Was ist eine Risikobwertung?

Eine Bewertung – manchmal auch als Test bezeichnet – ist ein systematischer Prozess, der dazu dient, Sicherheitslücken in der digitalen Umgebung eines Unternehmens zu identifizieren, zu bewerten und darüber zu berichten. 
 

Diese Schwachstellen (sogenannte Sicherheitslücken) können in Software, Hardware, Konfigurationen oder Prozessen gefunden werden. Sie können Systeme Cyberbedrohungen aussetzen, einschließlich unbefugtem Zugriff oder Data Breaches. 

Schwachstellenbewertungen sind die Grundlage für das Schwachstellenmanagement, einen Teilbereich des IT-Risikomanagements, der es Unternehmen ermöglicht, Sicherheitsschwachstellen innerhalb ihrer IT-Infrastruktur kontinuierlich zu ermitteln, zu priorisieren und zu beheben. 

Um das Konzept zu veranschaulichen, stellen Sie sich die Schwachstellenbewertung als Routineinspektion eines Gebäudes vor:

Das Gebäude hat viele Türen, Fenster, Belüftungsöffnungen und Zugangspunkte, die jeweils ein Element der IT-Umgebung darstellen. Ein Einbruch könnte zwar durch jeden dieser Mechanismen erfolgen, aber regelmäßige Inspektionen helfen dabei, festzustellen, ob die Sicherheitsmechanismen (wie Schlösser, Kameras und Alarmanlagen) funktionieren oder ob sie gewartet werden müssen.

Das ist die Essenz einer Schwachstellenbewertung: Echtzeit-Bewusstsein für potenzielle Sicherheitsschwächen, unterstützt durch Maßnahmen.

Da die IT-Systeme immer komplexer werden, sind Unternehmen mit einer wachsenden Netzwerkinfrastruktur aus Endpunkten, Webanwendungen, drahtlosen Netzwerken und cloudbasierten Ressourcen konfrontiert. Diese wachsende Angriffsfläche bietet Hackern und Cyberkriminellen mehr Möglichkeiten, Angriffspunkte zu entdecken. 

Routinemäßige Schwachstellenbewertungen können Sicherheitsteams dabei helfen, diese potenziellen Lücken zu erkennen und zu verwalten, bevor sie ausgenutzt werden, was zu Datenschutzverletzungen, der Preisgabe von personenbezogenen Daten und dem Verlust des Kundenvertrauens führen kann.

Die Folgen gehen über gestohlene Daten hinaus. Im Jahr 2025 erreichten die durchschnittlichen Kosten einer data breach weltweit 4,44 Millionen US-Dollar. Durch die proaktive Bewertung von Systemen auf Software-Schwachstellen und andere Sicherheitsrisiken können Unternehmen:

Schwachstellenbewertungen sind in der Regel der erste Schritt in einer umfassenderen Strategie zum Schwachstellenmanagement. Durch die Identifizierung von Fehlkonfigurationen, veralteten Systemen und unsicheren Zugangspunkten legen Schwachstellenbewertungen den Grundstein für einen stärkeren Sicherheitsstatus. 

Während sich die anfängliche Bewertungsphase auf das Erkennen und Analysieren von Sicherheitslücken konzentriert, umfasst der gesamte Lebenszyklus auch Priorisierung, Lösung, Überprüfung und Berichterstattung. 

Ein typischer Lebenszyklus des Schwachstellenmanagements umfasst die folgenden Phasen: 

• Entdeckung und Schwachstellenbewertung
• Schwachstellenanalyse und Priorisierung
• Behebung von Sicherheitslücken
• Verifizierung und Überwachung
• Berichterstellung und Verbesserung

Der Prozess beginnt mit der Identifizierung der IT-Assets, darunter Workstations, Endpunkte und Anwendungen, um festzustellen, was gesichert werden muss. Nach der Bestandsaufnahme suchen die Sicherheitsteams mit automatisierten Tools oder einem Schwachstellenscanner nach Sicherheitslücken wie ungeschützten Schnittstellen oder veralteten Betriebssystemen.

Identifizierte Schwachstellen werden analysiert, um ihre potenziellen Auswirkungen, Relevanz und Ausnutzbarkeit zu bestimmen. Sicherheitsexperten können Schwachstellen-Datenbanken, Open Source-Informationen und Threat-Intelligence nutzen, die Echtzeitdaten über bekannte Angriffsmuster und aktive Bedrohungsakteure liefern.

Cybersicherheitsteams arbeiten mit der IT-Abteilung zusammen, um Sicherheitslücken mithilfe von drei Ansätzen zu beheben: durch Sanierung, Minderung oder Akzeptanz. Die Sanierung kann Patch-Management oder Konfigurationsaktualisierungen umfassen. Wenn eine sofortige Sanierung nicht möglich ist, können Strategien zur Schadensbegrenzung – wie die Bereitstellung von Firewalls oder die Isolierung der betroffenen Systeme – das Risiko verringern. In Fällen mit geringerem Risiko können Unternehmen das Problem im Rahmen ihres umfassenderen Risikomanagement-Programms dokumentieren und akzeptieren.

Nach der Schadensbegrenzung oder Sanierung führen die Reaktionsteams Schwachstellentests durch, um Fixes zu bestätigen und den Sicherheitsstatus zu bewerten. Die kontinuierliche Überwachung hilft bei der Erkennung neuer Schwachstellen und Konfigurationsabweichungen und ermöglicht Reaktionen in Echtzeit, wenn sich Umgebungen weiterentwickeln.

Die Sicherheitsteams dokumentieren die Ergebnisse durch Berichte, die die verwendeten Scan-Tools, die identifizierten Schwachstellen, die Ergebnisse und das verbleibende Risiko enthalten. Zu den wichtigsten Kennzahlen gehören mittlere Zeit bis zur Entdeckung (MTTD) und mittlere Zeit bis zur Reaktion (MTTR), die den Interessengruppen mitgeteilt werden können, um künftige Entscheidungen zum Risikomanagement zu treffen.

Es gibt verschiedene Arten von Schwachstellenbewertungen, die sich je nach dem Schwerpunkt der Bewertung unterscheiden:

• Netzwerkbasiert: Bewertet die Netzwerksicherheit durch Scannen der internen und externen Netzwerkinfrastruktur auf Sicherheitsschwachstellen. Zu den häufigsten Schwachstellen gehören offene Ports, unsichere Protokolle und ungeschützte Endgeräte.
  
  
• Host-basiert: Konzentriert sich auf einzelne Systeme wie Workstations und Betriebssysteme. Mit dieser Methode können Software-Schwachstellen, nicht autorisierte Anwendungen und Fehlkonfigurationen aufgespürt werden, die den Schutz der Umgebung umgehen können.
  
  
• Anwendungsscan: Untersucht Webanwendungen auf Schwachstellen wie fehlerhafte Authentifizierungsmechanismen oder unsachgemäße Eingabeverarbeitung, die durch Bedrohungen wie SQL-Injection oder Cross-Site-Scripting (XSS) ausgenutzt werden können. Diese Scans tragen zum Schutz von Apps bei, die mit vertraulichen Informationen umgehen.
  
  
• Bewertung drahtloser Netze: Identifiziert die Risiken drahtloser Netze, darunter unzulässige Zugangspunkte, schwache Verschlüsselungseinstellungen oder schlechte  Netzsegmentierung.
  
  
• Datenbankbewertung: Überprüft Datenbanken auf Sicherheitslücken, die vertrauliche Daten offenlegen könnten. Zu den häufigsten Problemen gehören Standard-Zugangsdaten, schlechte Zugriffskontrollen, veraltete Datenbank-Engines und übermäßige Benutzerberechtigungen.

Effektive Bewertungen nutzen eine Kombination aus automatisierten Tools, Threat-Intelligence und menschlichen Analysen. Während die Automatisierung die Erkennung beschleunigt, spielen qualifizierte Sicherheitsteams eine wichtige Rolle bei der Interpretation der Ergebnisse, der Filterung falsch positiver Ergebnisse und der Sicherstellung genauer Abhilfemaßnahmen. 

Das Herzstück der meisten Bewertungen sind Schwachstellenscanner – Tools, die Systeme auf bekannte Schwachstellen untersuchen. Scantools ziehen Daten aus aktualisierten Datenbanken für Sicherheitsrisiken. Sie verwenden auch Techniken wie Verhaltensanalysen und Konfigurationsprüfungen, um Probleme auf Endgeräten, Anwendungen, Betriebssystemen und in der Netzwerkinfrastruktur zu erkennen. 

Unternehmen verlassen sich häufig auf eine Mischung aus Open Source- und Unternehmenstools, die je nach Komplexität ihrer Umgebung entweder intern oder von Drittanbietern stammen. 

Einige weit verbreitete Tools und Plattformen sind:

Schwachstellenbewertungen und Penetrationstests sind integrale Bestandteile von Sicherheitstests, auch wenn sie unterschiedlichen Zwecken dienen. Um auf die vorherige Analogie zurückzukommen: Schwachstellenbewertungen sind wie routinemäßige Inspektionen eines Gebäudes, bei denen Unternehmen bestehende Sicherheitslücken identifizieren und katalogisieren. Dieser Ansatz bietet einen umfassenden, kontinuierlichen Überblick über die Sicherheitsrisiken eines Unternehmens.

Penetrationsprüfungen hingegen sind gezielter. Es ist so, als würde man einen Schlossknacker anheuern, der aktiv versucht, in das Gebäude einzubrechen. Es wird ein realer Angriff simuliert, um Schwachstellen auszunutzen und die Wirksamkeit von Sicherheitskontrollen zu bewerten.

In der Praxis können Unternehmen Schwachstellenbewertungen als regelmäßigen Bestandteil ihres umfassenderen Schwachstellenmanagementprogramms verwenden. Sie können dann in wichtigen Abständen Penetrationstests planen – z. B. vor Produkteinführungen oder nach größeren Systemänderungen –, um die Verteidigungsmaßnahmen zu überprüfen und tiefere Risiken aufzudecken.

Unternehmen stehen oft vor operativen und technischen Herausforderungen, die die Effektivität ihrer Schwachstellenbewertungen einschränken, darunter:

In großen oder komplexen Umgebungen identifizieren Schwachstellenscans oft Tausende von Schwachstellen, von denen viele ein geringes Risiko, Duplikate oder bereits durch andere Kontrollen entschärft haben. Ohne ein klares System zur Priorisierung sind Sicherheitsteams überfordert, wenn sie Abhilfemaßnahmen verzögern oder entscheidende Bedrohungen übersehen.

Automatisierte Tools melden häufig Probleme, die nur ein geringes oder gar kein reales Risiko darstellen. Diese Falschalarme tragen zur Alarmermüdung (Alarm Fatigue) bei, rauben wertvolle Zeit und untergraben das Vertrauen in die Bewertung. Je mehr Aufwand die Teams für die Validierung der Ergebnisse aufwenden, desto weniger Ressourcen stehen für die tatsächliche Risikominderung zur Verfügung.

Schwachstellenbewertungen basieren auf einem umfassenden Asset-Bestand. Leider können Schatten-IT, nicht verwaltete Endgeräte und Anwendungen von Drittanbietern nicht immer regelmäßig gescannt werden, was zu Lücken in der Transparenz führt. Diese blinden Flecken können zu idealen Zielen für Bedrohungsakteure werden, insbesondere wenn die Zugriffspunkte über längere Zeiträume unbemerkt bleiben.

Selbst bei klar identifizierten Schwachstellen kann es zu Verzögerungen bei der Behebung haben, da Sicherheits- und IT-Betriebsteams nicht miteinander vernetzt sind. Wenn Updates von Teams abhängen, die in Silos arbeiten, können Risiken länger als nötig bestehen bleiben.