche ich dafür eigene Software?
Nicht unbedingt. Als Teil einer IT-Betreuung läuft das Scannen über die Werkzeuge des Dienstleisters, du bekommst einen verständlichen Bericht. Mehr unter Leistungen.
Wie oft sollte gescannt werden?
Systeme, die aus dem Internet erreichbar sind, laufend oder wöchentlich. Interne Systeme mindestens monatlich. Zusätzlich nach jeder größeren Änderung.
