CVE-Frühwarnung für Systemhäuser – aktiv ausgenutzte Lücken gegen den Kundenbestand prüfen

Früher lief das so: Irgendwo stand eine Meldung zu einer kritischen Lücke. Einer aus dem Team hat sie gelesen, ein anderer nicht. Dann haben wir gesucht, welche Kunden betroffen sein könnten. Das hat gedauert, und ehrlich gesagt hing es davon ab, wer gerade Zeit hatte.

Einleitung: Zu viele Meldungen, zu wenig Zeit

Jede Woche werden hunderte neue Schwachstellen veröffentlicht. Würden wir jede einzelne gegen jeden Kunden prüfen, käme die Technik zu nichts anderem mehr. Also prüft man nach Gefühl. Und Gefühl ist bei Sicherheit ein schlechter Ratgeber.

Was ist eine CVE-Frühwarnung – und warum ist sie wichtig?

Eine CVE ist eine öffentlich bekannte Sicherheitslücke mit eindeutiger Nummer. Entscheidend ist aber nicht, dass eine Lücke existiert, sondern ob sie gerade aktiv ausgenutzt wird. Genau dafür führt die US-Behörde CISA den KEV-Katalog („Known Exploited Vulnerabilities“). Wenn eine Lücke dort auftaucht, brennt es wirklich.

Eine Frühwarnung heißt für uns: Jeden Werktag prüfen, ob eine neue Lücke aus diesem Katalog bei einem unserer Kunden vorkommt – bevor es in den Nachrichten steht und bevor der Kunde anruft. Mit Blick auf NIS2 ist das außerdem ein dokumentierter, wiederholbarer Prozess statt eines Bauchgefühls.

So machen wir es: KEV-Katalog gegen Kundenbestand

Der Ablauf, jeden Werktag um 7:20 Uhr:

1. KEV-Katalog laden und nur die neuen Einträge im Zeitfenster auswählen. Gibt es keine, ist der Flow nach Sekunden fertig.
2. Bestand laden: Softwareinventar, Geräteliste und Organisationen aus NinjaOne, dazu Netzwerkgeräte aus TANSS.
3. Kandidaten bilden: Welche Geräte haben Software oder Hardware, die zur Lücke passen könnte?
4. KI ordnet ein: Ist das Gerät wirklich betroffen, sicher nicht betroffen oder unklar? Hersteller- und Versionsangaben sind oft unsauber – genau da hilft die KI.
5. Nur betroffene oder unklare behalten und als Meldung per Teams schicken.

Die Technik bekommt also keine Liste mit 200 Einträgen, sondern eine Nachricht mit den drei Geräten, um die es heute geht. Den Rest der Liste schaut sich trotzdem jemand an – aber eben nicht als Erstes.

Drei Praxistipps für Ihr Schwachstellenmanagement

1. Starten Sie mit „aktiv ausgenutzt“. Der KEV-Katalog ist kurz und relevant. Wer mit allen CVEs startet, ertrinkt.
2. Halten Sie Ihr Inventar sauber. Die beste Frühwarnung nützt nichts, wenn die Software auf den Geräten nicht erfasst ist.
3. Melden Sie nur, was zählt. Eine Warnung, die jeden Tag kommt, wird nicht mehr gelesen. Lieber still bleiben, wenn nichts los ist.

Was passiert, wenn Sie nichts tun?

• Wirtschaftlich: Ein erfolgreicher Angriff kostet ein Vielfaches dessen, was Prävention kostet – beim Kunden und bei Ihnen.
• Rechtlich: Mit NIS2 steigen die Anforderungen an nachweisbares Schwachstellenmanagement, auch für Dienstleister.
• Image: Wenn der Kunde Sie auf eine Lücke anspricht, bevor Sie ihn angesprochen haben, ist das kein guter Moment.

Häufige Fragen

Warum nur der KEV-Katalog?

Weil er die Lücken enthält, die nachweislich ausgenutzt werden. Das ist die Liste mit dem höchsten Risiko und dem kleinsten Umfang. Mehr kann man später ergänzen.

Was brauche ich dafür?

Ein Softwareinventar Ihrer Kundengeräte, bei uns kommt es aus NinjaOne. Ohne Inventar keine Frühwarnung, das ist die eigentliche Voraussetzung.

Hilft das bei NIS2?

Es ersetzt kein Sicherheitskonzept. Aber es ist ein dokumentierter, regelmäßiger Prozess, und genau den verlangen die neuen Regeln.

Fazit

Sicherheit hängt bei uns nicht mehr davon ab, wer morgens die Nachrichten liest. Der Flow schaut jeden Werktag hin, meldet nur, was zählt, und die Technik kann direkt handeln.

Wie sieht das bei Ihnen aus? Im Taktcheck finden wir in 15 Minuten heraus, wo Ihr Inventar steht und was sich automatisieren lässt.