Cybersecurity · Vulnerability Management
Schwachstellen nicht sammeln, schließen.
Wir prüfen Ihr Netz in einem festen Takt, bewerten jeden Fund für Ihre Umgebung und verfolgen ihn bis zur Behebung: mit Frist, einer zuständigen Person und einer Nachprüfung im nächsten Prüflauf. Auf Wunsch beheben wir auch selbst. Einen manuellen Pentest ersetzt das nicht. Es sorgt dafür, dass Sie zwischen zwei Tests den Überblick behalten.
kostenlos · 30 Minuten · telefonisch oder online
Herausforderung
Listen werden länger, nicht kürzer.
Viele Unternehmen haben eine Liste. Wenige haben einen Ablauf, der sie kürzer macht.
Ungefilterte Funde
Viele Einträge mit dem Rohwert aus dem Scanner, aber ohne Aussage, was für Sie zuerst zählt.
Keine Zuständigkeit
Jeder Punkt gehört irgendwie allen, und damit niemandem.
Keine Frist
Was nicht terminiert ist, bleibt liegen, bis der nächste Bericht kommt.
Kein Verlauf
Ob es besser wird, sieht niemand. Auch nicht der Auditor.
Anlässe
Wann sich ein fester Ablauf lohnt.
- Ein Pentest-Bericht liegt vor, und die Maßnahmen sollen nachweisbar abgearbeitet werden.
- Ein Audit hat Feststellungen ergeben, etwa zu ISO 27001 oder TISAX, oder Anforderungen aus NIS2 stehen an.
- Das Netz ist über Jahre gewachsen, und es gibt Systeme, die auf keiner Liste mehr stehen.
- Ein Kunde fragt in seinem Lieferanten-Fragebogen nach regelmäßiger Prüfung.
- Zwischen zwei Pentests soll niemand im Unklaren sein, ob neue Lücken dazugekommen sind.
Umfang
Was im Netz wirklich läuft.
Vulnerability Management arbeitet mit zwei Werkzeugen, die sich für einen festen Takt eignen: dem Netzwerk-Scan und automatisierten Pentests mit unserem eigenen Prüfwerkzeug. Welche Ziele dazugehören, legen Sie fest.
Netzwerk-Scan
Was im Netz wirklich läuft
- Systeme und Dienste finden – auch die, die auf keiner Liste mehr stehen
- Offene Ports, erreichbare Dienste, unerwartete Freigaben
- Veraltete Versionen und bekannte Schwachstellen
- Fehlkonfigurationen und schwache Verschlüsselung
- Ablaufende Zertifikate, bevor sie ablaufen
- Abweichung gegen das eigene Werteinventar
Automatisierte Pentests
Wiederholbar, zwischen zwei Pentests
- Eigenes Prüfwerkzeug von NetzExperten, kein zugekaufter Scanner-Report
- Wiederholbare Prüfläufe statt einer Momentaufnahme im Jahresbericht
- Nachweis der Ausnutzbarkeit statt einer Liste theoretischer Lücken
- Bericht je Lauf und Verlauf über die Zeit – wurde es besser?
- Nur gegen freigegebene Ziele, jeder Lauf im Audit-Log
Vorgehen
Vom Fund zur Behebung.
Fünf Schritte, jeder mit klarer Zuständigkeit. Nichts läuft ungeplant, nichts läuft unprotokolliert. Kritische Funde melden wir sofort, nicht erst im nächsten Bericht.
- 1
Takt und Ziele festlegen
Sie geben die Ziele frei und bestimmen Takt und Wartungsfenster: täglich, wöchentlich, monatlich, quartalsweise oder vor dem nächsten Audit.
- 2
Finden
Der Prüflauf erfasst Systeme, Dienste, offene Ports, veraltete Versionen, Fehlkonfigurationen und Zertifikate.
- 3
Bewerten
Wir bewerten jeden Fund nach seiner Relevanz für Ihre Umgebung, nicht nur nach dem Rohwert aus dem Scanner. Eine mittlere Lücke an einem System, das aus dem Internet erreichbar ist, kann wichtiger sein als eine hohe an einem abgeschotteten Testrechner.
- 4
Zuweisen
Aus dem Fund wird ein Befund mit Frist und einer namentlich zuständigen Person. Wer die Maßnahme umsetzt, legen wir vorher gemeinsam fest: Ihre IT, Ihr IT-Dienstleister oder auf Wunsch wir selbst.
- 5
Nachprüfen
Der nächste Prüflauf zeigt, ob die Maßnahme wirkt. Erst dann gilt der Befund als geschlossen.
Wir stimmen uns mit Ihrer IT und, falls vorhanden, Ihrem IT-Dienstleister ab, etwa bei Wartungsfenstern und der Umsetzung von Maßnahmen.
Behebung
Wer behebt? Auf Wunsch wir.
Ein Befund ist erst erledigt, wenn er nachweislich behoben ist. Wer die Maßnahme umsetzt, legen wir vor dem ersten Prüflauf fest. Drei Möglichkeiten, auch gemischt.
Ihre IT
Setzt die Maßnahme um. Wir bewerten den Befund, nennen die Frist und prüfen im nächsten Prüflauf nach.
Ihr IT-Dienstleister
Wir stimmen uns direkt mit ihm ab, etwa zu Wartungsfenstern und zur Reihenfolge.
Wir
Auf Wunsch beheben wir selbst, zum Beispiel durch Updates oder geänderte Einstellungen. Im abgestimmten Wartungsfenster und nur nach Ihrer Freigabe.
Gleich, wer behebt: Der nächste Prüflauf zeigt, ob die Maßnahme wirkt. Erst dann gilt der Befund als geschlossen. Kritische Funde melden wir sofort, nicht erst im nächsten Bericht.
Beispiel
Was aus einem Fund wird.
Ein Fund ist erst erledigt, wenn er nachweislich behoben ist. So sieht der Weg aus, am Beispiel eines Zertifikats, das bald abläuft.
1Fund
Der Prüflauf findet etwas – zum Beispiel ein Zertifikat, das bald abläuft.
2Befund mit Frist
Aus dem Fund wird ein Befund mit Frist – kein PDF im Ordner.
3Risiko
Der Befund landet als Risiko im Register und wird bewertet.
4Aufgabe
Eine Aufgabe bei einer namentlich zuständigen Person.
5Nachprüfung
Der nächste Prüflauf bestätigt, ob die Maßnahme wirkt.
6Nachweis
Der Nachweis hängt an der Anforderung, die er belegt.
Beispiel, kein Kundenfall
In NXN Compliance OS hängt der Nachweis direkt an der Anforderung, die er belegt, etwa aus ISO 27001, BSI IT-Grundschutz oder TISAX.
Einordnung
Scan oder Pentest? Beides, aber getrennt.
Vulnerability Management arbeitet mit Netzwerk-Scan und automatisierten Pentests: schnell, wiederholbar, gut für einen festen Takt. Einen manuellen Pentest ersetzt das nicht. Logikfehler, Rechteausweitung und die Verkettung mehrerer kleiner Schwächen findet ein Mensch, der vorgeht wie ein Angreifer. Bei uns ist der manuelle Pentest durch aktive Sicherheitsforscher deshalb der Kern, der Takt dazwischen die Ergänzung. Wenn wir scannen, nennen wir es Scan.
Ergebnis
Was Sie am Ende haben.
- Prüfläufe im festgelegten Takt, nur gegen freigegebene Ziele
- Bewertete Befunde mit Frist und namentlicher Zuständigkeit
- Auf Wunsch die Behebung durch uns, im abgestimmten Wartungsfenster
- Einen Verlauf über die Zeit, an dem Sie sehen, ob es besser wird
- Mit NXN Compliance OS: Nachweise für Audits, direkt an der Anforderung
- Jeden Prüflauf im Audit-Log
Begriffe
Begriffe, kurz erklärt.
- CVE
- Öffentliche Kennung für eine bekannte Schwachstelle. Sie sagt, dass es eine Lücke gibt, nicht, ob sie bei Ihnen ausnutzbar ist.
- CVSS
- Allgemeiner Schweregrad einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt die Lücke, nicht Ihre Umgebung. Deshalb bewerten wir zusätzlich nach Relevanz.
- Werteinventar
- Die Liste Ihrer Systeme und Dienste. Der Prüflauf zeigt, was im Netz läuft, aber nicht auf der Liste steht.
- Prüflauf
- Ein geplanter, protokollierter Durchgang von Netzwerk-Scan oder automatisiertem Pentest gegen freigegebene Ziele.
- Nachprüfung (Retest)
- Erneute Prüfung nach der Behebung. Erst sie zeigt, ob eine Maßnahme wirkt.
FAQ
Häufige Fragen zum Schwachstellenmanagement.
Von der Liste zum Ablauf.
Im kostenlosen Erstgespräch klären wir, welche Ziele geprüft werden sollen, in welchem Takt und wer welche Maßnahmen umsetzt. Danach erhalten Sie auf Wunsch ein Angebot. Auf Ihre Anfrage meldet sich unser Team.
kostenlos · 30 Minuten · telefonisch oder online
Lieber anrufen: 02151-4547786
Aktive Sicherheitsforscher im Team · Mitglied der Allianz für Cyber-Sicherheit · Zertifizierungen im Team