Wissen · Compliance-Leitfaden

ISO 27001 Schwachstellenmanagement: was Control 8.8 verlangt

Die ISO/IEC 27001:2022 regelt den Umgang mit Schwachstellen vor allem im Annex-A-Control 8.8, dem Management technischer Schwachstellen. Du brauchst weder einen bestimmten Scanner noch feste Patch-Fristen, aber einen definierten, wiederholbaren Prozess: Schwachstellen finden, nach Risiko bewerten, beheben oder bewusst akzeptieren und alles nachvollziehbar dokumentieren. Hier erfährst du, was das konkret heißt und was Auditoren üblicherweise sehen wollen.

Aktualisiert: 6. November 2026

Welche Ausgabe heute gilt

Die ISO/IEC 27001:2022 erschien im Oktober 2022. Laut SGS haben Zertifizierungsstellen seit dem 30. April 2024 keine Erst- und Rezertifizierungsaudits mehr nach der Ausgabe 2013 durchgeführt, und die Übergangsfrist endete am 31. Oktober 2025. Danach sind Zertifikate nach 2013 nicht mehr gültig. Im November 2026 kannst du dich also nur noch nach der Ausgabe 2022 zertifizieren lassen; wessen 2013er-Zertifikat verfallen ist, gilt als Neukunde und durchläuft ein vollständiges Erstaudit.

Die Ausgabe 2022 hat den Annex A laut NQA von 114 auf 93 Controls umgebaut und neue Controls ergänzt, etwa zur Bedrohungsanalyse (5.7, Threat Intelligence). Die Umsetzungshinweise stehen in der ISO/IEC 27002:2022, der dritten Ausgabe dieser Norm, veröffentlicht im Februar 2022.

Was Control 8.8 abdeckt

Control 8.8 soll verhindern, dass technische Schwachstellen ausgenutzt werden. Es gilt als vorbeugendes Control und gehört zum technologischen Thema des Annex A. Die Hinweise der ISO/IEC 27002 sind Empfehlungen, keine Checkliste: Wie tief und wie schnell du vorgehst, bestimmt deine eigene Risikobewertung.

Ein funktionierender Prozess umfasst nach üblicher Auslegung diese Punkte.

• Ein aktuelles Inventar mit Versionen, Verantwortlichen und Herstellerangaben, verknüpft mit dem Werteverzeichnis aus Control 5.9.
• Benannte Rollen für die Beobachtung von Schwachstelleninformationen, Risikobewertung, Patching und Asset-Pflege.
• Wege, Schwachstellen zu finden: authentifizierte Scans, autorisierte Penetrationstests, Herstellerhinweise und die Verfolgung von Drittbibliotheken.
• Eine risikobasierte Entscheidung je Befund: patchen, Workaround oder Ersatzmaßnahme einsetzen oder das Risiko formal akzeptieren.
• Tests von Korrekturen vor dem Rollout und eine Prüfung danach, abgewickelt über deinen Änderungsprozess.
• Protokolle jedes Schritts, damit du zeigen kannst, was wann passiert ist.

Verwandte Controls, die Auditoren verknüpfen

Schwachstellenmanagement steht im Audit selten allein. Rechne mit Fragen zu Nachbar-Controls, denn eine Lücke an einer Stelle deutet oft auf Lücken an anderer Stelle hin.

Threat Intelligence (5.7) liefert Hinweise auf aktiv ausgenutzte Schwachstellen. Das Konfigurationsmanagement (8.9) hält Systeme in einem gehärteten, dokumentierten Zustand und verhindert so viele Befunde, bevor ein Scanner sie sieht. Das Änderungsmanagement (8.32) steuert, wie Patches in die Produktion kommen. Das Incident Management, darunter Control 5.26, greift, wenn eine Schwachstelle ausgenutzt wird, bevor du sie schließen konntest. NIST SP 800-40 Rev. 4 bietet eine nützliche Sicht außerhalb der ISO auf Patch-Management als laufende vorbeugende Wartung und eignet sich als Referenz für dein Prozessdesign.

Welche Nachweise Auditoren typischerweise sehen wollen

Die ISO 27001 schreibt keine feste Nachweisliste vor, und Auditoren arbeiten unterschiedlich. In der Praxis wollen die meisten sehen, dass der Prozess existiert, läuft und Entscheidungen hervorbringt. Häufig gefragt sind diese Unterlagen.

• Eine Richtlinie und ein Verfahren zum Schwachstellen- bzw. Patch-Management mit Verantwortlichen und aktuellem Prüfdatum.
• Das Asset-Inventar, das den Scan-Umfang festlegt, einschließlich Cloud-Systemen und von außen erreichbarer Dienste.
• Scan-Berichte über mehrere Monate statt eines einzelnen Exports, inklusive Nachweis, dass nach größeren Änderungen erneut gescannt wurde.
• Schriftlich festgelegte Behebungsfristen nach Schweregrad, an deine Risikomethode gebunden, plus Zahlen dazu, wie oft du sie eingehalten hast.
• Ein formaler Ausnahmeeintrag für Befunde, die du nicht beheben kannst, mit Begründung, Ersatzmaßnahmen, Verantwortlichem und Ablaufdatum.
• Ergebnisse von Folge-Scans oder Change-Tickets, die zeigen, dass Korrekturen wirken.
• Penetrationstest-Berichte mit einer nachverfolgten Maßnahmenliste.
• Management-Reporting mit wenigen Kennzahlen, etwa Behebungsdauer nach Schweregrad, Anteil gescannter Assets und Zahl überfälliger Ausnahmen.

Fristen für die Behebung festlegen

Die Norm nennt keine Stunden oder Tage. Viele Organisationen definieren Stufen nach Schweregrad, etwa kurze Fristen für kritische und längere für niedrige Risiken; manche Autoren bezeichnen ein CVSS-basiertes Schema von rund zwei Tagen für kritische bis neunzig Tagen für niedrige Schwachstellen als üblichen Richtwert. Verstehe solche Zahlen als Beispiel, nicht als Pflicht.

Der reine CVSS-Wert ist eine schwache Grundlage. Kombiniere ihn mit der Bedeutung des Systems, mit der Frage, ob es aus dem Internet erreichbar ist, und ob die Schwachstelle bekanntermaßen ausgenutzt wird. Entscheidend für Auditoren ist vor allem, dass die Fristen definiert, freigegeben, angewendet und gemessen werden und dass Überschreitungen als dokumentierte Ausnahme enden, nicht im Schweigen.

Die Klima-Änderung von 2024

Die ISO/IEC 27001:2022/Amd 1:2024 erschien im Februar 2024 und wurde im November 2024 als DIN-Norm übernommen. Sie ergänzt die Abschnitte 4.1 und 4.2 um den Klimawandel: Du entscheidest, ob der Klimawandel für deinen Kontext relevant ist, und berücksichtigst entsprechende Erwartungen interessierter Parteien.

Control 8.8 ändert sich dadurch nicht. Betroffen ist nur die Dokumentation deines Kontexts; meist genügt ein kurzer Vermerk dazu.

Wo externe Dienstleister helfen

Viele Teams betreiben den Prozess selbst und kaufen einzelne Teile ein. Managed-Vulnerability-Assessment-Dienste fahren Scanner nach Plan, filtern Fehlalarme heraus und liefern priorisierte Berichte. Penetrationstest-Anbieter ergänzen manuelle Tests von Anwendungen und Netzen, die Scanner übersehen. Beide liefern datierte, freigegebene Berichte, die direkt als Auditnachweis taugen.

Wenn du Angebote einholst, nenne Umfang, Systeme und Cloud-Konten, die Testhäufigkeit laut deiner Risikobewertung, die gewünschte Berichtsform, ob ein Nachtest enthalten ist und welche Zertifizierungsstelle dich auditiert. Kläre außerdem, wie der Anbieter mit dem Zugriff auf deine Daten umgeht und welche schriftliche Freigabe für Tests nötig ist.