Nicht alles zuerst
Einführung · 5 Abschnitte · ~15 Min Lesezeit · Stand
Betriebsfrage
Eine mittelgroße Umgebung erzeugt mehr Schwachstellenmeldungen, als ein Team je abarbeiten kann. Die Frage ist deshalb nie „alles patchen?“, sondern „in welcher Reihenfolge — und woran messen wir, dass wir richtig lagen?“
Mentales Modell
- Erfassen
- Bewerten
- Priorisieren
- Ausrollen
- Nachweisen
Was die Priorität bestimmt
| Ausnutzbarkeit in der Praxis | Wird die Lücke aktiv ausgenutzt? Das ist das stärkste einzelne Signal — stärker als jede Punktzahl. |
|---|---|
| Erreichbarkeit | Ist das betroffene System von außen erreichbar oder tief im Netz? Dieselbe Lücke hat unterschiedliche Bedeutung. |
| Wirkung auf den Geschäftsbetrieb | Was hängt an dem System, wenn es kompromittiert wird oder für die Wartung stillsteht? |
| Grundbewertung | Die veröffentlichte Schwere ist ein Ausgangspunkt, kein Ergebnis — sie kennt die eigene Umgebung nicht. |
Ausnahmen
Manche Systeme lassen sich nicht patchen — Anlagensteuerung, Zertifizierung, Herstellerfreigabe. Eine Ausnahme ist legitim, aber nur mit drei Angaben: begründete Ersatzmaßnahme, benannter Verantwortlicher und Verfallsdatum. Ohne Verfallsdatum ist die Ausnahme eine stille Dauerentscheidung.