Jenseits der CVE: Warum Kontext bei der Schwachstellenverwaltung wichtiger ist als der Schweregrad

Von Mirko Peters · 2026-08-13

Willkommen zurück im Blog! Wenn Sie schon einmal auf einen Bericht eines Schwachstellenscanners gestarrt haben, der Hunderte oder Tausende Common Vulnerabilities and Exposures (CVEs) auflistet, yo…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! Wenn Sie schon einmal auf einen Bericht eines Schwachstellen-Scanners gestarrt haben, der Hunderte oder Tausende Common Vulnerabilities and Exposures (CVEs) auflistet, kennen Sie das flaue Gefühl der Informationsüberflutung. Naheliegend ist die Annahme, der klügste Ansatz sei, die Liste nach dem höchsten CVSS-Wert zu sortieren und sich von oben nach unten durchzuarbeiten. In der modernen Unternehmenssicherheit führt dieser Ansatz jedoch schnell in eine Sackgasse aus verschwendetem Aufwand, während Ihre Organisation realen Bedrohungen tatsächlich ausgesetzt bleibt. Vor Kurzem haben wir im Podcast genau diese Herausforderung ausführlich behandelt. Um das volle Hörerlebnis zu genießen, hören Sie unbedingt die begleitende Folge Microsoft Defender Vulnerability Management - Simply Explained. In diesem Beitrag vertiefen wir diese Konzepte und zeigen, warum Kontext – nicht allein der technische Schweregrad – der entscheidende Schlüssel zu wirksamer Schwachstellenverwaltung ist.

Patch-Management vs. Schwachstellenverwaltung

Um ein belastbares Sicherheitsprogramm aufzubauen, müssen wir zunächst ein verbreitetes Missverständnis ausräumen: Patch-Management und Schwachstellenverwaltung sind nicht dasselbe. Patch-Management ist im Kern eine operative Aufgabe, die sich auf das Einspielen von Korrekturen konzentriert. Dazu gehört, Windows zu aktualisieren, eine neuere Browserversion zu installieren, veraltete Software zu entfernen oder eine Systemkonfiguration zu ändern. Es ist das „Wie“ bei der Behebung eines bekannten Problems.

Die Schwachstellenverwaltung beantwortet dagegen einen deutlich breiteren und strategischeren Fragenkatalog. Welches Problem sollte zuerst angegangen werden? Wie dringend ist es wirklich? Welche konkreten Geräte sind betroffen? Wer verantwortet den Behebungsprozess? Und vielleicht am wichtigsten: Hat die Korrektur die Schwachstelle nach dem Einspielen tatsächlich beseitigt?

Betrachten wir dazu ein Szenario aus der Praxis: Stellen Sie sich vor, auf einem isolierten, offline betriebenen Testrechner in einem Forschungslabor ist eine kritische CVE gemeldet. Zur gleichen Zeit liegt auf einem Laptop der Finanzabteilung eine Schwachstelle mit mittlerem Schweregrad. Dieses Gerät verarbeitet hochsensible Daten, ist mit externen Netzwerken verbunden und potenziellen Angreifern ausgesetzt. Wenn Sie sich ausschließlich auf CVSS-Werte stützen, werden Sie zuerst den Testrechner beheben. Im Hinblick auf das tatsächliche Risiko für die Organisation stellt der Finanz-Laptop jedoch die weitaus größere Gefahr dar. Der Schweregrad ist durchaus wichtig, der Kontext ist aber unendlich viel wichtiger.

Erkennung: Wissen, was Sie tatsächlich besitzen

Bevor priorisiert oder behoben werden kann, müssen Sicherheits- und IT-Teams einen umfassenden Überblick über ihre Umgebung gewinnen. Sie können nichts absichern, von dem Sie nicht wissen, dass Sie es besitzen. Moderne Werkzeuge wie Microsoft Defender Vulnerability Management erfassen fortlaufend Schwachstellen auf allen Geräten, darunter veraltete Software, fehlende Updates, unsichere Konfigurationen und weitere Sicherheitslücken.

Lücken im Geräte- und Software-Inventar

Organisationen leiden häufig unter blinden Flecken in ihrem Asset-Inventar. Traditionelle periodische Scans übersehen oft dynamische oder neu verbundene Assets. Defender nutzt kontinuierliche Signale von Endpunkten, um Betriebssysteme, installierte Softwareversionen und bekannte Schwachstellen auf allen eingebundenen Geräten zu erfassen. Darüber hinaus nutzen die Funktionen zur Geräteerkennung verwaltete Endpunkte, um andere Systeme im lokalen Netzwerk aufzuspüren. Der nicht genehmigte Drucker, der vergessene Router oder die nicht verwaltete Arbeitsstation in der Ecke lassen sich so endlich sichtbar machen.

Neben der Hardware ist ein genaues Software-Inventar entscheidend. Statt Hunderte einzelne Computer manuell zu prüfen, können Sicherheitsteams eine verwundbare Anwendung gezielt identifizieren und sofort alle Geräte sehen, auf denen sie läuft. Umgekehrt können sie auch einen bestimmten Rechner im Detail analysieren und jede darauf installierte Software prüfen. Diese granulare Transparenz hebt Sicherheitsoperationen weit über die Möglichkeiten manueller Prüfungen hinaus.

Über Software-Patches hinaus denken

Vulnerability Management geht weit über das klassische Patchen von Desktop-Anwendungen hinaus. Je nach Lizenzierung und Konfiguration bewerten moderne Plattformen digitale Zertifikate, Browser-Erweiterungen, Firmware, sicherheitsrelevante Hardwarekonfigurationen und Netzwerkfreigaben. Die richtige Maßnahme besteht manchmal gar nicht in der Installation eines Software-Updates. Es kann etwa darum gehen, eine riskante Konfiguration zu ändern, eine nicht benötigte Anwendung zu entfernen, den Netzwerkzugriff einzuschränken oder veraltete Hardware zu ersetzen.

Priorisierung: Was sollten Sie zuerst beheben?

Sobald die Erkennung abgeschlossen ist, werden Teams unweigerlich mit Daten überflutet. Hier wird die Priorisierung zu Ihrem wichtigsten Verbündeten. CVSS liefert zwar eine nützliche Basis für die Schweregradbewertung, betrachtet die Lage aber isoliert. Es berücksichtigt nicht, wie Ihre Geschäftsumgebung aufgebaut ist.

Fortschrittliche Vulnerability-Management-Werkzeuge bringen entscheidenden Kontext ins Spiel. Gibt es einen öffentlich verfügbaren Exploit? Wird die Schwachstelle aktiv von Bedrohungsakteuren ausgenutzt? Gibt es bereits Sicherheitswarnungen in Ihrem Netzwerk, die mit ihr zusammenhängen? Wie viele Geräte sind betroffen, und welche Rollen erfüllen diese Geräte im Geschäftsbetrieb? Die entscheidende Frage verschiebt sich von „Welche CVE hat die höchste Bewertung?“ zu „Welche Schwachstelle schafft für unsere Organisation das größte reale Risiko?“

Exposure Scores, Secure Scores und Sicherheitsempfehlungen

Um dieses Risiko messbar zu machen, stellen Werkzeuge organisationsweite Exposure Scores bereit. Ein niedrigerer Wert ist immer besser, darf aber niemals als absolute Garantie für Unverwundbarkeit verstanden werden. Ergänzend dazu gibt es den Secure Score for Devices, der Sicherheitskonfigurationen und empfohlene Schutzmaßnahmen bewertet. Diese Kennzahlen helfen Teams, Fortschritte über die Zeit nachzuverfolgen, müssen aber mit konkreten Sicherheitsempfehlungen kombiniert werden.

Umsetzbare Empfehlungen verknüpfen eine bestimmte Schwachstelle mit der betroffenen Software, den gefährdeten Geräten und einem konkreten Behebungsschritt. Hier ändert der Kontext alles. Eine verwundbare Datei, die ungenutzt in einem tief verschachtelten Archivverzeichnis liegt, birgt ein völlig anderes Risikoprofil als verwundbare Software, die aktiv läuft, auf Netzwerkverkehr lauscht und Benutzeranfragen verarbeitet.

Threat Analytics für eine intelligentere Priorisierung nutzen

Modernes Vulnerability Management lässt sich direkt mit Plattformen für Bedrohungsinformationen integrieren. Wird eine neue Zero-Day-Schwachstelle bekannt, müssen Sicherheitsteams ihr Risiko nicht erraten. Sie können Threat Analytics nutzen, um zu prüfen, ob die eigene Organisation betroffen ist, gefährdete Geräte zu identifizieren, zugehörige Warnungen abzurufen und temporäre Gegenmaßnahmen einzusetzen, bis offizielle Patches verfügbar sind. Genau so arbeitet man klüger, nicht härter.

Behebung: Erkenntnisse in umsetzbare Aufgaben überführen

Risiken zu erkennen und zu priorisieren ist nur die halbe Miete. Die Ergebnisse müssen in konkrete Maßnahmen überführt werden. Ein Vulnerability-Management-Werkzeug ist für sich allein selten eine universelle Patch-Engine. Seine Aufgabe besteht darin, zu erkennen, zu priorisieren, nachzuverfolgen und zu überprüfen. Die eigentliche Arbeit der Bereitstellung übernehmen häufig Plattformen wie Microsoft Intune, ServiceNow oder andere IT-Ticketsysteme.

Security und IT verbinden: Defender und Intune im Zusammenspiel

Indem Sie Sicherheitswerkzeuge wie Microsoft Defender mit Verwaltungslösungen wie Microsoft Intune verbinden, können Organisationen die traditionelle Lücke zwischen Sicherheitsteams und IT-Administratoren schließen. Sicherheitsteams identifizieren und priorisieren das Risiko, während die Gerätverwaltung entscheidet, wie Änderungen am sichersten ausgerollt werden, ohne den Geschäftsbetrieb zu stören.

Statt etwa ein kritisches Browser-Update gleichzeitig auf jedem einzelnen Endpunkt auszurollen – was individuelle Webanwendungen zum Absturz bringen kann –, kann die IT zunächst eine kleine Pilotgruppe auswählen. Sobald die Kompatibilität bestätigt ist, wird das Update schrittweise ausgerollt. Dieser kollaborative Workflow verhindert Ausfallzeiten und hält gleichzeitig ein hohes Sicherheitsniveau aufrecht.

Ausnahmen, Gegenmaßnahmen und Überprüfung handhaben

In der Praxis lässt sich nicht jede Schwachstelle sofort beheben. Altanwendungen hängen möglicherweise von veralteten Abhängigkeiten ab, Hersteller veröffentlichen Updates mitunter verspätet, oder Produktionsserver benötigen strikt geplante Wartungsfenster. In solchen Fällen sind dokumentierte Ausnahmen mit klarer geschäftlicher Begründung und strengen Ablaufdaten unverzichtbar.

Wenn permanente Patches verzögert werden müssen, halten temporäre Gegenmaßnahmen die Organisation in der Zwischenzeit sicher, etwa die Einschränkung der Netzwerkkonnektivität, das Blockieren riskanter Anwendungen oder das Anwenden von Workarounds des Herstellers. Schließlich stellt die Überprüfung sicher, dass die Aufgabe tatsächlich erledigt ist. Ein geschlossenes Ticket in einem Tracking-System bedeutet nicht, dass eine Schwachstelle beseitigt ist. Moderne Tools überwachen kontinuierlich die Signale der Geräte, um zu bestätigen, dass betroffene Systeme die Schwachstelle tatsächlich nicht mehr melden.

Das vernetzte Sicherheitsökosystem: Kontext und Sensibilität der Daten

Vulnerability Management entfaltet sein volles Potenzial, wenn es als Teil eines vernetzten Sicherheitsökosystems arbeitet. Wenn Endpoint Detection, Geräteverwaltung und Identitätssysteme miteinander kommunizieren, wird Sicherheit dynamisch und automatisiert.

Betrachten Sie, wie Microsoft Defender, Intune und Entra ID zusammenarbeiten. Stellt ein Gerät gravierende Sicherheitslücken fest, kann Intune es als nicht richtlinienkonform markieren. Bedingte Zugriffsrichtlinien in Entra ID können diesen riskanten Endpunkt dann automatisch davon abhalten, auf Unternehmensressourcen wie SharePoint, Teams oder Exchange Online zuzugreifen, bis die Behebung abgeschlossen ist. Die Bedrohung wird sofort eingedämmt, lange bevor ein Techniker das Gerät manuell anfasst.

Wir können noch einen Schritt weitergehen und die Sensibilität der Daten berücksichtigen. Mit Werkzeugen wie Microsoft Purview können Security-Teams feststellen, wo vertrauliche Finanzdaten oder geistiges Eigentum liegen. Ein Gerät, das solche sensiblen Informationen verarbeitet, verdient eine höhere Priorität als ein Allzweckgerät mit exakt derselben Schwachstelle. Wer technischen Schweregrad, Bedrohungsinformationen, Gerätekontext und Datensensibilität kombiniert, erreicht schließlich ein wirklich ausgereiftes Vulnerability-Management-Programm.

Weitere Diskussionen darüber, wie Sie Ihre moderne Unternehmensumgebung mit diesen leistungsstarken Werkzeugen absichern, finden Sie in der zugehörigen Podcast-Folge Microsoft Defender Vulnerability Management - Simply Explained. Danke fürs Lesen und bleiben Sie sicher!