Glossar · Informationssicherheit
Schwachstelle
Eine Schwäche in einem Asset oder einer Maßnahme, die eine Bedrohung ausnutzen kann, um Schaden zu verursachen.
Was eine Schwachstelle ist
Eine Schwachstelle ist eine Schwäche, die ein Asset für eine Bedrohung anfällig macht. Das kann ein fehlender Patch, eine schwache Konfiguration, eine ungeschulte Person oder eine Lücke in einem Prozess sein. Risiko entsteht aus der Kombination von Bedrohung und Schwachstelle: Eine Bedrohung ohne Angriffsfläche richtet keinen Schaden an, und eine Schwäche, die niemand ausnutzt, bleibt Theorie.
Technische und organisatorische Schwachstellen
Technische Schwachstellen in Software werden als CVE-Einträge veröffentlicht und mit dem Common Vulnerability Scoring System (CVSS) von 0 bis 10 bewertet. Organisatorische Schwächen haben keinen Katalog: Ein unklarer Freigabeweg, geteilte Administratorkonten oder ein Dienstleistervertrag ohne Sicherheitsklauseln fallen in Audits, Risikoanalysen und Vorfällen auf, nicht im Scanner.
Schwachstellenmanagement
- Erkennen: Systeme regelmäßig scannen, Hersteller- und CERT-Meldungen abonnieren, Befunde aus Penetrationstests und Audits übernehmen.
- Bewerten: Jeden Befund nach Ausnutzbarkeit, Exposition und Schutzbedarf des betroffenen Assets einstufen, nicht allein nach CVSS-Wert.
- Behandeln: Patchen, umkonfigurieren, isolieren oder mit dokumentierter Begründung und Frist akzeptieren.
- Prüfen: Erneut scannen und den Abschluss festhalten, damit der Befund als erledigt nachweisbar ist.
ISO/IEC 27001:2022 verlangt in Annex A 8.8 das Management technischer Schwachstellen, der IT-Grundschutz behandelt es im Baustein OPS.1.1.3 Patch- und Änderungsmanagement, und NIS2 zählt den Umgang mit Schwachstellen zu den Pflichtmaßnahmen.