Neuer Ansatz für Cyber-Risikomanagement Warum Exposure Management das Schwachstellen-Management ablöst

Traditionelles Schwachstellenmanagement stößt bei modernen Cyberbedrohungen an seine Grenzen. Exposure Management betrachtet Risiken im Gesamtkontext, verknüpft Sicherheit mit Unternehmenszielen und ermöglicht fundierte Investitionsentscheidungen. So wird Cybersicherheit zur strategischen Führungsaufgabe.

Das herkömmliche Vulnerability Management ist für moderne Cyber-Bedrohungen nicht mehr zeitgemäß. Unternehmen brauchen einen ganzheitlichen Ansatz, der Risiken im Gesamtkontext bewertet. Darüber hinaus fordern neue Regularien ein präventives Risikomanagement, also proaktive Sicherheit. Dafür müssen vor allem die Führungsetagen umdenken, um die Sicherheit mit den geschäftlichen Prioritäten in Einklang zu bringen. Exposure Management liefert den strategischen Rahmen dafür.

Nicht nur Sicherheitsabteilungen, sondern auch Chefetagen haben keine Zeit und keine Ausreden mehr, einer unangenehmen Wahrheit entgegenzutreten: Das herkömmliche Schwachstellenmanagement bietet keinen ausreichenden Schutz mehr vor modernen Cyber-Bedrohungen. Und warum? Das Vulnerability Management (Schwachstellenmanagement) konzentriert sich traditionell ausschließlich auf bestimmte Arten von Anlagen und Risiken. Dabei werden die Prioritäten ausschließlich nach dem Schweregrad der Gefährdung gesetzt, d. h. danach, wie leicht eine Schwachstelle ausgenutzt werden kann. Bei diesem Ansatz werden wichtige Elemente des tatsächlichen Risikos und der Auswirkungen auf das Unternehmen nicht berücksichtigt.

Da die Kosten eines durchschnittlichen Data Breach laut dem IBM-Bericht „Cost of a Data Breach“ im Jahr 2024 bis auf 4,88 Millionen US-Dollar (umgerechnet ca. 4,3 Mio Euro) anstiegen, müssen Unternehmensleiter bereit sein, nicht nur einen anderen Ansatz für die Cybersicherheit in Betracht zu ziehen, sondern diesen auch aktiv umzusetzen.

IBM Cost of a Data Breach Report 2025

Kosten von Datenlecks sinken in Deutschland erstmals seit 5 Jahren

Vom Schwachstellen- zum Risikomanagement

Worin besteht dieser Wandel? Im Mittelpunkt steht das Exposure Management, ein Ansatz, der wesentlich ausgefeilter ist als das traditionelle Schwachstellenmanagement. Beim Exposure Management wird das Risiko auf der Grundlage mehrerer Faktoren bewertet, einschließlich der Frage, ob Schwachstellen in der Praxis schon ausgenutzt wurden und welche Auswirkungen sie auf das Geschäft haben könnten. Gerade für die Führungsebene ist diese Unterscheidung von großer Bedeutung, da dort Entscheidungen über Sicherheitsinvestitionen mit den Unternehmenszielen in Einklang gebracht werden müssen.

Die Risikolandschaft besser verstehen

Kurz gesagt geht es beim Exposure Management darum, die Risikolandschaft ganzheitlich zu verstehen und die Sicherheitsanstrengungen mit den geschäftlichen Prioritäten in Einklang zu bringen. Dabei wird die enge Sichtweise des traditionellen Vulnerability Managements aufgegeben und stattdessen die gesamte Angriffsfläche betrachtet. Anstatt Sicherheitsmaßnahmen ohne Kontext zu priorisieren, ermöglicht das Exposure Management den Unternehmen, Parameter für die Risikobereitschaft zu definieren und ihr Cyber-Risiko entsprechend zu steuern.

Dieser Wandel stellt mehr als eine technische Entwicklung dar - er verändert grundlegend die Art und Weise, wie Unternehmen Cyber-Risiken bewerten und darauf reagieren. Während das Vulnerability Management Tausende potenzieller Schwachstellen identifizieren kann, die angeblich behoben werden müssen, hilft das Exposure Management den Verantwortlichen zu verstehen, welche Schwachstellen ein echtes Geschäftsrisiko darstellen und daher wirklich sofortige Aufmerksamkeit verdienen.

Dieser Ansatz geht über das rein technische Verständnis von Bedrohungen hinaus und bezieht auch immaterielle Werte wie geistiges Eigentum und Reputation mit ein. Diese immateriellen Werte sind genau der Grund, warum das Exposure Management neben der Domäne der Chief Information Security Officers (CISOs) auch für die gesamte Führungsebene von Bedeutung ist.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2025

Aufbau integrierter Sicherheitsmaßnahmen

Das Exposure Management begegnet anhaltenden operativen Herausforderungen mit drei Kernkomponenten:

• Angriffsflächenmanagement (ASM, Attack Surface Management), das externes Angriffsflächenmanagement und das Management der Angriffsflächen von Cyber-Assets umfasst.

• Risikobasiertes Schwachstellenmanagement (RBVM, Risk-Based Vulnerability Management), welches das tatsächliche Ausnutzungsrisiko und die geschäftlichen Auswirkungen berücksichtigt und somit über die reine Priorisierung aufgrund des Schweregrades hinausgeht.

• Validierung durch Simulationen von Sicherheitslücken und Angriffen (Breach and Attack Simulation), automatisierte Penetrationstests und andere Tools, die reale Risiken verifizieren.

Durch diese Funktionen können Unternehmen ein echtes Verständnis für ihre Sicherheitslage erlangen. Außerdem kann Exposure Management so dazu beitragen, Reibungen zwischen IT- und Sicherheitsteams zu verringern, indem es eine bessere Datenintegration und eine verbesserte risikobasierte Priorisierung ermöglicht. So können sich Sicherheitsteams darauf fokussieren, die Ausnutzung von Angriffsflächen proaktiv zu verhindern – statt ständig auf Sicherheitsvorfälle zu reagieren und nur Schwachstellen-Logs abzuarbeiten.

Schwachstellen-Flut eindämmen

Nur 3 Prozent aller Sicherheitslücken sind wirklich kritisch

Von der Strategie zur Umsetzung

Bei der Implementierung gibt es verschiedene Aspekte, die Führungskräfte berücksichtigen sollten. Erstens sollten die Lösungen für das Exposure Management die bestehenden Cybersicherheitslösungen berücksichtigen, anstatt sie komplett zu ersetzen. Zweitens sollte die Implementierung darauf abzielen, angemessene Parameter für die Risikobereitschaft festzulegen, das heißt also akzeptable Cyber-Risikoniveaus im Einklang mit den Unternehmenszielen zu bestimmen.

Der Übergang erfordert von den Unternehmen eine kontextbezogene, umfassende Sichtweise des Cybersecurity-Risikos. Die Quantifizierung von Cyber-Risiken muss sich von subjektiven Bewertungen zu objektiven, datengesteuerten Messungen entwickeln.

Traditionelle Risikobewertungen stützen sich dabei meist auf subjektive Einstufungen, technischen Cybersecurity-Fachjargon oder simple Heatmaps, um Auswirkungen auf die Cybersicherheit eines Unternehmens abzuschätzen und daraus finanzielle Folgen auf der Ebene einzelner Vorfälle oder Sicherheitsmaßnahmen abzuleiten. Die Quantifizierung des realen Risikos umfasst jedoch weit mehr und benötigt einen ausreichenden Datenpool. Ein Beispiel dafür beschreibt Asdrúbal Pichardo, CEO bei Squalify, ein Experte für Cyber Risk Quantification: “Modernes Cyberrisikomanagement muss über theoretische Modelle hinausgehen und auf realen Daten basieren. Durch die Anbindung an die Munich Re können wir beispielsweise auf über zehn Jahre an Schaden- und Risikodaten zurückgreifen, um fundierte Einschätzungen zu ermöglichen – besonders auf strategischer Unternehmensebene.“

Nur ein strategischer Ansatz ermöglicht fundierte Entscheidungen über Sicherheitsinvestitionen und eine klare Kommunikation über die Sicherheitslage an die Beteiligten.

Neue Microsoft-Lösung

Mit Microsoft Security Exposure Management Angriffspfade im Blick

Fazit: Wie Führungskräfte Exposure Management erfolgreich einführen

Der Wandel ist also unumgänglich. Aber es stellt sich die entscheidende Frage: Wie setzen Führungskräfte dies tatsächlich um? Gute Absichten reichen nicht aus – solche Veränderungen in die Tat umzusetzen, erfordert kognitive und organisatorische Umbrüche.

Der erste Schritt bei der Implementierung von Exposure Management besteht darin, das bestehende Sicherheitssystem zu überprüfen, um Lücken in kritischen Bereichen zu identifizieren. Das umfasst:

• Sichtbarkeit und Management der Angriffsflächen.

• Tools und Prozesse zur risikobasierten Bewertung von Schwachstellen.

• Mechanismen zur Überprüfung der Gefährdung.

• Integrationspunkte zwischen bestehenden Sicherheitslösungen.

• Funktionen zur Datenerfassung und -analyse für die Risikobewertung.

Da sich das Exposure Management weiter etabliert, werden sich auch die Lösungen zur Unterstützung einer effektiven Implementierung und Verwaltung weiterentwickeln - und ebenso sollten das Bewusstsein und die Kompetenzen dafür in der Führungsetage wachsen.

Der Umschwung auf Exposure Management ist kein einmaliges Projekt, das man schnell wieder vergisst, und Führungskräfte können auch nicht abwarten und sehen, was als nächstes passiert, sondern müssen handeln.

Über den Autor: Alexander Neff ist seit 2022 VP EMEA Central bei Ivanti und verantwortet das Vertriebsgeschäft in DACH. Alexander Neff blickt auf mehr als 30 Jahre Führungserfahrung in renommierten IT-Unternehmen zurück. Er verfügt über einen Master-Abschluss in Wirtschaft und Technik der Technischen Hochschule Rosenheim und bekleidet verschiedene Beirats- und Aufsichtsrats-Mandate.

(ID:50541532)