Schwachstellenbewertungsdienste
Kontinuierliches Scanning, echte Priorisierung und umsetzbare Behebung.
Keine jährliche Checkbox — ein dauerhafter Blick auf Ihre Angriffsfläche.
Die Herausforderung
Die meisten Organisationen betrachten Schwachstellenbewertungen als jährliches oder halbjährliches Ereignis — eine Compliance-getriebene Übung, die einen dicken Bericht produziert, abgelegt und größtenteils vergessen wird, bis der nächste Bewertungszyklus ansteht. In der Zwischenzeit ändert sich Ihre Angriffsfläche kontinuierlich.
Die Zahlen verdeutlichen das Problem:
- Über 30.000 neue CVEs wurden allein im Jahr 2024 veröffentlicht — durchschnittlich 82 pro Tag. Das Volumen steigt von Jahr zu Jahr weiter an. Keine jährliche Bewertung kann mit dieser Rate der Schwachstellenoffenlegung Schritt halten.
- Ihre Angriffsfläche ändert sich täglich. Jedes Mal, wenn jemand einen neuen Dienst bereitstellt, einen Port öffnet, Software installiert, eine Cloud-Instanz hochfährt oder ein Gerät mit dem Netzwerk verbindet, ändert sich die Angriffsfläche. Die Bewertung, die Sie vor drei Monaten durchgeführt haben, spiegelt nicht die heute existierende Umgebung wider.
- CVSS-Bewertungen führen in die Irre. Eine mit CVSS 9.8 bewertete Schwachstelle auf einem isolierten Testserver hinter drei Kontrollschichten ist weniger dringend als eine CVSS 6.5 auf Ihrem internetexponierten VPN-Konzentrator. Reine CVSS-Bewertungen berücksichtigen nicht Ihre spezifische Umgebung, kompensierende Kontrollen oder die tatsächliche Ausnutzbarkeit.
- Behebung ohne Nachverfolgung ist Behebung ohne Verantwortlichkeit. Viele Organisationen erhalten Schwachstellenberichte, patchen was sie können in der unmittelbaren Folgezeit und gehen dann weiter. Es gibt keine Nachverfolgung des Behebungsfortschritts, keine Messung der Sicherheitsverbesserung im Zeitverlauf und keine Verantwortlichkeit für chronisch ungepatchte Systeme.
Das Ergebnis ist ein wiederkehrender Zyklus: bewerten, in Panik geraten, die kritischen Punkte patchen, den Schwung verlieren, zum Ausgangspunkt zurückdriften und wiederholen. Jahr für Jahr tauchen dieselben Kategorien von Schwachstellen auf, weil die systemischen Ursachen — mangelhafte Patching-Prozesse, Lücken im Konfigurationsmanagement, Schatten-IT — nie angegangen werden.
Der Layer7-Ansatz
Layer7 liefert kontinuierliche Schwachstellenbewertung — keine periodischen Momentaufnahmen. Wir pflegen eine permanente Übersicht über Ihre Angriffsfläche, scannen regelmäßig, priorisieren Ergebnisse nach tatsächlichem Risiko für Ihre Umgebung und verfolgen die Behebung bis zum Abschluss.
Externe Angriffsflächen-Bewertung
Wir scannen Ihre extern ausgerichtete Infrastruktur — öffentliche IP-Bereiche, Webanwendungen, DNS-Einträge, E-Mail-Infrastruktur, VPN-Endpunkte, Cloud-Dienste — auf kontinuierlicher Basis. Dies umfasst:
- Port- und Diensterkennung über Ihren gesamten externen Fußabdruck
- Schwachstellen-Scanning von Webanwendungen (OWASP Top 10, CWE/SANS Top 25)
- SSL/TLS-Konfigurationsanalyse (Zertifikatsgültigkeit, Cipher-Suites, Protokollversionen)
- DNS-Sicherheitsbewertung (SPF, DKIM, DMARC, DNSSEC)
- Cloud-Fehlkonfigurationserkennung (öffentlich exponierter Speicher, offene Sicherheitsgruppen)
- Subdomain-Enumeration und Schatten-IT-Erkennung
Interne Schwachstellenbewertung
Internes Scanning umfasst Ihre Netzwerkinfrastruktur, Server, Arbeitsstationen und Netzwerkgeräte:
- Patch-Status von Betriebssystemen und Anwendungen über Windows, Linux und macOS
- Firmware- und Konfigurationsbewertung von Netzwerkgeräten (Router, Switches, Firewalls, Wireless-Controller)
- Datenbank-Sicherheitsbewertung (SQL Server, Oracle, PostgreSQL, MySQL)
- Active Directory-Sicherheitsbewertung (Privilegien-Eskalationspfade, Kerberos-Konfiguration, GPO-Schwächen)
- Bewertung von Virtualisierungsplattformen (VMware vSphere, Hyper-V)
Risikobasierte Priorisierung
Wir übergeben Ihnen keine Liste von 10.000 Ergebnissen, sortiert nach CVSS-Bewertung. Die Priorisierung von Layer7 berücksichtigt:
- Ausnutzbarkeit — Gibt es einen öffentlichen Exploit? Wird er aktiv in freier Wildbahn ausgenutzt? Ist er im Katalog der bekannten ausgenutzten Schwachstellen der CISA?
- Exposition — Ist das verwundbare System internetexponiert, intern erreichbar oder isoliert?
- Geschäftliche Auswirkung — Was macht dieses System? Welche Daten enthält es? Was sind die Konsequenzen einer Kompromittierung?
- Kompensierende Kontrollen — Gibt es andere Kontrollen (Netzwerksegmentierung, EDR, WAF), die das praktische Risiko reduzieren?
Das Ergebnis ist eine priorisierte Behebungsliste, die Ihnen sagt, was zuerst behoben werden muss, warum und wie — nicht eine Wand von CVEs, die Ihr Team lähmt.
Behebungsverfolgung und Postur-Bewertung
Jeder Fund wird von der Entdeckung bis zur Behebung nachverfolgt. Wir messen:
- Durchschnittliche Behebungszeit nach Schweregrad
- Behebungsrate (Prozentsatz der innerhalb des SLA geschlossenen Ergebnisse)
- Gesamte Postur-Bewertung — eine einzelne Metrik, die Ihre Sicherheitslage im Zeitverlauf verfolgt
- Trendanalyse — verbessern Sie sich, verschlechtern Sie sich oder bleiben Sie statisch?
Diese Daten fließen in die Führungsberichterstattung und Compliance-Nachweise ein. Sie bieten auch den Verantwortlichkeitsmechanismus, der nachhaltige Verbesserung statt episodischer Panik vorantreibt.
Was Sie erhalten
- Kontinuierliches externes und internes Scanning
- Risikobasierte Priorisierung (nicht nur CVSS)
- Umsetzbare Behebungsanleitung für jedes Ergebnis
- Führungs- und technische Berichte
- Postur-Bewertung und Trendverfolgung
- Behebungsverfolgung und SLA-Messung
- Integration in Ihren Change-Management-Prozess
- Vierteljährliche Review-Sitzungen mit Ihrem Team
- Compliance-Nachweise für POPIA, ISO 27001, PCI DSS
- Schatten-IT- und unbekannte Asset-Erkennung
Schwachstellenbewertung vs. Penetrationstest
Dies sind komplementäre aber unterschiedliche Aktivitäten:
- Schwachstellenbewertung ist breit und kontinuierlich — sie identifiziert bekannte Schwachstellen in Ihrer gesamten Umgebung mittels automatisiertem Scanning, ergänzt durch manuelle Validierung. Denken Sie daran als einen Gesundheitscheck, der regelmäßig läuft.
- Penetrationstest ist tiefgreifend und periodisch — ein erfahrener Tester versucht, Schwachstellen auszunutzen, um reale Auswirkungen zu demonstrieren, Angriffsketten zu bilden und Schwächen zu identifizieren, die automatisiertes Scanning nicht finden kann. Denken Sie daran als einen Belastungstest.
Sie brauchen beides. Schwachstellenbewertung liefert die kontinuierliche Baseline. Penetrationstests validieren, dass Ihre Verteidigungen gegen einen entschlossenen Angreifer funktionieren. Layer7 liefert beides — sprechen Sie mit uns über ein kombiniertes Programm.
Häufig Gestellte Fragen
Kennen Sie Ihre Angriffsfläche
Beginnen Sie mit einer Basisbewertung. Sehen Sie, wo Sie stehen, bevor Sie entscheiden, wo Sie investieren.
Eine Basisbewertung Anfordern