Branche:
Gesundheitswesen / MedTech

Funktion:
Spezialist Vulnerability Management

Verantwortungsbereiche:

• Aufbau eines Schwachstellenmanagements im Bereich Softwareentwicklung / Bereitstellung und IT-Infrastruktur
• Erstellung von SBOM’s über Cyclonde-DX und Einbindung in die CI /CD
• Quellcode Analysen mit SonarSource – Abstimmung mit den Entwicklern
• Linux Infrastruktur Konfigurationsschwachstellen Scans mit Lynis
• Schwachstellen Analyse mit Dependancy-Track
• Docker Container Schwachstellenscans mit Trivy
• Kubernetes Configuration Vulnerability Scans auf Basis von CIS Framework mit kube-Bench
• Schreiben von Management Reports & Planung von Behebungsstrategien (Mitigation)
• Dokumentation der Vorgehensweise und Ergebnisse basierend des ermittelten Risikos (Risikoanalyse) sowie unter Verwendung von Indikatoren wie Ausnutzbarkeit und Eintrittswahrscheinlichkeit (angelehnt an CVSS)

Branche:
Banken / Finanzwesen

Funktion:
IT-Security Analyst

Verantwortungsbereiche:

• Design, Implementierung und kontinuierliche Verbesserung zugehöriger Prozesse sowie Metriken zur Steuerung des Vulnerability Managements
• Betrieb und Weiterentwicklung der Vulnerability Scanning Platform Tenable Security Center
• Planung und Koordination des Nessus Agent Rollouts
• Planung und Durchführung von Schwachstellenscans im Windows- und Linux-Umfeld (Windows Client/Server, Debian, Red Hat)
• Analyse und Bewertung von identifizierten Schwachstellen basierend auf der Kritikalität sowie dem Impact auf das Unternehmen
• Koordination von Maßnahmen zur nachhaltigen Schwachstellenbehebung sowie Optionen zur Risikomitigierung

Branche:
Industriekonzern

Funktion:
Projektverantwortlicher

Verantwortungsbereiche:

• Design, Implementierung und kontinuierliche Verbesserung zugehöriger Prozesse sowie Metriken zur Steuerung des Vulnerability Managements
• Aufbau, Betrieb und Dokumentation der Vulnerability Scanning Platform Tenable Security Center Plus in einem abgeschotteten („air-gapped“) Netzwerk
• Planung und Installation der Nessus Agents sowie Koordination des erweiterten Rollouts unter Windows und Linux
• Erstellung und Implementierung an das Ziel angepasster Scanpolicies
• Planung und Durchführung von Schwachstellenscans (lokal sowie netzwerkbasiert)
• Analyse und Bewertung von identifizierten Schwachstellen basierend auf der Kritikalität sowie dem Impact auf das Unternehmen
• Koordination von Maßnahmen zur nachhaltigen Schwachstellenbehebung sowie Optionen zur Risikomitigierung

Branche:
Banken / Finanzwesen

Funktion:
Projektverantwortlicher

Verantwortungsbereiche:

• Analyse der festgestellten Defizite aus §44 IT-Sonderprüfung BaFin sowie Erstellung von Management Action Plänen und Strategien zur Behandlung der Risiken für den Projekt-Stream Schwachstellenmanagement
• Entwicklung detaillierter Maßnahmenpläne sowie einer Roadmap zur nachhaltigen Behebung der Defizite
• Design, Implementierung und kontinuierliche Verbesserung zugehöriger Prozesse sowie Metriken zur Steuerung des Vulnerability
• Aufbau, Betrieb und Weiterentwicklung der Vulnerability Scanning Platform Tenable Security Center
• Planung und Koordination des Nessus Agent Rollouts
• Planung und Durchführung von Schwachstellenscans
• Analyse und Bewertung von identifizierten Schwachstellen basierend auf der Kritikalität sowie dem Impact auf das Unternehmen
• Koordination von Maßnahmen zur nachhaltigen Schwachstellenbehebung sowie Optionen zur Risikomitigierung

Branche:
Banken / Finanzwesen

Funktion:
Projektverantwortlicher

Verantwortungsbereiche:

• Konzeption, Aufbau, Betrieb, Weiterentwicklung und Globalisierung einer Vulnerability Scanning Plattform tenable.sc / Nessus in einer KRITIS relevanten Umgebung
• Integration der Vulnerability Scanning Plattform Ergebnisse in eine zentralisierte Vulnerabiltity Management Konsolidierungsplattform (Kenna)
• Monitoring des Betriebszustands und Troubleshooting der Vulnerability Scanning Plattform
• Design, Implementierung und kontinuierliche Verbesserung zugehöriger Prozesse sowie Metriken zur Steuerung des Vulnerability Managements
• Aufbau und kontinuierliche Weiterentwicklung eines Reporting zur Steuerung der Schwachstellenbehebung und Metriken für die Bewertung der Prozessqualität
• Kommunikation und zeitnahe Nachverfolgung des Behebungsstatus identifizierter Schwachstellen mit verantwortlichen Stakeholdern
• Analyse und Risikobewertung der aktuellen Sicherheitslage zu veröffentlichten Schwachstellen unter Berücksichtigung von Angriffsszenarien und Gefahren-Aktivität sowie verfügbarem Schadcode
• Koordination von Maßnahmen zur nachhaltigen Schwachstellenbehebung sowie Beratung hinsichtlich Optionen zur Risikomitigierung unter Einhaltung der Service Level Agreements
• Steuerung des Providers zur Schwachstellenidentifikation extern erreichbarer Infrastruktur
• Koordination zwischen internen Teams und des externen Providers hinsichtlich benötigter Ressourcen und Informationen

Branche:
Banken / Finanzwesen

Funktion:
Berater

Verantwortungsbereiche:

• Konzeption, Aufbau, und Betrieb einer Vulnerability Scanning Lösung auf Basis von Tenable Nessus in einer KRITIS relevanten Umgebung
• Monitoring des Betriebszustands und Troubleshooting der Vulnerability Scanning Plattform
• Design, Implementierung und kontinuierliche Verbesserung zugehöriger Prozesse im Bereich Patch- und Vulnerability Management sowie Metriken zur Steuerung
• Aufbau und kontinuierliche Weiterentwicklung eines Reporting zur Steuerung der Schwachstellenbehebung und Metriken für die Bewertung der Prozessqualität
• Kommunikation und zeitnahe Nachverfolgung des Behebungsstatus identifizierter Schwachstellen mit verantwortlichen Stakeholdern
• Analyse und Risikobewertung der aktuellen Sicherheitslage zu veröffentlichten Schwachstellen unter Berücksichtigung von Angriffsszenarien und Gefahren-Aktivität sowie verfügbarem Schadcode
• Koordination von Maßnahmen zur nachhaltigen Schwachstellenbehebung sowie Beratung hinsichtlich Optionen zur Risikomitigierung unter Einhaltung der Service Level Agreements

Branche:
Security Operations

Funktion:
Projektmitarbeiter

Verantwortungsbereiche:

• Erfassung des Software- & Hardwareinventars
• Einbindung von Clients in ein zentrales Überwachungssystem
• Durchführung von automatisierten und bei Bedarf manuellen Vulnerability Scans/ Schwachstellenscans
• Durchführung von Schwachstellenanalysen
• Bearbeitung der Ergebnisse aus Schwachstellenanalysen und Feststellung von Schwachstellen
• Detaillierte Dokumentation der technischen Details

Die Kosten für ein professionelles Vulnerability Management hängen im Wesentlichen von zwei Faktoren ab: Zum einen von der Anzahl der zu scannenden IP-Adressen, also der Systeme, Endgeräte oder Netzwerkkomponenten, die aktiv auf Schwachstellen geprüft werden sollen. Zum anderen vom Beratungsaufwand, gemessen in Personentagen. Dieser entsteht beispielsweise durch die manuelle Validierung kritischer Schwachstellen, die Erstellung risikobasierter Maßnahmenpläne oder individuelle Reporting-Anforderungen.

In der Praxis zeigt sich, dass sich rund 53 Prozent unserer Kundenprojekte im Kostenrahmen zwischen 399,00 Euro und 1.999,00 Euro bewegen. Das gilt vor allem bei standardisierten Schwachstellenscans mit einem klar definierten Umfang. Bei höheren regulatorischen Anforderungen wie DORA, ISO 27001 oder NIS2 oder bei komplexeren IT-Infrastrukturen steigt der Aufwand entsprechend. Das betrifft insbesondere individuelle Scanrichtlinien, die Integration in ein bestehendes ISMS oder ergänzende Workshops.

Für eine realistische Aufwandseinschätzung genügt in der Regel ein kurzes Scoping-Gespräch. Danach wissen Sie genau, womit Sie rechnen können.

Ein effektives Vulnerability Management besteht aus mehreren aufeinander abgestimmten Prozessen, die gemeinsam für eine kontinuierliche Erkennung, Bewertung und Behandlung von Schwachstellen sorgen:

1. Asset- & Inventory Management
Grundlage jedes Schwachstellenmanagements ist eine vollständige und gepflegte Inventarisierung:

• IT-Assets inkl. Netzwerkzonen, Asset-Klasse, Umgebung
• Integration mit CMDB oder zentralem Inventory
• Lifecycle-Informationen (z. B. Betrieb, Test, Außerbetriebnahme)

2. Vulnerability Scanning & Assessment

• Planung & Durchführung von Schwachstellenscans (z. B. nach Intervall, Asset-Klasse, Scantyp)
• Bewertung nach Kritikalität, z. B. per CVSS oder VPR
• Identifikation neuer Verwundbarkeiten (z. B. Zero Days)

3. Reconciliation & Reporting

• Abgleich der Scan-Ergebnisse mit dem Asset-Inventar
• Eskalationspfade bei fehlenden oder falsch konfigurierten Assets
• Reporting an IT, CISO & Management

4. Scan Policy Management

• Pflege & Review der eingesetzten Scan-Policies
• Regelmäßige Anpassung an neue Bedrohungen oder interne Anforderungen
• Dokumentation von Ausnahmen (z. B. produktionskritische Systeme)

5. Schnittstelle zu Patch- & Risk Management

• Enge Verzahnung mit Patch-Prozessen zur Risikomitigation
• Integration in das übergeordnete Risk Management (z. B. BIA, Risikoakzeptanz, Transfer)

Ein funktionierendes Schwachstellenmanagement erfordert klare Verantwortlichkeiten.
Typischerweise sind folgende Rollen beteiligt:

• Information Security Officer (ISO):
  Der ISO trägt die Gesamtverantwortung für das Vulnerability Management. Er definiert die Ziele, steuert den Prozess und stellt sicher, dass alle Maßnahmen dokumentiert und korrekt umgesetzt werden. Bei Abweichungen initiiert er Korrekturmaßnahmen.
• Vulnerability Management Engineer:
  Der VM Engineer ist für die technische Umsetzung verantwortlich:
  - Konfiguration der Scans (z. B. Scantyp, Häufigkeit)
  - Wartung der Scanner-Infrastruktur
  - Support bei Problemen während der Durchführung
• Asset Owner:
  Der Asset Owner ist für die Systeme verantwortlich, die gescannt werden. Er bewertet die Ergebnisse und entscheidet über:
  - geeignete Gegenmaßnahmen (z. B. Patch-Einspielung)
  - Alternativmaßnahmen oder Risikoakzeptanz (in Absprache mit dem ISO)
• IT System Engineer:
  Der IT Engineer setzt die Maßnahmen technisch um, z. B. durch:
  - das Einspielen von Patches
  - das Implementieren von Mitigationsmaßnahmen
  Ziel ist es, Risiken effektiv zu senken oder vollständig zu beseitigen.

Die Häufigkeit hängt von der Kritikalität Ihrer Systeme, regulatorischen Anforderungen und der Größe Ihrer IT-Umgebung ab. In der Praxis haben sich folgende Intervalle etabliert:

• Kritische Systeme / Cloud / Internet-facing → wöchentlich oder täglich
• Produktivsysteme → monatlich
• Low-Impact-Systeme / interne Testsysteme → quartalsweise

Gemäß ISO 27001, BSI-Grundschutz und DORA sind regelmäßige Schwachstellenscans verpflichtend.

Unser Tipp: Vulnerability Management Scans as a Service Lösungen bieten eine skalierbare Möglichkeit, automatische Scans im gewünschten Turnus umzusetzen.

Zu den gängigen Tools im Schwachstellenmanagement gehören:

• Tenable Nessus / Tenable.io / Tenable.sc
• Qualys VMDR
• Rapid7 Nexpose / InsightVM
• OpenVAS (Greenbone)

Zusätzlich setzen viele Unternehmen auf ergänzende Systeme zur Integration, z. B. Jira, ServiceNow, Excel-Ausleitungen, CMDB-Systeme und Asset-Management-Plattformen.

Wir unterstützen Sie gern bei der Auswahl, Integration und Konfiguration, inkl. Compliance-konformer Scan-Policies.

Bei Vulnerability Scanning as a Service (VSaaS) übernimmt eine cloudbasierte Plattform das kontinuierliche Schwachstellenmanagement:

• Automatisierte Scans im definierten Turnus
• Priorisierung nach Risiko und Business Impact
• Dashboard-Übersicht für CISO, IT und Management
• Optional: Handlungsempfehlungen & Mitigations-Support

VSaaS reduziert manuelle Aufwände, sorgt für Transparenz und erleichtert die Erfüllung regulatorischer Anforderungen.

Die Wahl des richtigen Scantyps ist entscheidend für die Qualität Ihrer Schwachstellenanalyse. Je nach Systemlandschaft, Sicherheitsanforderung und Scan-Ziel kommen unterschiedliche Methoden zum Einsatz. Wir unterstützen Sie gern bei der Auswahl, Konfiguration und Bewertung der passenden Scanverfahren.

1. Netzwerkbasierte Scans
Netzwerkbasierte Schwachstellenscans analysieren ein System „von außen“, ohne sich darauf anzumelden. Dabei wird je nach Konfiguration entweder eine typische Portauswahl oder die gesamte Portrange (1–65535) gescannt. Der Fokus liegt auf öffentlich erreichbaren Ports, Diensten und netzwerkbasierten Schwachstellen.

Diese Scanmethode eignet sich besonders für:

• die Erkennung von exponierten Systemen
• die Überprüfung von Firewalls und Zugriffskontrollen
• den Einsatz in DMZs, externen erreichbaren Systemen oder Cloud-Umgebungen

Wichtig zu wissen:
Da der Scanner keinen Zugriff auf das Betriebssystem hat, bleiben lokale Schwachstellen (z. B. veraltete Bibliotheken, unsichere Konfigurationen, ungepatchte Software) unerkannt. Für tiefere Analysen empfehlen wir ergänzend authentifizierte oder agent-basierte Scans.

2. Authentifizierte Scans
Authentifizierte Schwachstellenscans greifen direkt auf das Zielsystem zu. Etwa via SSH (Linux/Unix) oder SMB (Windows). Dadurch ermöglichen sie eine umfassendere Sicherheitsbewertung, da nicht nur externe Dienste, sondern auch lokale Schwachstellen, veraltete Softwarepakete und fehlerhafte Konfigurationen erkannt werden.

Diese Scans sind besonders geeignet für:

• produktive Server und sicherheitskritische Systeme
• die Prüfung interner Schwachstellen auf Betriessystem- und Anwendungsebene
• Umgebungen mit hohen regulatorischen Anforderungen (z.B. ISO 27001, NIS2, DORA)

Hinweis:
Authentifizierte Scans erfordern privilegierte Benutzerkonten auf allen Zielsystemen, meist mit Root- oder Administratorrechten. Bei Windows-Systemen kann ein zentraler Scan-User für Domänenumgebungen genutzt werden.Die Zugangsdaten müssen besonders geschützt werden, da sie weitreichende Berechtigungen enthalten.

3. Agent-basierte Scans
Agent-basierte Schwachstellenscans setzen auf lokale Software-Agents, die direkt auf den Zielsystemen installiert werden. Diese Methode eignet sich besonders für Assets, die nicht dauerhaft erreichbar sind. Etwa Laptops, mobile Geräte oder Homeoffice-Systeme. Die Scans laufen minimal invasiv im Hintergrund und übertragen die Ergebnisse automatisch, sobald eine Netzverbindung besteht. Damit ermöglichen sie eine verlässliche Schwachstellenanalyse auch außerhalb klassischer Netzwerkstrukturen.

Typische Einsatzbereiche:

• Remote-Arbeitsplätze, Außendienstgeräte, mobile Clients
• Systeme mit eingeschränkter Verfügbarkeit oder getrennter Netzwerkanbindung
• Ergänzung zu Netzwerk- und authentifizierten Scans für umfassende Abdeckung

Wichtig zu beachten:
Der Rollout und die Wartung der Agents erfordern technischen Aufwand. Außerdem erkennen Agent-basierte Scans keine netzwerkbasierten Schwachstellen (z. B. offen erreichbare Ports). Daher sollten sie immer Teil einer kombinierten Strategie sein.

Schwachstellen lassen sich grob in folgende Kategorien einteilen:

• Technische Schwachstellen (z. B. veraltete Software, Fehlkonfigurationen, ungeschützte Dienste)
• Prozessuale Schwachstellen (z. B. fehlende Updates, unklare Zuständigkeiten)
• Menschliche Schwachstellen (z. B. Phishing, Social Engineering)

Tenable Vulnerability Management ist eine Plattformlösung für automatisierte Schwachstellenerkennung und -bewertung. Sie basiert auf dem bekannten Tool Nessus und wird weltweit in Unternehmen eingesetzt.
Tenable erkennt Schwachstellen, bewertet Risiken (z. B. via CVSS) und liefert Handlungsempfehlungen.
Gerne unterstützen wir Sie auch bei der Integration und Konfiguration von Tenable-Instanzen.

Ein Schwachstellenscan ist eine automatisierte Analyse zur Identifikation potenzieller Schwachstellen in Systemen, Anwendungen und Netzwerken. Ziel ist es, bekannte Sicherheitslücken schnell und flächendeckend zu erkennen.

Ein Penetrationstest (Pentest) hingegen simuliert einen gezielten Angriff. Meist manuell durchgeführt, um reale Ausnutzungsszenarien zu prüfen.

Kurz gesagt:

• Schwachstellenscan = breit, automatisiert, regelmäßig
• Penetrationstest = gezielt, manuell, tiefgehend

Beide Maßnahmen ergänzen sich. In der Regel baut ein Pentest auf einem vorgelagerten Schwachstellenscan auf.