Mobile-Menu

Ein Gastkommentar von Max Rahner, Tenable Wer Schwachstellen zählt, statt Risiken zu verstehen, betreibt Statistik

Ein Gastkommentar von Max Rahner 4 min Lesedauer

Anbieter zum Thema

ROI-DNA, Inc
Tenable Network Security GmbH
sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH

Die Cybersecurity steckt in einem Teufelskreis: Immer neue Schwachstellen, immer aufwendigere Ab­wehr­maß­nahmen und trotzdem immer mehr Sicher­heits­vorfälle. Der Grund liegt tiefer als fehlende Tools oder Fachkräfte. Es ist ein Denkfehler. Wer Sicherheit weiterhin als rein technische Disziplin ver­steht, wird auch künftig nur Symptome behandeln. Zeit für einen echten Per­s­pek­ti­ven­wech­sel, hin zu Exposure-Management.

„Viele Security-Teams sind heute im Dauerstress – nicht, weil sie zu wenig tun, sondern weil sie in einem reaktiven Paradigma gefangen sind: Vorfall erkennen, isolieren, analysieren, schließen.“ sagt Max Rahner, Senior Business Development Manager bei Tenable.(Bild: Tenable)
„Viele Security-Teams sind heute im Dauerstress – nicht, weil sie zu wenig tun, sondern weil sie in einem reaktiven Paradigma gefangen sind: Vorfall erkennen, isolieren, analysieren, schließen.“ sagt Max Rahner, Senior Business Development Manager bei Tenable.
(Bild: Tenable)

Seit Jahren investieren Unternehmen Milliarden in Sicherheitstools, ohne dass die Zahl erfolgreicher Angriffe sinkt. Schwachstellen werden gescannt, priorisiert, gepatcht – und doch bleiben die Ergebnisse vieler Assessments ernüchternd gleich. Der Grund ist simpel: Wir versuchen, ein strategisches Risiko mit operativen Mitteln zu bekämpfen. Security-Teams jagen CVSS-Scores, patchen unter Druck, und verlieren dabei den Überblick über das, was wirklich zählt: den geschäftlichen Kontext. Eine Schwachstelle wird erst dann zum Risiko, wenn sie die Geschäftstätigkeit gefährdet. Ohne diesen Bezug verkommt Risikobewertung zur Zahlenakrobatik – und Security zum reinen Selbstzweck.

Genau hier setzt Exposure-Management an. Es verbindet technische Erkenntnisse mit Business-Kontext und beantwortet die entscheidende Frage: Was ist für mein Unternehmen wirklich relevant?

Wenn alles kritisch ist, ist nichts mehr kritisch

Viele Unternehmen erleben derzeit eine paradoxe Situation: Je mehr sie messen, desto unklarer wird das Bild. Nicht selten stufen Unternehmen über die Hälfte aller gefundenen Schwachstellen als „kritisch“ ein. Doch wer alles für gleich wichtig hält, hat in Wahrheit keine Prioritäten.

Ein klassischer Schwach­stellen­scanner liefert Daten, aber noch keine Entscheidungsgrundlage. Exposure-Management hingegen ordnet diese Daten in den Unternehmenskontext ein und übersetzt sie in priorisierbare Risiken. Eine vermeintlich harmlose Schwachstelle entwickelt plötzlich kritisches Potenzial, wenn sie auf einem System mit aktivem Administrator-Konto liegt; umgekehrt kann ein eigentlich „hoher“ CVSS-Wert nahezu irrelevant sein, wenn die betroffene Komponente isoliert ist oder keinerlei geschäftliche Bedeutung besitzt. Das Ziel ist nicht, möglichst viele Schwachstellen zu schließen, sondern die richtigen. Unternehmen, die auf einen Exposure-Management-Ansatz umgesattelt haben, konnten unserer Erfahrung nach die Zahl der wirklich prioritären Findings im Schnitt um bis zu 98 Prozent reduzieren.

Weg vom Geräteblick, hin zum Geschäftsprozess

Cybersecurity war lange eine rein technische Disziplin: Firewalls, Endpoints, Patches. Doch die Welt, in der diese Ansätze entstanden sind, gibt es so nicht mehr. Heute betreiben die meisten Unternehmen hybride Infrastrukturen – ein Mix aus On-Premises, Multi-Cloud-Umgebungen und SaaS-Anwendungen. Dazu kommen APIs, digitale Identitäten sowie intern entwickelte Applikationen und Services. Wer in dieser Komplexität nur Geräte betrachtet, schützt das Falsche. Was wirklich zählt, sind Geschäftsprozesse – also die Abläufe, die das Unternehmen am Laufen halten. Sie bilden den Maßstab dafür, welche Risiken wirklich relevant sind.

Exposure-Management bildet den dringend benötigten Brückenschlag zwischen Technik und Business: Schwachstellen und Risiken werden nach ihrer Auswirkung auf das Unternehmen bewertet – und nicht mehr nach rein technischen Kriterien. Dass dieser Perspektivwechsel nicht nur fachlich sinnvoll, sondern längst regulatorisch gefordert ist, zeigen NIS2 und DORA: Beide setzen ausdrücklich auf ein geschäftsorientiertes, risikobasiertes Sicherheitsverständnis – jenseits der rein technischen Schwach­stellen­verwaltung.

Der neue Perimeter heißt Identität

„Nur was man kennt, kann man schützen“ – dieser Satz gilt mehr denn je. Doch in einer verteilten, hybriden Welt reicht ein klassisches Asset-Inventar nicht mehr aus. Heute sind Identitäten der neue Perimeter. Sie entscheiden, wer Zugang hat – und damit auch, wie ein Angreifer sich lateral durch ein Unternehmen bewegen kann. Darum ist die Einbeziehung von Identitäten in den Risikokontext so entscheidend. Eine Schwachstelle auf einem System mit Admin-Rechten ist eben keine gewöhnliche Schwachstelle. Sie ist eine potenzielle Eintrittskarte zum gesamten Netzwerk.

Cloud, Fehlkonfigurationen und Schatten-KI: neue Angriffsflächen, alte Denkfehler

Mit der Verlagerung in die Cloud entstehen unzählige neue Risiken – viele davon hausgemacht. Fehlkonfigurationen in Cloud-Instanzen sind heute ein Hauptgrund für Datenlecks, werden aber in traditionellen Schwach­stellen-Scans kaum erfasst. Und während die Diskussion um „Schatten-IT“ gerade abebbt, steht das nächste Phänomen schon vor der Tür: Schatten-KI. KI-Modelle werden in Unternehmen längst produktiv eingesetzt – teils bewusst, teils versteckt. Eine aktuelle Studie zeigt: Bereits ein Drittel der Unternehmen berichtet von Sicherheitsvorfällen im Zusammenhang mit KI-Workloads. Die Angriffsfläche wächst nicht nur – sie skaliert. Angreifer nutzen KI, um Schwachstellen automatisiert und kontextsensibel aufzuspüren. Security muss daher ebenso kontext­basiert, intelligent und vorausschauend agieren.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Vom Reagieren zum Antizipieren

Viele Security-Teams sind heute im Dauerstress – nicht, weil sie zu wenig tun, sondern weil sie in einem reaktiven Paradigma gefangen sind: Vorfall erkennen, isolieren, analysieren, schließen. Doch dieser Kreislauf führt nicht zu mehr Sicherheit, sondern zu höheren Kosten und chronischer Überlastung. Es ist, als würde man eine immer aufwendigere Alarmanlage installieren – aber die Fenster erst schließen, nachdem bereits eingebrochen wurde. Exposure-Management ist der Weg, dieses Paradigma zu überwinden. Es macht Risiken sichtbar, bevor sie zu Vorfällen werden, und ermöglicht Unternehmen, ihre knappen Ressourcen dort einzusetzen, wo sie den größten Effekt haben.

Sicherheit braucht Kontext und Mut zur Priorisierung

Cybersecurity ist kein Selbstzweck und keine Jagd nach dem höchsten CVSS-Score. Es geht darum, geschäftliche Handlungsfähigkeit zu sichern. Wer das verstanden hat, begreift auch: Absolute Sicherheit gibt es nicht – wohl aber intelligente Priorisierung. Exposure-Management ist kein weiteres Tool, sondern ein Paradigmenwechsel. Es verabschiedet sich von alten Gewissheiten und betrachtet Sicherheit als unternehmerische Disziplin. Wer heute noch Schwachstellen zählt, statt Risiken zu verstehen, betreibt Statistik.

Über den Autor: Max Rahner ist Senior Business Development Manager bei Tenable. Er begleitet Unternehmen bei der strategischen Neuausrichtung ihrer Cybersecurity-Programme hin zu kontext­basiertem Exposure-Management.

(ID:50765125)

Weiterführende Inhalte