de
Support
Wie viele Systeme in Ihrem Netz sind angreifbar? Potenzielle Angreifer finden die Lücken automatisiert. Schwachstellenmanagement heißt, ihnen zuvorzukommen und die Lücken selbst zu schließen. Beim SerNet Forum am 9. September zeigen wir gemeinsam mit Greenbone, wie das gelingt. Melden Sie sich direkt an unter sernet.de/forum.
Die automatisierte Suche kennt weder Branche noch Größe. Sie kennt erreichbare Dienste mit bekannten Lücken. Die Gegenseite arbeitet dabei mit einer tagesaktuellen Inventur Ihrer exponierten Systeme – Sie womöglich mit einer Netzwerkdokumentation, die zwei Jahre alt ist. Patchmanagement pflegt, was bekannt ist. Ein Schwachstellen-Scanner prüft, was tatsächlich läuft. "Wir sind zu klein und zu uninteressant – das ist der Satz, den ich sehr häufig in Beratungsgesprächen höre", sagt Krischan Jodies, Teamleitung Sichere Infrastruktur bei SerNet. "Automatisierte Angriffe suchen aber keine interessanten Ziele, sondern erreichbare. Netzwerke wachsen, Zuständigkeiten wechseln, Projekte hinterlassen Reste. Der Scanner findet zuerst Geräte, von denen im Unternehmen niemand mehr wusste, dass es sie gibt."
Ein Kreislauf, kein Projekt
Zum Schwachstellenmanagement gehören fortlaufendes Erfassen eigener Systeme, Prüfen auf bekannte Lücken, Bewerten nach tatsächlichem Risiko, Beheben und erneutes Prüfen. Anders als ein Penetrationstest, der einmalig in die Tiefe geht, arbeitet es dauerhaft in der Breite. Der Scanner deckt davon einen Schritt ab, danach folgt Organisationsarbeit.
Vor allem die Bewertung nimmt kein Werkzeug ab: Eine kritisch eingestufte Lücke im abgeschotteten Testsegment drängt weniger als eine mittelschwere am Perimeter. Danach steht die Frage, wer welchen Fund in welcher Frist bearbeitet und wer entscheidet, falls ein geplanter Patch den Betrieb stört.
Mitko Dimitrow, Senior Security Consultant beim Osnabrücker Open-Source-Hersteller Greenbone, beschreibt beim Forum vier Reifegradstufen und ordnet das Thema entlang der Cyber Kill Chain ein. Am Anfang steht mit P0 die Standortbestimmung — den eigenen Reifegrad erfassen, Ziele definieren, Bedarfe ableiten. P1 macht daraus Technik: Scans aufsetzen, Schwachstellen erkennen, Daten konsolidieren, das Team qualifizieren. In P2 kommt die Steuerung dazu, also die Kritikalität der Assets bewerten, priorisieren und die Behebung strukturieren. P3 beschreibt Governance und Nachweisfähigkeit mit Kennzahlen, Reporting und Auditfähigkeit. Auch wer bisher gar nicht scannt, findet sich in P0 wieder — die Stufe ist als Einstieg gedacht.
Die Schwelle liegt dabei selten bei der Technik. "Die meisten Organisationen scheitern nicht am Scan, sondern an der Frage, wer den Fund am nächsten Morgen bearbeitet", sagt Dimitrow.
Greenbone entwickelt seit 2008 Lösungen für Schwachstellenmanagement und ist Hersteller von OPENVAS, dem weltweit am häufigsten eingesetzten Open-Source-Werkzeug dieser Art. SerNet setzt es in Kundenprojekten ein und vertraut darauf auch in der eigenen Infrastruktur.
Was SerNet dazu beiträgt
Unsere Kolleginnen und Kollegen stimmen das Angebot auf Ihre Infrastruktur ab und begleiten Sie von der Implementierung bis zur regelmäßigen Wartung und Anpassung Ihrer Sicherheitslösung. Das beinhaltet, den Schutzbedarf vorab zu klären, Scan-Fenster festzulegen, die den Betrieb nicht stören, und dafür zu sorgen, dass Ergebnisse bei den Verantwortlichen ankommen statt in einem Postfach. "Der Scanner liefert die Fakten. Was daraus folgt, entscheidet sich in der Organisation", sagt Jodies. Dazu gehört dann u.a. auch ein Reporting, mit dem sich die Nachweispflichten aus NIS2 belegen lassen.
Kurz & knapp – das SerNet Forum
Wann: 9. September 2026, 17:00 Uhr
Ort: Medienhaus Göttingen
Wer: Mitko Dimitrow (Greenbone) und das SerNet-Team
Teilnahme: kostenfrei, Anmeldung unter sernet.de/forum
Sie wollen nicht bis September warten? Unser Vertriebsteam bespricht mit Ihnen, wie Schwachstellenmanagement zu Ihrer Infrastruktur passt.
