Jeden Monat werden tausende neue Sicherheitslücken veröffentlicht. Kein Unternehmen kann alle sofort schliessen. Schwachstellenmanagement beantwortet deshalb vor allem eine Frage: Welche Lücken müssen zuerst geschlossen werden?
Der Prozess
Erstens ein Inventar der Systeme und Software, einschliesslich der aus dem Internet erreichbaren (Attack Surface Management) und der verwendeten Bibliotheken (SBOM). Zweitens das Erkennen von Lücken über Hersteller-Hinweise, Scanner und Abhängigkeitsprüfungen. Drittens die Priorisierung. Viertens die Behebung innert festgelegter Fristen. Fünftens die Überprüfung, dass die Behebung wirkt.
Priorisierung jenseits von CVSS
Der CVSS-Wert beschreibt den theoretischen Schweregrad einer Lücke. Für die Priorisierung zählt aber vor allem, ob sie tatsächlich ausgenutzt wird und ob das betroffene System erreichbar ist. Der Katalog der Known Exploited Vulnerabilities der US-Behörde CISA listet aktiv ausgenutzte Lücken; das Exploit Prediction Scoring System (EPSS) schätzt die Wahrscheinlichkeit einer Ausnutzung. Eine mittelschwere Lücke in einem aus dem Internet erreichbaren System, die aktiv ausgenutzt wird, ist dringender als eine kritische Lücke in einem isolierten Testsystem.
Fristen und Verantwortung
Bewährt haben sich Fristen nach Risikoklasse: aktiv ausgenutzte Lücken in erreichbaren Systemen innert Tagen, andere kritische Lücken innert Wochen, der Rest im regulären Wartungsfenster. Jede Lücke braucht eine verantwortliche Person, und Ausnahmen werden begründet und befristet.
Bezug zur Regulierung
Der Cyber Resilience Act verlangt von Herstellern digitaler Produkte ein Schwachstellenmanagement über den gesamten Unterstützungszeitraum und meldet aktiv ausgenutzte Lücken seit September 2026 an die ENISA. Versicherer prüfen den Patch-Stand vor Abschluss einer Cyberversicherung.