Schwachstellen- & Zero-Day-Management

Schwachstellenmanagement ist ein kontinuierlicher Prozess, kein einmaliges Projekt. Er beginnt mit einem vollständigen Asset-Inventar, denn nur bekannte Systeme lassen sich prüfen – einschließlich Cloud-Ressourcen, Containern und aus dem Internet erreichbarer Dienste. Darauf folgen regelmäßige, möglichst authentifizierte Scans von innen und außen, die risikobasierte Priorisierung der Funde, die Remediation durch Patch, Konfigurationsänderung oder kompensierende Kontrollen sowie die Verifikation per Re-Scan. Erst dieser geschlossene Kreislauf mit dokumentierten Durchlaufzeiten macht den Prozess steuer- und auditierbar.

Das Common Vulnerability Scoring System von FIRST liegt seit November 2023 in Version 4.0 vor und umfasst vier Metrikgruppen: Base, Threat, Environmental und Supplemental. Die Threat-Metrik „Exploit Maturity“ bildet ab, ob Exploit-Code verfügbar ist oder bereits aktiv ausgenutzt wird; die Nomenklatur CVSS-B/-BT/-BE/-BTE macht transparent, welche Gruppen in einen Score eingeflossen sind. FIRST stellt dabei selbst klar, dass CVSS den technischen Schweregrad misst und nicht als alleiniges Risikomaß dienen soll. Wer ausschließlich nach Base-Score patcht, behandelt viele Schwachstellen mit hoher Dringlichkeit, die nie ausgenutzt werden – und übersieht aktiv angegriffene mit mittlerem Score.

Das Exploit Prediction Scoring System (EPSS) von FIRST ist ein Machine-Learning-Modell, das für jede veröffentlichte CVE täglich die Wahrscheinlichkeit schätzt, innerhalb der nächsten 30 Tage aktiv ausgenutzt zu werden; die Scores sind frei per CSV und API verfügbar. Der Known-Exploited-Vulnerabilities-Katalog (KEV) der US-Cybersicherheitsbehörde CISA listet dagegen Schwachstellen, deren Ausnutzung bereits nachgewiesen ist. In der Praxis ergänzen sich drei Signale: CVSS beantwortet, wie schwer eine Ausnutzung wiegt, EPSS, wie wahrscheinlich sie ist, und KEV, ob sie bereits stattfindet. KEV-gelistete Funde auf erreichbaren Systemen gehören unabhängig vom Base-Score an die Spitze der Warteschlange.

Belastbare SLAs definieren je Kritikalität und Exposition verbindliche Behebungsfristen samt Ausnahmeprozess mit dokumentierter Risikoübernahme. Als Referenzmodell eignet sich die CISA-Direktive BOD 26-04 (10.06.2026, ersetzt BOD 22-01): Sie leitet Fristen aus vier Kriterien ab – Erreichbarkeit aus dem Internet, KEV-Status, Automatisierbarkeit des Angriffs und technischer Impact – und staffelt von 3 Tagen (inklusive forensischer Prüfung bei KEV-Eintrag plus vollständiger Systemkontrolle) über 14 und 60 Tage bis zur Behebung mit dem nächsten regulären Upgrade. Verbindlich ist die Direktive nur für US-Bundesbehörden, als risikobasiertes Fristenmodell bietet sie aber auch Unternehmen eine nachvollziehbare Orientierung.

Als Zero-Day gilt eine Schwachstelle, die ausgenutzt wird oder öffentlich bekannt ist, bevor der Hersteller einen Patch bereitstellt – der Verteidigung bleiben „null Tage“ Vorlauf. Da klassisches Patchen ausfällt, greifen kompensierende Maßnahmen: Virtuelles Patchen blockiert Ausnutzungsversuche über WAF- oder IPS-Regeln vor der Anwendung, ohne den Code zu ändern; OWASP ordnet das Vorgehen im Virtual Patching Cheat Sheet ausdrücklich als Übergangslösung ein, die den eigentlichen Fix nicht ersetzt. Hinzu kommen Workarounds aus Hersteller-Advisories, Netzsegmentierung und die temporäre Deaktivierung exponierter Funktionen. Voraussetzung ist ein systematisches Advisory-Monitoring – etwa der Hersteller-Bulletins, des Warn- und Informationsdienstes von CERT-Bund/BSI und des KEV-Katalogs.

ISO/IEC 27001:2022 verankert das Thema im Annex-A-Control 8.8 („Management of technical vulnerabilities“): Informationen über technische Schwachstellen sind einzuholen, die eigene Exposition ist zu bewerten und angemessene Maßnahmen sind zu ergreifen. Auch NIS2 (Richtlinie (EU) 2022/2555) fordert in Art. 21(2)(e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen einschließlich Management und Offenlegung von Schwachstellen. Gesteuert wird der Prozess über Kennzahlen wie die mittlere Behebungszeit (MTTR) je Kritikalitätsklasse, die SLA-Einhaltungsquote, die Scan-Abdeckung des Inventars, das Alter offener – insbesondere KEV-gelisteter – Schwachstellen und die Wiederauftretensquote nach Verifikation. Diese Werte gehören in das regelmäßige Management-Reporting des ISMS.