In den meisten KMU weiß niemand, wie viele bekannte Lücken heute auf dem Firmenserver, dem Router und den Laptops der Vertriebler offen sind. Nicht weil es keine gibt. Weil niemand nachgezählt hat.
Schwachstellenmanagement klingt wie eine Überschrift aus einer Konzernpräsentation. In der Praxis ist es sehr einfach: Sie prüfen regelmäßig, was Sie haben, fragen eine öffentliche Datenbank, welche davon bekannte Lücken aufweisen, und patchen sie in der Reihenfolge, in der sie am meisten weh tun. Drei Schritte. In einem 25-Personen-Betrieb etwa zwei Stunden pro Woche. In einem guten Monat weniger.
Bei einem unserer Kunden — einem 25-köpfigen Metallverarbeiter in Niederschlesien — zeigte der erste Scan 847 Schwachstellen, 23 davon als kritisch markiert. Ein Dateiserver mit Windows Server 2016 ohne sechs Monate Patches, ein Netzwerkdrucker mit Firmware aus 2019, der ins Internet exponiert war, weil „jemand mal von zu Hause drucken musste", ein MikroTik-Router mit einem drei Jahre alten CVE, 11 Workstations mit veraltetem Firefox. Nichts davon wirkte verdächtig — es hatte nur niemand nachgefragt. Nach sechs Monaten systematischer Arbeit waren es noch 180 Schwachstellen insgesamt, null kritische und rund zwei Stunden Arbeit pro Woche.
In diesen sechs Monaten ist nichts passiert. Genau das ist der Punkt — die Art Arbeit, die man nie sieht, ist die Art Arbeit, die verhindert, dass Sie in der Fallstudie eines Incident-Response-Dienstleisters landen.
Schritt 1 — Zählen, was Sie haben
Man kann nichts patchen, von dem man nicht weiß, dass es existiert. Deshalb ist der erste Schritt — bevor Sie einen Scanner starten — eine Liste von allem, was in Ihrem Betrieb eine IP-Adresse hat. Computer, Server, Drucker, Kameras, Türcontroller, der Fernseher im Besprechungsraum, USV-Geräte mit Netzwerkanschluss, die Kasse mit WLAN.
Sie brauchen dafür kein CMDB. Eine Tabelle in Excel oder in Notion genügt. Für jedes Gerät notieren Sie: Name, IP, Betriebssystem/Firmware, wer der „Eigentümer" ist (also: wen anrufen, wenn Sie es ausschalten), wann es zuletzt aktualisiert wurde. Es ist dieselbe Liste, die für die IT-Inventur und für die Budgetplanung dient — also machen Sie sie nicht doppelt, wenn Sie sie einmal ordentlich machen.
Für die Workstations allein reicht ein Report aus Microsoft 365 Business Premium oder aus Intune — falls vorhanden. Für Server und Netzwerkgeräte: eine Stunde mit dem Laptop durch Büro und Lager. Beim erwähnten Metallverarbeiter fanden sie dabei nebenbei vier Geräte, an die sich niemand mehr erinnerte: eine alte Kamera eines ehemaligen Lagerleiters, einen Empfangsdrucker, der nach einem Umbau vergessen worden war, und zwei alte Laptops in einer Schublade, deren WLAN immer noch versuchte, sich ins Firmennetz einzuloggen.
Schritt 2 — Fragen, was tatsächlich kaputt ist
Mit der Geräteliste lassen Sie einen Schwachstellen-Scanner darauf los. Sie brauchen keine Qualys-Lizenz für 12.000 € im Jahr. Für ein 10- bis 50-Personen-Unternehmen genügt eines der kostenlosen oder günstigen Werkzeuge:
- Nessus Essentials — kostenlos für bis zu 16 IPs. Für ein einzelnes Büro völlig ausreichend.
- OpenVAS / Greenbone Community — Open Source, etwas mehr Setup, keine IP-Grenze.
- Qualys Community Edition — eine eingeschränkte kostenlose Version der Plattform.
Der erste Scan läuft aus dem internen Netz — denn die meisten Schwachstellen sitzen ohnehin auf Geräten, die von außen nicht sichtbar sind. In einem zweiten Durchlauf scannen Sie alles, was Ihr Betrieb ins Internet exponiert (Website, VPN, OWA, Router-Admin) — meist eine Handvoll IPs.
Der erste Bericht ist beängstigend. Hunderte Einträge, grün, gelb und rot markiert, jeder mit einem CVE-Link. Das ist normal. Das meiste ist die Geschichte der Vernachlässigung, kein Beweis, dass gleich jemand bei Ihnen einbricht. Nicht in Panik verfallen. Nächster Schritt.
Schritt 3 — Priorisierung, also was zuerst patchen
Ihr erster Scan liefert 300 bis 1.500 Einträge. Sie können sie nicht in einer Woche patchen, und der Versuch würde mehr schaden als nützen (Sie wären überrascht, was passiert, wenn jemand panisch 40 Patches an einem Abend auf einen Produktivserver einspielt). Priorisierung ist das ganze Spiel.
Drei Filter, in dieser Reihenfolge:
- Nutzt jemand diesen Exploit tatsächlich? Prüfen Sie, ob das CVE auf der CISA-KEV-Liste (Known Exploited Vulnerabilities) steht. Wenn ja — diese Woche patchen. Der Rest kann warten. KEV enthält heute rund 1.200 Einträge; Ihr erster Scan trifft davon üblicherweise 5 bis 15. Das ist Ihre Arbeit in der ersten Woche.
- Ist dieses Gerät überhaupt exponiert? Ein CVSS 9.8 auf einem Drucker hinter NAT ist weniger dringlich als ein CVSS 7.5 auf einem Router mit öffentlicher IP. Berücksichtigen Sie die Exposition, nicht nur den CVSS-Score.
- Existiert ein Patch und bricht er etwas? Erfordert der Patch einen Neustart des Produktiv-ERP, planen Sie ein Fenster. Ist es nur eine Drucker-Firmware — machen Sie es in der Mittagspause.
Beim Metallverarbeiter lautete das Ergebnis: Aus 847 Einträgen wurde eine realistische Liste — 12 Dinge in der ersten Woche, 40 im ersten Monat, der Rest über das Quartal verteilt. Der „Rest" waren vor allem Punkte wie „Python-Bibliothek-Version aus 2021, ungenutzt", die beim nächsten OS-Upgrade mit abgehakt werden konnten.
Die Routine, die alles zusammenhält
Der erste Scan ist der leichte Teil. Schwieriger ist, nach einem halben Jahr nicht wieder auf Null zu stehen. Sie brauchen vier Dinge, jedes einfach:
- Einen Scan einmal im Monat, am selben Montag. Nicht „wenn wir Zeit haben". Im Kalender eingetragen, Erinnerung gesetzt, 15 Minuten zum Starten.
- Eine Durchsicht der neuen Einträge in derselben Woche. 1-2 Stunden mit der Person, die patcht. Was wird jetzt gemacht, was kann warten.
- Einen Alert, wenn etwas auf KEV landet, das zu Ihrer Hardware passt. Die meisten Scanner können das. Falls nicht — eine CISA-KEV-RSS-Subscription und eine halbe Stunde im Kalender pro Woche.
- Ein einfaches Protokoll: was, wann, wer gepatcht hat. Eine Spalte in derselben Tabelle wie das Inventar. Sie werden es brauchen, wenn der Cyber-Versicherer fragt „Wie verwalten Sie Schwachstellen?" oder wenn nach einem Vorfall jemand versucht, es Ihnen anzulasten.
Das ist alles. Kein SIEM, kein SOC, kein CISO. Eine Tabelle, ein Scanner und zwei Stunden pro Woche.
Was man nicht tun sollte
Ein paar Fallen, in die wir Firmen tappen gesehen haben — meist direkt nach dem Lesen eines Artikels wie dieses:
- Kaufen Sie kein Werkzeug, bevor Sie den ersten Scan mit einem kostenlosen gemacht haben. Qualys/Rapid7 für 8.000 € im Jahr ergibt erst Sinn, wenn Sie wissen, was Essentials/OpenVAS nicht kann. Bei 90 % der 10- bis 50-Personen-Unternehmen können sie nichts, was Sie stören würde.
- Patchen Sie nicht alles auf einmal. 40 Patches an einem Samstag sind ein Rezept für ein Wochenende mit einem Ausfall, den man nicht schnell rückgängig machen kann. Verteilen Sie es. Fangen Sie mit dem an, was tatsächlich ausgenutzt wird.
- Machen Sie daraus kein Projekt ohne Verantwortlichen. „Das muss gemacht werden" ohne eine konkrete Person, in deren Jahreszielen es steht, heißt, es wird nicht gemacht. Es braucht jemanden, der für die „Anzahl kritischer Schwachstellen heute" verantwortlich ist und jederzeit gefragt werden kann.
- Tun Sie nicht so, als rette Sie der Pentester. Ein jährlicher Pentest ist eine Momentaufnahme, kein Prozess. Haben Sie zwischen den Tests keine Patch-Routine, zeigt der nächste Test dieselbe Geschichte wie der letzte.
Wenn Sie den ersten Scan in Ihrer Firma machen wollen, aber nicht sicher sind, bei welchem Gerät Sie anfangen sollen — eine halbe Stunde Gespräch reicht aus, um einen konkreten Plan für den ersten Monat aufzusetzen. Unabhängig davon, ob daraus eine Zusammenarbeit wird.
Die meisten Angriffe nutzen keine unbekannten 0-Days. Sie nutzen Lücken, die seit Monaten öffentlich bekannt sind — und die niemand gepatcht hat, weil niemand wusste, dass sie da waren.