Katalog
method#Sicherheit#Governance#Observability#Zuverlässigkeit

Vulnerability Management

Kontinuativer Prozess zur Identifikation, Bewertung und Behebung von Sicherheitslücken in IT-Systemen.

Vulnerability Management ist ein kontinuierlicher Prozess zur Identifikation, Bewertung, Priorisierung und Behebung von Sicherheitslücken in IT-Systemen.
Etabliert
Mittel

Klassifikation

  • Mittel
  • Technisch
  • Organisation
  • Fortgeschritten

Technischer Kontext

SIEM (Security Information and Event Management)Ticketing-Systeme (z. B. Jira, ServiceNow)CI/CD-Pipeline zur Blockierung kritischer Builds

Prinzipien & Ziele

Kontinuierliche Überwachung statt punktueller Audits.Risikobasierte Priorisierung von Remediation-Aufgaben.Klare Verantwortlichkeiten und SLA für Fixes.
Betrieb
Unternehmen, Domäne, Team

Use Cases & Szenarien

Kompromisse

  • Überlastung von Teams durch unpriorisierte Findings.
  • Falsches Vertrauen in automatisierte Scanner ohne Validierung.
  • Mangelnde Koordination führt zu offenen Remediation-Tickets.
  • Automatisierte Scans mit regelmäßiger Validierung kombinieren.
  • Risikobasierte Priorisierung statt rein CVSS-basierter Reihenfolge.
  • Klare SLAs für Remediation und Eskalationspfade einführen.

I/O & Ressourcen

  • Asset-Inventar (Hosts, Anwendungen, Cloud-Ressourcen)
  • Zugriff auf Scan-Tools und Anmeldeinformationen
  • Sicherheits- und Geschäftskontext zur Priorisierung
  • Priorisierte Schwachstellenliste mit Verantwortlichkeiten
  • Remediation-Tickets in Ticketing-System
  • Regelmäßige KPI-Reports für Stakeholder

Beschreibung

Vulnerability Management ist ein kontinuierlicher Prozess zur Identifikation, Bewertung, Priorisierung und Behebung von Sicherheitslücken in IT-Systemen. Die Methode umfasst Schwachstellenscans, Asset-Inventarisierung, Risikobewertung und Koordination von Remediation-Maßnahmen. Sie integriert Tools, Prozesse und Rollen über Organisationseinheiten hinweg.

✔

  • Reduktion der Angriffsfläche durch systematische Beseitigung von Lücken.
  • Besseres Reporting und Nachvollziehbarkeit von Sicherheitsmaßnahmen.
  • Kürzere Time-to-Fix für kritische Schwachstellen.

✖

  • Erfordert vollständiges und aktuelles Asset-Inventar.
  • Scans erzeugen False-Positives, die validiert werden müssen.
  • Nicht alle Schwachstellen sind sofort patchbar (Legacy-Systeme).

  • Time-to-Fix

    Durchschnittliche Zeit vom Finden bis zur Behebung einer Schwachstelle.

  • Anzahl kritischer Open Findings

    Aktuelle Anzahl der als kritisch eingestuften, noch offenen Schwachstellen.

  • Remediation-Rate

    Prozentualer Anteil der geschlossenen Tickets pro Zeitraum.

Konzernweite Schwachstellenkampagne

Quartalsweise Scans, zentrales Tracking und Pilot für automatische Patches auf kritischen Systemen.

Team-basiertes Remediation-Workflow

Dezentrale Durchführung durch Teams mit zentraler Priorisierung und Reporting an Security Operations.

Integration mit CI/CD-Pipeline

Schwachstellenscans in Build-Stage, Blockierung kritischer Findings vor Deployment.

1

Asset-Inventar aufbauen und kategorisieren.

2

Scan-Tools evaluieren, pilotieren und ausrollen.

3

Priorisierungsregeln (z. B. CVSS + Business-Context) definieren.

4

Ticketing- und Reporting-Integrationen einrichten.

5

Regelmäßige Reviews und KPI-Optimierung etablieren.

⚠️ Technische Schulden & Engpässe

  • Alte Systeme ohne Patch-Path müssen manuelle Maßnahmen erhalten.
  • Unzureichend automatisierte Validierungsprozesse erhöhen Aufwand.
  • Fehlende Integration zu Ticketing verursacht Nachbearbeitungsaufwand.
Unvollständiges InventarBegrenzte Remediation-KapazitätManuelle Validierungsprozesse
  • Scans nur außerhalb der Geschäftszeiten ohne Follow-up.
  • Tickets an nicht zuständige Teams ohne klare Verantwortlichkeit senden.
  • Automatische Schließung von Findings nach Zeitablauf ohne Prüfung.
  • Unvollständige Inventarisierung führt zu blinden Flecken.
  • Zu viele False-Positives schwächen Akzeptanz im Team.
  • Fehlende Abstimmung zwischen Security und Betrieb verzögert Fixes.
Grundverständnis von Netzwerken und BetriebssystemenErfahrung mit Schwachstellenscannern und InterpretationProzess- und Koordinationsfähigkeiten für Remediation
Vollständiges Asset-InventarIntegrationen zu Ticketing- und CI/CD-SystemenAutomatisierte Scans und Reporting
  • • Einschränkungen bei produktiven Scans (Performance, Wartungsfenster)
  • • Rechtliche oder regulatorische Vorgaben zur Datenverarbeitung
  • • Legacy-Systeme ohne Patch-Support