Schwachstellenbewertungen

Schwachstellenbewertungen sind ein systematischer Prozess zur Identifizierung, Bewertung und Priorisierung von Sicherheitslücken in Informationssystemen. Ziel ist es, potenzielle Angriffsflächen zu erkennen, das Risikoniveau für Geschäftsprozesse zu reduzieren und Compliance-Anforderungen zu unterstützen.

Der Ablauf umfasst typischerweise die Bestandsaufnahme der Vermögenswerte (Assets), das Scoping, den Einsatz automatisierter Schwachstellenscanner und ergänzende manuelle Prüfschritte. Gefundene Lücken werden nach Kriterien wie Auswirkungsgrad, Exploitbarkeit und Wiederherstellungskosten bewertet und priorisiert. Die Ergebnisse fließen in einen Bericht mit betroffenen Systemen, CVSS-Scores, empfohlenen Abhilfemaßnahmen (Patches, Konfigurationsänderungen, Umgehungsmaßnahmen) sowie Verantwortlichkeiten und zeitlicher Planung ein. Anschließend erfolgt eine Remediation und, nach Umsetzung, eine Verifizierung durch erneute Scans oder Tests.

Anwendungsbereiche reichen von Netz- und Host-Schwachstellen über Webanwendungen bis zu Cloud- und OT-Umgebungen. Die Schwachstellenbewertung dient der Risikosteuerung und einem kontinuierlichen Verbesserungsprozess, der regelmäßige Scans, Patch- und Konfigurationsmanagement sowie Nachprüfungen umfasst. Sie unterscheidet sich von Penetrationstests, bei denen geprüfte Lücken aktiv ausgenutzt werden, um deren reale Machbarkeit und Auswirkungen zu demonstrieren; bei Schwachstellenbewertungen liegt der Fokus auf Identifikation, Bewertung und Priorisierung.

Standards und Bezugspunkte umfassen CVSS-basierte Risikobewertung sowie normative Rahmenwerke wie ISO/IEC 27001, NIST-Richtlinien und branchenbezogene Anforderungen (z. B. PCI DSS), die Vorgaben für Vulnerability Management geben.