Viele Unternehmen verbinden Schwachstellenscans mit dem jährlichen Sicherheitsaudit: Einmal im Jahr kommen die Prüfer, lassen einen Scanner laufen und übergeben einen Bericht voller roter Zellen, und die IT-Abteilung behebt zwei Wochen lang Mängel. Danach herrscht Ruhe bis zum nächsten Jahr.
Das Problem: Zwischen zwei Audits vergehen zwölf Monate. In dieser Zeit veröffentlichen die Hersteller Tausende neuer Schwachstellen, und Angreifer nutzen sie binnen Tagen, nicht Monaten. Ein Jahresbericht zeigt die Vergangenheit, nicht den aktuellen Stand.
In diesem Artikel erklären wir, was eine Schwachstelle und eine CVE tatsächlich sind, wie sich ein Scan von einem Penetrationstest unterscheidet, wie Sie Prioritäten setzen, damit das IT-Team nicht in der Liste untergeht, und warum ein monatlicher Zyklus für ein NIS2- oder DORA-Audit kein Luxus, sondern das Minimum ist.
Was eine Schwachstelle ist und was CVE bedeutet
Eine Schwachstelle ist ein Fehler in Software oder Konfiguration, der sich für etwas Unerwünschtes ausnutzen lässt: ohne Passwort hineinkommen, fremden Code ausführen, fremde Daten lesen. Sie kann in einem Betriebssystem, einem Browser, einer Serveranwendung, einem Netzwerkgerät oder sogar einem Drucker stecken.
CVE (Common Vulnerabilities and Exposures) ist ein öffentliches Verzeichnis bekannter Schwachstellen. Jede erhält eine Kennung, zum Beispiel CVE-2026-12345, eine Beschreibung und einen Schweregrad auf der CVSS-Skala von 0 bis 10. Der Wert zeigt, wie viel Schaden angerichtet werden kann und wie leicht das geht.
Das praktische Problem: Ein CVSS-Wert weiß nichts über Ihr Unternehmen. Eine Zehn bei einem isolierten System, das aus dem Internet nicht erreichbar ist, kann weniger dringlich sein als eine Sieben bei einer öffentlich erreichbaren VPN-Appliance.
Ein weiterer häufiger Irrtum ist die Annahme, Schwachstellen gebe es nur auf Servern. Nach unserer Erfahrung liegen die meisten kritischen Befunde auf Netzwerkgeräten, deren Firmware seit dem Kauf nicht aktualisiert wurde, und auf Arbeitsplatzrechnern mit alten Versionen von Browsern oder PDF-Readern.
Scan und Penetrationstest sind verschiedene Werkzeuge
Diese beiden Leistungen werden oft verwechselt, beantworten aber verschiedene Fragen.
Der Schwachstellenscan läuft automatisch. Der Scanner prüft jedes Gerät im Netz, vergleicht die gefundenen Software-Versionen und Konfigurationen mit dem CVE-Verzeichnis und erstellt eine Liste: was, wo, welcher Schweregrad. Er ist schnell (Stunden), wiederholbar und verhältnismäßig günstig, eignet sich also für den regelmäßigen Einsatz.
Ein Penetrationstest ist Handarbeit. Ein Spezialist verhält sich wie ein Angreifer: Er versucht, mehrere Schwachstellen zu einem echten Angriff zu verketten, von einem System zum nächsten zu gelangen und ein bestimmtes Ziel zu erreichen. Das dauert Tage oder Wochen und beantwortet die Frage „Kann jemand eindringen?“, nicht „Welche Schwächen gibt es?“.
| Frage | Scan | Penetrationstest |
|---|---|---|
| Wer führt ihn durch | Software | Ein Mensch |
| Häufigkeit | Monatlich oder öfter | Einmal im Jahr oder nach größeren Änderungen |
| Ergebnis | Liste von Schwachstellen mit Bewertung | Angriffsszenario und Folgen |
| Beantwortet die Frage | Was aktualisiert werden muss | Ob die Abwehr als Ganzes funktioniert |
Das eine ersetzt das andere nicht. Ein Penetrationstest ohne regelmäßige Scans findet Lücken, die der Scanner schon ein halbes Jahr früher gezeigt hätte. Scans ohne Test zeigen nicht, ob sich mehrere kleine Lücken zu einer großen summieren.
Warum jeden Monat
Drei Gründe sind nach unserer Erfahrung am wichtigsten.
Erstens der Update-Zyklus. Microsoft, Browserhersteller und die meisten anderen veröffentlichen jeden Monat Patches. Ein Scan nach jedem Zyklus zeigt, was installiert wurde und was nicht. Ohne ihn erfahren Sie von einem fehlenden Update erst nach einem Vorfall.
Zweitens verändert sich die Umgebung. Jeden Monat kommt ein neuer Computer, ein neuer Server oder eine neue Anwendung hinzu, und jemand öffnet „vorübergehend“ einen Port. Ein jährlicher Scan sieht diese Änderungen elf Monate lang nicht.
Drittens die Zeit zwischen Bekanntwerden und Ausnutzung. Wird eine kritische Schwachstelle in einem verbreiteten VPN- oder Mailsystem veröffentlicht, beginnen binnen Tagen massenhafte Ausnutzungsversuche. Erfahren Sie davon aus einem Jahresbericht, ist es bereits zu spät.
In manchen Situationen ist ein Monat zu lang: Öffentlich erreichbare Server und Netzwerkgeräte scannen wir wöchentlich und unmittelbar nach kritischen CVEs.
Wie Sie Prioritäten setzen, damit das Team nicht untergeht
Der erste Bericht für ein typisches Unternehmen mit 50 Arbeitsplätzen hat mehrere hundert Zeilen. Alles auf einmal zu beheben ist unmöglich und unnötig. Die Prioritätslogik:
- Erreichbarkeit aus dem Internet. Alles mit öffentlicher IP-Adresse oder offenem Port kommt zuerst, unabhängig vom Wert.
- Bekannte aktive Ausnutzung. CVEs, die bereits bei echten Angriffen verwendet werden, kommen an zweiter Stelle, auch bei mittlerem CVSS-Wert.
- Bedeutung des Systems. Der Domänencontroller, der Buchhaltungsserver und die E-Mail vor einem Testserver.
- Der CVSS-Wert ist erst das vierte Kriterium, wenn die ersten drei gleich sind.
- Alte Schwachstellen, die sich jeden Monat wiederholen, sind eine eigene Kategorie: Meist ist es ein System, das niemand mehr aktualisiert, und die Lösung ist kein Patch, sondern Ersatz oder Isolierung.
Das Ergebnis ist eine Liste von zehn oder zwanzig Punkten, die sich innerhalb eines Monats abarbeiten lassen, nicht von dreihundert, die abschrecken und deshalb liegen bleiben.
Das Update-Fenster und was nach dem Scan geschieht
Scannen ohne Updates ist nur ein Bericht. Für Kunden legen wir ein festes Update-Fenster fest: zum Beispiel Arbeitsplatzrechner dienstagnachts nach der Veröffentlichung der Microsoft-Patches, Server donnerstagnachts nach dem Test. Die Mitarbeitenden wissen, wann ihr Computer neu startet, und die Buchhaltung weiß, wann der Server 20 Minuten nicht verfügbar ist.
Der Zyklus sieht so aus: Scan, Prioritätenliste, Updates im Fenster, ein erneuter Scan, der bestätigt, dass die Lücken geschlossen sind. Was sich nicht sofort beheben lässt, bleibt mit Begründung und Frist im Bericht.
Lässt sich ein Update nicht installieren (zum Beispiel, weil der Hersteller das System nicht mehr unterstützt oder der Patch im Test fehlgeschlagen ist), setzen wir eine ausgleichende Maßnahme ein: Zugriff per Firewall einschränken, eine zusätzliche EDR-Regel aktivieren oder das System in ein isoliertes Netzsegment verschieben. Das wird im Bericht als Entscheidung festgehalten, nicht als unerledigte Arbeit.
Berichte für NIS2- und DORA-Audits
Beide Regelwerke verlangen einen Prozess für das Schwachstellenmanagement, keine einmalige Prüfung. Der Prüfer fragt nicht „Haben Sie gescannt?“, sondern „Wie oft, wer wertet die Ergebnisse aus, wie schnell beheben Sie kritische Befunde und wo ist das dokumentiert?“.
Ein monatlicher Zyklus liefert genau das: zwölf Berichte im Jahr, jeder mit den Angaben, was gefunden, was behoben wurde und was mit Begründung offen bleibt. Für Unternehmen des Finanzsektors unter DORA ist es zudem wichtig zu zeigen, dass kritische Systeme häufiger gescannt werden und auch Systeme Dritter (zum Beispiel eines Cloud-Anbieters) einbezogen sind. Über die NIS2-Anforderungen und die Vorbereitung darauf schreiben wir gesondert.
Wie das in der IT-Betreuung enthalten ist
In unserer IT-Betreuung ist der Schwachstellenscan keine Extra-Position. Jeden Monat scannen wir alle betreuten Arbeitsplätze, Server und Netzwerkgeräte, erstellen die Prioritätenliste, installieren Updates im vereinbarten Fenster, und die Geschäftsführung des Kunden erhält eine einseitige Zusammenfassung und einen vollständigen Bericht, der der Compliance-Dokumentation beigefügt werden kann. Penetrationstests und eine breitere Bewertung erfolgen gesondert als IT-Sicherheitsaudit.
Wo Sie anfangen sollten
- Suchen Sie den letzten Schwachstellenbericht. Ist er älter als drei Monate oder gibt es keinen, ist das bereits Ihre Antwort.
- Listen Sie alles auf, was aus dem Internet erreichbar ist: VPN, E-Mail, Website, Remotedesktop. Dort beginnt der Scan.
- Vereinbaren Sie mit den Fachabteilungen ein Update-Fenster, damit Patches nicht „auf später, wenn es passt“ verschoben werden.
- Legen Sie namentlich fest, wer jeden Monat für die Auswertung der Ergebnisse verantwortlich ist.
- Fehlen Ihnen die internen Ressourcen, nehmen Sie Kontakt auf. Wir nehmen den monatlichen Zyklus ohne Aufpreis in die IT-Betreuung auf und beginnen mit einem Erstscan.
