Was ist ein Vulnerability Assessment?

Ein Vulnerability Assessment untersucht einen festgelegten Scope systematisch auf bekannte Sicherheitslücken, unsichere Konfigurationen und fehlende Kontrollen. Es kombiniert automatisierte Erkennung mit fachlicher Verifikation und Risikobewertung. Das Ergebnis ist keine ungeprüfte Scannerliste, sondern eine priorisierte Übersicht: Welche Schwäche betrifft welches Asset, welche Auswirkung ist realistisch und wie wird sie behoben?

Was ist das Ziel eines Vulnerability Assessments?

Das Assessment soll den aktuellen Schwachstellenstand in einem definierten Bereich transparent und bearbeitbar machen. Es kann externe Systeme, interne Netze, Cloud-Konfigurationen, Endgeräte, Webanwendungen oder einen bestimmten Geschäftsprozess betrachten. Vor Beginn muss deshalb klar sein, welche Frage beantwortet werden soll: Geht es um bekannte CVEs, Härtung, externe Exposition, einen regulatorischen Nachweis oder eine Ausgangsbasis für Verbesserungen?

Ein Assessment ist eine Momentaufnahme. Es zeigt den Zustand während des Prüfzeitraums und innerhalb des vereinbarten Scopes. Neue Deployments, Konfigurationsänderungen und veröffentlichte Schwachstellen können das Ergebnis unmittelbar verändern.

Wie läuft ein Assessment ab?

1. Ziel und Scope vereinbaren: Assets, Umgebungen, Prüfzugänge, Zeitfenster, Ausschlüsse und gewünschte Aussage festlegen.
2. Assets erfassen: Systeme, Dienste, Technologien, Eigentümer und geschäftliche Bedeutung vervollständigen.
3. Prüfungen durchführen: Automatisierte Scans, Konfigurationsabgleiche und ausgewählte manuelle Tests kombinieren.
4. Findings verifizieren: Fehlalarme entfernen, betroffene Versionen bestätigen und technische Voraussetzungen prüfen.
5. Risiken bewerten: Exposition, Ausnutzbarkeit, Auswirkung, Schutzmaßnahmen und Bedrohungslage berücksichtigen.
6. Maßnahmen planen: Patch, Konfigurationsänderung, Ersatzkontrolle oder begründete Akzeptanz mit Verantwortlichen versehen.
7. Behebung nachtesten: Kritische Korrekturen technisch verifizieren und verbleibende Risiken dokumentieren.

Welche Prüfmethoden werden kombiniert?

Die Zusammenstellung hängt vom Ziel ab. Ein Assessment eines Internet-Perimeters benötigt andere Prüfschritte als die Untersuchung von Container-Images oder einer Active-Directory-Umgebung. Ein reiner automatisierter Scan kann Teil des Assessments sein, erfüllt den Begriff aber nicht automatisch.

Wie werden Schwachstellen priorisiert?

CVSS liefert einen nützlichen technischen Ausgangspunkt, bildet aber das Unternehmensrisiko nicht vollständig ab. Ein belastbares Assessment ergänzt mindestens Asset-Kritikalität, Erreichbarkeit, notwendige Rechte, verfügbare Exploits, bekannte aktive Ausnutzung, betroffene Daten und vorhandene Kontrollen. Mehrere für sich moderate Findings können zusammen einen kritischen Angriffspfad bilden.

• Sofort behandeln:
  Aktiv ausgenutzte oder leicht erreichbare kritische Lücken auf wichtigen Assets.
• Kurzfristig planen:
  Relevante Schwächen mit realistischem Angriffspfad, aber vorhandenen Hürden oder Kontrollen.
• Regulär beheben:
  Begrenzte Risiken, Härtungsmaßnahmen und Probleme mit geringer Exposition.
• Akzeptieren oder beobachten:
  Nur mit dokumentierter Begründung, Verantwortlichem, Ablaufdatum und Auslöser für Neubewertung.

Was gehört in den Bericht?

Ein guter Bericht nennt Scope, Zeitpunkt, Methodik, verwendete Zugänge, Einschränkungen und nicht erreichbare Assets. Jedes Finding sollte betroffene Systeme, technische Belege, Ursache, realistische Auswirkung und konkrete Behebung enthalten. Eine Management-Zusammenfassung zeigt übergreifende Risiken, Muster und priorisierte nächste Schritte. Maschinenlesbare Exporte können das Ticketing unterstützen, ersetzen aber nicht die verständliche Erklärung.

Vulnerability Assessment oder Penetrationstest?

Beide Verfahren ergänzen sich. Regelmäßige Assessments schaffen Breite; ein Penetrationstest untersucht ausgewählte Ziele tiefer und findet eher Geschäftslogik-, Autorisierungs- oder verkettete Fehler.

Wie oft sollte ein Assessment stattfinden?

Das Intervall folgt Risiko und Änderungsrate. Internet-erreichbare, häufig deployte oder besonders kritische Systeme benötigen eine engere Kontrolle als stabile isolierte Assets. Zusätzliche Auslöser sind größere Releases, Migrationen, neue Cloud-Umgebungen, Akquisitionen und kritische neue Schwachstellen. Kontinuierliche Scans können die Zeit zwischen formalen Assessments überbrücken, müssen aber ebenfalls ausgewertet werden.

Welche Fehler mindern den Nutzen?

Unvollständige Asset-Listen, fehlgeschlagene Scan-Zugänge und ungeprüfte Tool-Ausgaben erzeugen eine Scheinsicherheit. Ebenso problematisch sind Prioritäten nur nach CVSS, Findings ohne verantwortliche Person und Berichte ohne Retest. Ein Assessment ist erst dann wirksam, wenn bestätigte Risiken in nachvollziehbare Maßnahmen übergehen und deren Umsetzung geprüft wird.