Wissen · Sicherheitsleitfaden

Schwachstellenscan und Schwachstellenmanagement erklärt

Ein Schwachstellenscan gleicht deine Systeme mit Datenbanken bekannter Schwachstellen ab und liefert eine Liste von Funden. Sicherer wirst du dadurch noch nicht: Den Nutzen bringt erst ein wiederholbarer Kreislauf aus Bestandsaufnahme, Scan, Priorisierung, Behebung und Nachweis, dass die Lücke wirklich geschlossen ist.

Aktualisiert: 6. November 2026

Scannen ist nicht gleich Managen

Ein Scanner ist ein Werkzeug, Schwachstellenmanagement ist der Prozess drumherum. Das NIST beschreibt Patch-Management als Finden, Bewerten, Beschaffen, Einspielen und Bestätigen von Korrekturen. Dasselbe gilt für Schwachstellen allgemein: Das Entdecken ist nur der erste Schritt.

Ein Scan ist außerdem kein Penetrationstest. Der Scan läuft größtenteils automatisiert, deckt viel ab und meldet bekannte Probleme. Ein Pentest bringt menschliches Urteilsvermögen ein und verknüpft Schwächen so, wie es ein Angreifer täte. Das BSI beschreibt seine eigenen Penetrationstests als Einschätzung, wie wahrscheinlich ein gezielter Angriff Erfolg hätte, und empfiehlt, sie in regelmäßigen Abständen zu wiederholen.

Die wichtigsten Scan-Arten

Je nach Umgebung brauchst du unterschiedliche Scanner. Die meisten Unternehmen kombinieren mehrere.

• Netzwerk- und Host-Scans: prüfen Server, Arbeitsplätze, Netzwerkgeräte und offene Ports auf fehlende Patches und Fehlkonfigurationen.
• Webanwendungs-Scans: testen laufende Webanwendungen und APIs auf Schwächen wie Injection oder fehlerhafte Zugriffskontrolle. Der OWASP Web Security Testing Guide ist eine verbreitete Referenz dafür, was geprüft werden sollte.
• Cloud- und Container-Scans: untersuchen Container-Images, Code-Repositories, Infrastructure-as-Code-Dateien und Kubernetes-Cluster, am besten direkt in der Build-Pipeline.
• Agentenbasierte Scans: Ein kleiner Agent auf jedem Gerät meldet den Softwarestand. Das eignet sich für Laptops, mobile Mitarbeitende und Systeme, die selten im Netzwerk erreichbar sind.

Authentifizierte und nicht authentifizierte Scans

Ein nicht authentifizierter Scan sieht deine Systeme wie ein Außenstehender: offene Ports, erreichbare Dienste, sichtbare Versionen. Das ist die richtige Perspektive für deinen aus dem Internet erreichbaren Perimeter.

Ein authentifizierter Scan meldet sich mit einem Konto mit Leserechten an und prüft von innen installierte Software, Patchstände und Einstellungen. Er findet deutlich mehr, mit weniger Rätselraten und weniger Fehlalarmen, und ist deshalb für interne Systeme der Standard. PCI DSS v4.0.1 verlangt laut der Zusammenfassung eines Prüfdienstleisters in Anforderung 11.3.1.2 für interne Scans sogar eine Authentifizierung. Plane den sicheren Umgang mit den Scan-Zugangsdaten gleich mit ein.

Tools, die dir begegnen werden

Wichtiger als das Tool sind Abdeckung und Nachverfolgung. Die folgenden Namen sind neutrale Beispiele und keine Empfehlung.

Greenbone Community Edition ist Open Source, ihr OpenVAS Scanner führt Schwachstellentests gegen Zielsysteme aus; daneben gibt es die kommerzielle Linie Greenbone Enterprise. Tenable bietet Nessus an, ein Tool zur Schwachstellenbewertung für Systeme, Geräte, Anwendungen und Webanwendungen. Qualys vermarktet VMDR mit Scannern, Cloud-Agents und Container-Sensoren. Rapid7 führt InsightVM, das inzwischen in den Exposure-Command-Paketen steckt. Für Container und Infrastrukturcode ist Trivy ein Open-Source-Scanner unter Apache-2.0-Lizenz, der Images, Dateisysteme, Git-Repositories, Kubernetes und Fehlkonfigurationen abdeckt. Für Webanwendungen ist OWASP ZAP eine kostenlose Open-Source-Option. Produktnamen und Pakete ändern sich, prüfe daher das aktuelle Angebot des Herstellers.

Funde priorisieren: CVSS, EPSS und KEV

Jeder Scan liefert mehr Funde, als du auf einmal beheben kannst. Drei öffentliche Quellen helfen beim Sortieren.

CVSS bewertet die technische Schwere. FIRST gibt an, dass CVSS aktuell in Version 4.0 vorliegt, die im November 2023 erschien. Werte sollten nach den verwendeten Metrikgruppen gekennzeichnet werden: CVSS-B nur mit Basiswerten, CVSS-BT mit Bedrohungsdaten, CVSS-BE oder CVSS-BTE, wenn zusätzlich deine eigene Umgebung einfließt. FIRST weist außerdem darauf hin, dass Faktoren wie Regulierung oder Reputation außerhalb von CVSS liegen. Ein hoher Wert ist also nicht automatisch ein hohes Geschäftsrisiko.

EPSS, betreut von einer Special Interest Group bei FIRST, schätzt die Wahrscheinlichkeit, dass eine veröffentlichte CVE in den nächsten 30 Tagen real ausgenutzt wird, und wird täglich aktualisiert. Der Katalog Known Exploited Vulnerabilities (KEV) der CISA führt Schwachstellen mit belastbaren Belegen für aktive Ausnutzung und einer klaren Abhilfe. Verbindlich ist er für US-Bundesbehörden der zivilen Verwaltung, doch die CISA empfiehlt ausdrücklich auch privaten Organisationen, ihn zur Priorisierung zu nutzen.

• Zuerst: alles aus der KEV-Liste, was in deiner Umgebung vorkommt, vor allem bei Erreichbarkeit aus dem Internet.
• Danach: hohe EPSS-Wahrscheinlichkeit oder öffentlich verfügbarer Exploit auf geschäftskritischen Systemen.
• Dann: hohe CVSS-Schwere, angepasst an Wichtigkeit und Erreichbarkeit des Systems.
• Zuletzt: geringe Schwere auf isolierten Systemen, im normalen Wartungsrhythmus.

Der Kreislauf des Schwachstellenmanagements

Ein funktionierendes Programm wiederholt sechs Schritte.

• Inventarisieren: Kenne deine Hosts, Cloud-Konten, Anwendungen und Software. Was du nicht kennst, kannst du nicht scannen.
• Scannen: Wähle Scan-Art und Zugangsdaten je Systemgruppe und lege Wartungsfenster fest.
• Priorisieren: Verbinde Schwere, Hinweise auf Ausnutzung und Wichtigkeit des Systems.
• Beheben: patchen, umkonfigurieren oder eine Ersatzmaßnahme umsetzen, mit benannter Verantwortung und Frist.
• Verifizieren: erneut scannen, um zu bestätigen, dass der Fund verschwunden ist.
• Berichten: offene Funde, Behebungsdauer und Ausnahmen für Management und Prüfer nachverfolgen.

Wie oft scannen, und intern oder extern betreiben

Eine Häufigkeitsregel wird breit zitiert: Nach PCI DSS müssen externe Scans der relevanten Systeme vierteljährlich durch einen von PCI zugelassenen Scanning-Anbieter laufen, mit Nachscans, bis das Ergebnis besteht. PCI DSS v4.0.1 erschien im Juni 2024 und ist die Version, die der PCI-Council unterstützt. Abseits davon legst du die Frequenz nach Risiko und Änderungsrate fest und scannst nach wesentlichen Änderungen erneut.

Eigener Betrieb gibt dir Kontrolle und schnelles Feedback, verlangt aber Personal zum Betreiben der Scanner, zum Auswerten der Ergebnisse und zum Nachhaken bei den Verantwortlichen. Ein verwaltetes Schwachstellenassessment passt zu kleineren Teams oder wenn du unabhängige Berichte für Kunden oder Prüfer brauchst. Egal welchen Weg du wählst, stelle einem Dienstleister diese Fragen:

• Welche Systemarten sind abgedeckt, und sind die Scans authentifiziert?
• Wie werden Funde priorisiert, und fließen Ausnutzungsdaten wie KEV oder EPSS ein?
• Wie werden Fehlalarme entfernt, bevor du den Bericht erhältst?
• Ist ein Nachscan zur Kontrolle der Behebung enthalten, und wie sehen die Handlungsempfehlungen aus?
• Wo liegen die Scan-Daten, und wer hat Zugriff?
• Wie werden Produktivsysteme vor Scan-Last geschützt?
• Bekommst du Rohdaten und einen Export oder nur ein PDF?