Schwachstellenmanagement
Definition
Schwachstellenmanagement bezeichnet den kontinuierlichen operativen Prozess zur Identifikation, Klassifizierung, Priorisierung und vollständigen Behebung von Sicherheitslücken in IT-Systemen und eingesetzter Software. Es umfasst den regelmäßigen Einsatz automatisierter Vulnerability-Scanner, die systematische Auswertung von CVE-Datenbanken und Herstellersicherheitshinweisen, ein strukturiertes Patching-Management mit definierten Reaktionszeiten und die lückenlose Nachverfolgung offener Schwachstellen bis zur verifizierten vollständigen Behebung. Eine risikoorientierte Priorisierung ist dabei entscheidend. CVSS-Scores bieten einen standardisierten Rahmen für die Schweregradklassifizierung und sollten als Grundlage für Patch-Prioritäten dienen.
Rechtsgrundlage
Die Pflicht zum Schwachstellenmanagement ergibt sich aus § 30 Abs. 2 Nr. 7 BSIG, der Konzepte und Verfahren zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen und zur Behebung bekannter Schwachstellen vorschreibt. Das BSI-CERT koordiniert nationale Schwachstellenmeldungen über den Security Advisory Service und veröffentlicht zeitnah Warnmeldungen für betroffene Produktkategorien. Koordinierte Schwachstellenoffenlegung gemäß § 12 BSIG ist relevant, wenn betroffene Einrichtungen selbst Schwachstellen in Produkten Dritter entdecken und melden möchten. Betroffene Einrichtungen sollten BSI-Sicherheitswarnungen automatisch abonnieren, um zeitnah über neu entdeckte Schwachstellen in ihrer eingesetzten Software informiert zu sein.
Praktische Implikation
Ein effektives Schwachstellenmanagement erfordert einen automatisierten Vulnerability-Scanner und einen klar definierten Patching-Zyklus: Kritische CVEs mit CVSS-Score über 9.0 innerhalb von 24 Stunden, hohe Schwachstellen innerhalb von sieben Tagen, mittlere innerhalb von 30 Tagen. Alle Scan-Ergebnisse und Maßnahmenumsetzungen müssen im Ticketing-System vollständig nachverfolgbar dokumentiert sein. Das BSI kann Nachweise über das Schwachstellenmanagement im Rahmen von Kontrollen anfordern — eine lückenlose Dokumentationshistorie aller identifizierten und behobenen Schwachstellen ist daher unerlässlich und sollte mindestens drei Jahre aufbewahrt werden. Monatliche Scan-Berichte und Patching-Statusreports sind ein effektives Instrument zur Nachweisführung und zur frühzeitigen Erkennung von Trends im Schwachstellenaufkommen.
Verwandte Begriffe
Verwandte Inhalte
Leistungen
Checklisten
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen