Was ist Schwachstellenpriorisierung?

• Klassische Systeme zur Bewertung von Schweregraden wie das CVSS helfen dabei, den technischen Schweregrad zu messen, doch geben keinen Aufschluss darüber, welche Schwachstellen Bedrohungsakteure in Umgebungen am ehesten ausnutzen werden.
• Bei der risikobasierten Priorisierung von Schwachstellen werden Threat-Intelligence, Asset-Kontext, Angriffspfad-Analysen und geschäftlicher Kontext zusammengeführt, um ausnutzbare Schwachstellen zu identifizieren, die sofortige Aufmerksamkeit erfordern.
• Frontier-KI-Modelle haben die Erkennung und Ausnutzung von Schwachstellen enorm beschleunigt. Eine effektive, risikobasierte Schwachstellenpriorisierung ist daher wichtiger denn je.
• Durch eine effektive Schwachstellenpriorisierung fokussieren Sie Behebungsmaßnahmen auf diejenigen Schwachstellen, die mit höchster Wahrscheinlichkeit zu gravierenden geschäftlichen Auswirkungen führen.

Bei der Priorisierung von Schwachstellen werden Sicherheitslücken nach dem jeweiligen Risiko eingestuft, das sie für das Unternehmen darstellen. Durch risikobasierte Schwachstellenpriorisierung können sich Remediation-Teams auf die Behebung der wirklich wichtigen Schwachstellen konzentrieren. Die Herausforderung besteht hier in der Skalierung.

Die meisten Unternehmen managen Tausende oder gar Zehntausende Schwachstellen – in den Bereichen IT, Cloud, OT, Identitätsmanagement, Anwendungen und weiteren Umgebungen. Herkömmliche Methoden zur Bewertung von Schwachstellen stufen oft einen großen Anteil dieser Feststellungen als dringend ein. Das Common Vulnerability Scoring System (CVSS) z. B. versieht für sich genommen etwa 60 % der Schwachstellen mit einem kritischen oder hohen Schweregrad, was ein Arbeitsvolumen verursacht, das kein Sicherheitsteam realistischerweise bewältigen kann.

Herkömmliche Systeme zur Bewertung und Priorisierung von Schwachstellen, wie beispielsweise das CVSS, führen zu einer immer größeren Kluft zwischen bekannten Problemen und potenziellen Korrekturen.

Eine risikoorientierte Priorisierung von Schwachstellen trägt dazu bei, diese Lücke zu schließen. Anstatt jede Feststellung gleich zu behandeln, wird ermittelt, welche Feststellungen ausnutzbar sind, welche die wichtigsten Assets des Unternehmens betreffen und in welchen Bereichen Behebungsmaßnahmen den größten Beitrag zur Reduzierung von Cyberrisiken leisten.

Die Problematik rund um Schwachstellen hat sich in den letzten Jahren gewandelt.

Unternehmen managen inzwischen nicht mehr nur einige hundert Assets und einen überschaubaren Rückstau an Feststellungen. Moderne, hybride Angriffsflächen umfassen Cloud-Infrastruktur, operative Technologie, Remote- und nicht verwaltete Endgeräte, Identitätssysteme, SaaS-Anwendungen, Container und vieles mehr. Komplexität und Umfang der modernen Angriffsfläche führen zu einer größren Gefährdung für Unternehmen: Bedrohungsakteure verfügen über mehr Einstiegspunkte, die sie ausnutzen können, und mehr Angriffspfade, die zu den unternehmenskritischsten Assets und Daten führen.

Parallel dazu nimmt die Anzahl der Schwachstellen zu. 

In einer typischen Umgebung müssen Sicherheitsexperten zahlreiche offene Feststellungen managen und gleichzeitig weitere Aufgaben wie Betrieb, Wartung und Compliance unter einen Hut bringen. Ohne klare Kriterien dafür, welche Schwachstellen umgehende Aufmerksamkeit erfordern, erweisen sich Behebungsmaßnahmen als reaktiv und uneinheitlich.

KI erschwert das Schwachstellenmanagement zusätzlich. Frontier-Modelle wie Claude Mythos haben gezeigt, wie schnell Large Language Models (LLMs) Schwachstellen in Code aufdecken können.

Reaktives Patching kann mit der Geschwindigkeit von Frontier-KI-Modellen nicht Schritt halten. Wenn Vulnerability Management-Prozesse auf manueller Triage aufsetzen und in wöchentlichen Scan-Zyklen ablaufen, verfolgen Unternehmen einen Ansatz, der schon an sich von modernen, KI-gestützten Angriffen abweicht. Teams, die Schwachstellen anhand der tatsächlichen Ausnutzbarkeit und potenziellen geschäftlichen Auswirkungen priorisieren und KI zur Automatisierung von Behebungsmaßnahmen einsetzen, sind am besten aufgestellt, um ihr Unternehmen vor KI-gestützten Angriffen zu schützen.

Jahrelang setzten Sicherheitsteams auf das Common Vulnerability Scoring System (CVSS), um den Schweregrad von Schwachstellen zu ermitteln.

Das CVSS ist nützlich: Es bietet Teams eine standardisierte Methode zur Bewertung von technischen Merkmalen, wie etwa der Komplexität des Angriffs, der erforderlichen Berechtigungen und der potenziellen Auswirkungen.

Doch das CVSS wurde nicht zur Bewertung von Geschäftsrisiken konzipiert. Die Frage, ob eine Schwachstelle mit hoher Bewertung auf einem kritischen oder unkritischen System vorliegt oder ob sich die Schwachstelle auf einem Pfad zu sensiblen Daten befindet, wird nicht berücksichtigt.

Die folgenden Risikofaktoren lässt das CVSS außer Acht:

• Asset-Kritikalität
• Potenzielle geschäftliche Auswirkungen
• Das Vorhandensein kompensierender Kontrollen 
• Die Realisierbarkeit des Angriffspfads

Angesichts der stark steigenden Anzahl von Schwachstellen treten die Grenzen des CVSS immer deutlicher zutage. Wenn etwa 60 % der Feststellungen als „kritisch“ oder „hoch“ eingestuft werden, erweist sich Priorisierung als schwierige Aufgabe.

Das Exploit Prediction Scoring System (EPSS) schafft hier in Teilen Abhilfe, da es die Wahrscheinlichkeit einer Ausnutzung abschätzt.

Dieser zusätzliche Kontext trägt dazu bei, Schwachstellen zu identifizieren, auf die Angreifer es möglicherweise abgesehen haben. Dennoch bewertet das EPSS Schwachstellen nach wie vor größtenteils isoliert. Es kann nicht erkennen, ob das betroffene Asset einen geschäftskritischen Prozess unterstützt, ob privilegierte Identitäten Zugriff darauf haben oder ob es sich auf einem möglichen Angriffspfad befindet.

Weder CVSS noch EPSS beantworten die Frage, die für Unternehmen wirklich zählt: Über welche Schwachstellen könnte ein Angreifer zu den kritischen Assets gelangen?

Ohne diesen Kontext laufen Unternehmen Gefahr, Zeit mit der Behebung von unerheblichen Feststellungen zu verschwenden, während Sicherheitslücken, von denen die größte Bedrohung ausgeht, weiterhin bestehen bleiben.

Die Ergebnisse sind vorhersehbar:

• Alarmmüdigkeit
• Rückstau bei Behebungsmaßnahmen
• Ineffizienz von Ressourcen
• Nicht behobene Cyberrisiken

Die Continental AG stellte nach einem schwerwiegenden Cybervorfall auf eine risikobasierte Priorisierung von Schwachstellen um. Das Unternehmen ersetzte seine CVSS-basierte Methodik durch die Exposure Management-Plattform Tenable One, die Schwachstellen mit dem höchsten Risiko anhand von Threat-Intelligence, geschäftlichem und technischem Kontext, Angriffspfad-Analysen und weiteren Funktionen priorisiert. Wie der IT Security Manager anmerkte: Ein und dieselbe Schwachstelle birgt auf dem Gerät des CEO ein weitaus höheres Risiko als auf dem eines Praktikanten. Genau dieser Kontext sorgt dafür, dass Behebungsmaßnahmen an den richtigen Stellen ansetzen.

Ein großes US-Telekommunikationsunternehmen stellte von einem Compliance-orientierten Ansatz auf eine Vorgehensweise um, die auf realen Angriffsszenarien basiert, denn anhand der alleinigen Schweregrade war nicht klar, welche Schwachstellen zuerst zu beheben sind. Priorisierung basierend auf geschäftlichem Kontext und tatsächlicher Ausnutzbarkeit führt zu sinnvoller Risikominderung.

Bei der effektiven Priorisierung von Schwachstellen steht die jeweilige Exposure im Vordergrund. Ein risikobasierter Priorisierungsansatz, Angriffspfad-Analysen einschließlich Kontext zu Identitäten und Cloud sowie kontinuierliche Risikobewertung im Unternehmen: Dies sind die besten Möglichkeiten, um Priorisierungsmaßnahmen – und damit auch Behebungsmaßnahmen – zu verbessern.

Einen risikobasierten Ansatz verfolgen

Bei risikobasierter Schwachstellenpriorisierung werden mehrere Kontextquellen herangezogen, um zu ermitteln, welche Feststellungen Sofortmaßnahmen erfordern.

Zu diesen Faktoren zählen in der Regel:

• Ausnutzbarkeit
• Threat-Intelligence
• Asset-Kritikalität
• Geschäftliche Auswirkungen
• Alter der Schwachstelle
• Aktive Ausnutzungsaktivitäten

Das Ziel besteht darin, Schwachstellen zu identifizieren, die nennenswerte Risiken hervorrufen, anstatt einfach nur hohe Scores zu generieren.

Wenn für Remediation-Teams nachvollziehbar ist, welche Schwachstellen kritische Dienste gefährden, können sie Ressourcen effektiver zuweisen und Risiken schnell einschränken.

Angriffspfad-Analysen verwenden

Angreifer nutzen nur selten eine einzige Schwachstelle aus und belassen es dabei.

Vielmehr nutzen sie eine Kombination aus Schwachstellen, Fehlkonfigurationen und Schwächen bei Identitäten aus, um sich durch Umgebungen fortzubewegen und hochwertige Ziele zu erreichen.

In der Praxis macht dies den Unterschied: Statt riesige Mengen offener Feststellungen abzuarbeiten liegt der Fokus auf den wenigen Feststellungen, die mit den wichtigsten Assets des Unternehmens verbunden sind.

Mithilfe von Angriffspfad-Analysen können Unternehmen erkennen, wie einzelne Risiken in der gesamten Umgebung miteinander verknüpft sind. Anstatt Schwachstellen isoliert zu betrachten, identifizieren diese Analyse den Pfad, über den sich Angreifer realistischerweise durch das Netzwerk fortbewegen und zu sensiblen Systemen oder Daten gelangen könnten.

Dieser Kontext trägt dazu bei, Schwachstellen, die ins Nichts führen, von solchen zu unterscheiden, die Teil eines infrage kommenden hochriskanten Angriffspfads sind. Dadurch können Teams Behebungsmaßnahmen gezielt auf Bereiche fokussieren, in denen diese Maßnahmen Angriffspfade unterbrechen und schwerwiegende Sicherheitsverletzungen eindämmen.

Kontext zu Identitäten und Cloud einbeziehen

Eine und dieselbe Schwachstelle birgt sehr unterschiedliche Risiken – je nachdem, wo sie sich befindet und wer darauf zugreifen kann. Eine Schwachstelle mit mittlerem Schweregrad in einem Cloud-Workload mit Internetanbindung, der mit einem überprivilegierten Dienstkonto verknüpft ist, ist oftmals dringlicher als eine kritische CVE auf einem isolierten, streng kontrollierten Server.

Kontextinformationen zu Identitäten geben Aufschluss darüber, was Angreifer nach der Ausnutzung einer Schwachstelle tun könnten: Welche Konten haben Zugriff auf das betroffene Asset, über welche Berechtigungen verfügen sie und führen diese zu sensiblen Daten oder administrativen Kontrollmechanismen? Der Cloud-Kontext gibt Aufschluss darüber, wie gefährdet das Asset überhaupt ist: Ist es öffentlich erreichbar, wie ist es konfiguriert und mit welchen Komponenten ist es verbunden?

Ein Priorisierungsansatz, der beide Signale berücksichtigt, stuft Schwachstellen anhand der Schäden ein, die Angreifer tatsächlich anrichten könnten – nicht einfach nur nach dem Schweregrad. Dies trägt dazu bei, Behebungsmaßnahmen auf Sicherheitslücken zu fokussieren, die sich am ehesten auf das Unternehmen auswirken werden.

Risiken kontinuierlich bewerten

Priorisierung muss kontinuierlich erfolgen und darf kein statischer Prozess sein, der sich auf einen bestimmten Zeitpunkt bezieht.

Tag für Tag tauchen neue CVEs auf und Bedrohungsakteure passen ihre Taktiken entsprechend an. Geschäftliche Prioritäten ändern sich mit der Zeit und Infrastruktur entwickelt sich weiter.

Eine Schwachstelle, die heute mit niedrigem Schweregrad eingestuft wird, kann schon morgen deutlich an Bedeutung gewinnen, wenn Ausnutzungsaktivitäten zunehmen oder sich das betroffene Asset als geschäftskritisch erweist.

Kontinuierliche Bewertung trägt dazu bei, Prioritäten an veränderte Umstände anzupassen. Dies hilft Teams, sich auf aktuelle Risiken zu fokussieren, anstatt sich auf historische Annahmen zu stützen.

Den Tenable-Funktionen zur Schwachstellenpriorisierung liegt eine einfache Prämisse zugrunde: Man kann nicht jede Schwachstelle in gleicher Weise behandeln.

Den Fokus auf die wirklich wichtigen Schwachstellen richten

Das Tenable Vulnerability Priority Rating (VPR) ist ein dynamischer Score, der jede Schwachstelle nach ihrer Ausnutzungswahrscheinlichkeit und dem Schweregrad der Auswirkungen bewertet.

Nach dem CVSS werden etwa 60 % der Schwachstellen als „kritisch“ oder „hoch“ eingestuft, doch Untersuchungen von Tenable zeigen, dass nur etwa 1,6 % davon ein nennenswertes Geschäftsrisiko darstellen.

VPR nutzt maschinelles Lernen, Threat-Intelligence, Schwachstellenmerkmale, Exploit-Aktivitäten und weiter Signale, um Feststellungen mit hoher Priorität zu identifizieren.

Dadurch können Unternehmen Behebungsmaßnahmen gezielt einsetzen – genau dort, wo sie die größte Wirkung entfalten.

Asset-Kontext mit Tenable One ergänzen

Risiken und Kontext sind fest miteinander verbunden. 

Tenable One kombiniert das VPR mit dem Asset Criticality Rating (ACR), Angriffspfad-Analysen sowie Kontextinformationen zu Identitäten, sodass ein vollständiger Überblick über Sicherheitsrisiken – die jeweilige Exposure – entsteht.

Dieser Ansatz hilft Unternehmen dabei, folgende Aspekte nachzuvollziehen:

• Welche Assets sind am wichtigsten?
• Welche Schwachstellen sind ausnutzbar?
• Welche Angriffspfade können zu kritischen Systemen führen?
• Welche Behebungsmaßnahmen reduzieren das Risiko am stärksten?

Anstatt isolierte Feststellungen zu prüfen, können Unternehmen Prioritäten anhand der jeweiligen Exposure und geschäftlichen Auswirkungen setzen.

Kontinuierliche Schwachstellenabdeckung gewährleisten

Tenable unterstützt Schwachstellenmanagement auf Enterprise-Niveau.

Die Plattform nutzt mehr als 318.000 Plugins, um 138.896 CVEs in 20.000 patchbaren Produkten zu erkennen. Nach der Aufdeckung einer Schwachstelle stehen kritische Erkennungen in der Regel innerhalb von sechs bis 24 Stunden zur Verfügung, sodass aufkommende Bedrohungen schnell bewertet werden können.

Aktive Ausnutzung früher erkennen

Bedrohungsakteure warten keine Compliance-Fristen ab.

Tenable erfasst aktiv ausgenutzte Schwachstellen – und geht dabei über die im CISA Known Exploited Vulnerabilities Catalog aufgeführten Schwachstellen hinaus. Tenable Research hat 201 aktiv ausgenutzte CVEs identifiziert, die bis zu diesem Zeitpunkt nicht im KEV-Katalog enthalten waren. Dabei besteht ein durchschnittlicher Zeitvorsprung von 37 Tagen, bis staatliche Vorschriften nachziehen.

Diese zusätzliche Sichtbarkeit unterstützt Unternehmen dabei, Prioritäten anhand des Angreiferverhaltens zu setzen – und nicht anhand von Compliance-Fristen.

Präzise, nachprüfbare Entscheidungen unterstützen

Scan-Genauigkeit ist immer dann entscheidend, wenn Priorisierung für Behebungsentscheidungen ausschlaggebend ist.

Mit einer Fehlerquote von 0,32 pro einer Million Scans liefert die Six-Sigma-Genauigkeit von Tenable bei Scans zuverlässige Daten für Schwachstellenmanagement-Programme, Audits und Compliance-Berichte.

Mobilisierung mit Tenable Hexa AI beschleunigen

Das Aufspüren der richtigen Schwachstellen ist Teil der Herausforderung, doch Unternehmen müssen Gegenmaßnahmen ergreifen.

Tenable Hexa AI trägt dazu bei, die durchschnittliche Zeit bis zur Behebung (MTTR) zu verkürzen, indem priorisierte Feststellungen automatisiert in Triage-, Ticketing-, Untersuchungs- und Remediation-Workflows zum Einsatz kommen. Unternehmen, die diese Funktionen nutzen, konnten Remediation-Zeiten bei bestimmten Prozessen von 90 Tagen auf 90 Minuten verkürzen.

Da KI die Aufdeckung von Schwachstellen beschleunigt, müssen auch Behebungsprozesse an Tempo gewinnen.

SRF Limited, ein weltweit tätiges Fertigungsunternehmen, hat Tenable One auf seine IT- wie auch OT-Umgebungen ausgeweitet, um diesen einheitlichen Überblick zu erhalten. Dem CISO des Unternehmens zufolge geht es bei Cybersecurity nicht um die Beseitigung sämtlicher Schwachstellen, sondern vielmehr darum, Kenntnis von den wichtigsten Schwachstellen zu haben und noch vor Bedrohungsakteuren zu handeln.

Schwachstellen und CVEs sind ebenso Teil des Exposure-Gesamtbilds wie Fehlkonfigurationen und übermäßige Zugriffsrechte. Tenable One führt diese vermeidbaren Cyberrisiken in einer einzigen Ansicht zusammen, sodass Unternehmen Behebungsentscheidungen anhand der jeweiligen Exposure treffen können – und nicht basierend auf Feststellungen, die ein Scanner letzten Dienstag gemeldet hat.

Wie genau es nach der Priorisierung weitergeht, erfahren Sie im begleitenden Leitfaden zum Thema Schwachstellenbehebung. Auch Anwendungssicherheitsprogramme spielen eine wichtige Rolle, da sie Sicherheitsschwächen bereits in einer frühen Phase des Softwareentwicklungszyklus Rechnung tragen.