Eine Schwachstellenanalyse – Vulnerability Assessment – ist die systematische Identifikation, Klassifizierung und Priorisierung von Sicherheitsschwachstellen in IT-Systemen, Anwendungen und Netzwerken. Im Unterschied zum Penetrationstest werden bei der Schwachstellenanalyse Lücken identifiziert und bewertet, aber nicht aktiv ausgenutzt. Sie ist typischerweise automatisiert (Vulnerability-Scanner) und gibt einen vollständigen Überblick über bekannte Schwachstellen – wie ein Diagnose-Scan vor der Behandlung.
Schwachstellenanalysen sind das Fundament eines kontinuierlichen Sicherheitsmanagements: Während Penetrationstests punktuell (jährlich, vor Releases) durchgeführt werden, sollten Schwachstellenscans kontinuierlich oder zumindest wöchentlich laufen. Neue Schwachstellen (CVEs) werden täglich veröffentlicht – ohne regelmäßige Scans können Systeme unbemerkt über Monate verwundbar bleiben.
Schwachstellen-Schweregrade (CVSS)
Critical 9–10 Remote Code Execution, Authentication Bypass: Angreifer kann Systeme ohne Authentifizierung vollständig übernehmen. Sofortiger Patch – keine Ausnahmen.
High 7–8.9 Privilege Escalation, Datenlecks: Erheblicher Schaden möglich, aber komplexerer Angriffspfad. Patch innerhalb von 7–14 Tagen.
Medium 4–6.9 Informationslecks, schwächere Authentifizierung: Begrenzter direkter Schaden, aber möglicher Angriffsbaustein. Patch im nächsten regulären Maintenance-Zyklus.
Low 0.1–3.9 Konfigurationsschwächen, Best-Practice-Abweichungen: Minimales direktes Risiko. In Backlog priorisieren, nächster Release.
Info 0 Informational Findings: Keine direkte Sicherheitslücke, aber Verbesserungspotenzial oder Informationen für Angreifer. Dokumentieren, optional beheben.
Praxisbeispiel
Ein Automationsdienstleister führt wöchentliche automatisierte Schwachstellenscans (Trivy für Container, AWS Inspector für Infrastruktur) ein. Typisches Wochen-Ergebnis: 0 Critical (sofortige Blockierung des Deployments wenn Critical), 2 High (werden im 7-Tage-SLA gepatcht), 8 Medium (im nächsten 2-Wochen-Sprint adressiert), 14 Low (Backlog), 23 Info (dokumentiert). Prozess: Scan-Ergebnis wird automatisch als GitHub Issue erstellt, nach Schweregrad mit Labels und Assignees versehen. Critical blockiert die CI/CD-Pipeline – kein Deployment bis gepatcht. High und Medium haben definierte SLAs. Ergebnis nach 6 Monaten: Durchschnittliche Zeit bis zur Behebung von Critical/High von 18 auf 4 Tage reduziert. Keine ungelöste Critical-Schwachstelle älter als 48 Stunden.
