Schwachstellenmanagement: Schwachstellenmanagement ist der systematische Prozess, technische Sicherheitslücken in IT-Systemen zu identifizieren, zu bewerten und innerhalb definierter Fristen zu beheben, bevor sie ausgenutzt werden können.
Der Prozess folgt typischerweise vier Schritten: Identifikation neuer Schwachstellen etwa über Scanner oder Herstellermeldungen, Bewertung des Risikos anhand von Kritikalität und Ausnutzbarkeit, Priorisierung der Behebung sowie Nachverfolgung bis zum tatsächlichen Patch. Ergänzend prüft ein Penetrationstest gezielt, ob bekannte oder unbekannte Schwachstellen praktisch ausnutzbar sind.
| Schritt | Inhalt |
|---|---|
| Identifikation | Scans, CVE-Meldungen, Herstellerhinweise |
| Bewertung | Kritikalität, Ausnutzbarkeit, betroffene Systeme |
| Behebung | Patch-Management, kompensierende Maßnahmen |
| Nachverfolgung | Fristenkontrolle, erneute Prüfung |
ISO 27001 fordert in Anhang A Control 8.8 ein Verfahren zum Umgang mit technischen Schwachstellen einschließlich definierter Reaktionsfristen. Besonders kritisch bewertete Schwachstellen sollten deutlich schneller behoben werden als solche mit geringem Risiko – pauschale, undifferenzierte Fristen gelten in Audits als unzureichend.
Ohne dokumentiertes Verfahren bleibt Schwachstellenmanagement häufig vom Zufall oder der Tagesform einzelner IT-Mitarbeitender abhängig.
Automatisierte Schwachstellenscanner erleichtern die Identifikation erheblich, ersetzen aber nicht die anschließende Bewertung: Nicht jede gemeldete Schwachstelle ist im eigenen System tatsächlich relevant oder ausnutzbar. Eine sinnvolle Priorisierung berücksichtigt neben der reinen technischen Kritikalität auch, ob das betroffene System überhaupt aus dem Internet erreichbar ist und welche Daten dort tatsächlich verarbeitet werden.
Relevanz für die Zertifizierung
Im ISO-27001-Audit verlangt der Auditor typischerweise Nachweise, dass Schwachstellen nicht nur erkannt, sondern innerhalb angemessener, risikobasierter Fristen tatsächlich behoben wurden – eine lange Liste offener, unbearbeiteter Schwachstellen gilt als klassische Nichtkonformität. Kleinere Betriebe ohne eigene IT-Abteilung sollten frühzeitig klären, wer diese Aufgabe organisatorisch übernimmt, etwa ein externer IT-Dienstleister mit vertraglich fixierten Reaktionszeiten, damit die Anforderung im Alltag auch tatsächlich umsetzbar bleibt. Kleinere Betriebe ohne eigene IT-Abteilung sollten die Verantwortung für dieses Verfahren vertraglich klar an einen externen Dienstleister übertragen, statt sie unausgesprochen offenzulassen. Eine schriftlich fixierte Reaktionsfrist im Dienstleistungsvertrag erleichtert später auch den Nachweis gegenüber dem Auditor erheblich. So lässt sich die Normanforderung auch ohne eigene IT-Abteilung glaubwürdig erfüllen.
Häufige Fragen zu Schwachstellenmanagement
Die Norm schreibt keine pauschale Frist vor, verlangt aber risikobasierte, dokumentierte Reaktionszeiten. Kritische Schwachstellen mit hohem Ausnutzungsrisiko sollten deutlich schneller geschlossen werden als solche mit geringer Kritikalität. Entscheidend im Audit ist eine nachvollziehbare, konsequent eingehaltene interne Frist, nicht eine bestimmte Anzahl von Tagen.
Schwachstellenmanagement ist ein fortlaufender, meist automatisierter Prozess, der bekannte Sicherheitslücken systematisch erfasst und behebt. Ein Penetrationstest ist eine punktuelle, oft manuelle Prüfung, die gezielt versucht, Systeme wie ein Angreifer zu kompromittieren. Beide ergänzen sich und werden von ISO 27001 in unterschiedlichen Controls adressiert.
Für eine ISO-27001-Zertifizierung ja, unabhängig von der Unternehmensgröße, da Anhang A Control 8.8 dies verlangt. In der Praxis lässt sich der Prozess für kleinere IT-Landschaften schlank halten, etwa durch automatisierte Update-Mechanismen und einen externen IT-Dienstleister mit vertraglich vereinbarten Reaktionszeiten. Beide Verfahren sollten im ISMS aufeinander abgestimmt und regelmäßig kombiniert eingesetzt werden.