Das fehlende Handoff: Wie KIX und Greenbone Schwachstellenscans in konkrete Maßnahmen umsetzen

Zum ersten Mal nutzen Angreifer ungepatchte Sicherheitslücken häufiger aus, als dass sie Zugangsdaten stehlen. Laut dem „2026 Data Breach Investigations Report“ von Verizon macht die Ausnutzung von Sicherheitslücken mittlerweile 31 % aller Sicherheitsvorfälle aus und liegt damit vor dem Diebstahl von Zugangsdaten mit 13 %. Und die Entwicklung geht für die Verteidiger in die falsche Richtung: Die mittlere Zeit bis zur vollständigen Behebung einer Sicherheitslücke stieg von 32 Tagen im Vorjahr auf 43 Tage, während Unternehmen nur 26 % der Sicherheitslücken auf der CISA-Liste der bekannt ausgenutzten Sicherheitslücken behoben haben – ein Rückgang gegenüber 38 % im Jahr 2024 (wir haben hier aufgeschlüsselt, was diese Verschiebung antreibt).

Scanner sind hier nicht der Engpass. Das Aufspüren einer Sicherheitslücke und deren tatsächliche Behebung sind zu zwei getrennten Problemen geworden, wobei das zweite an hinterherhinkt.

Die Erkennung war nie der schwierige Teil

OPENVAS von Greenbone hat fast zwei Jahrzehnte damit verbracht, die erste Hälfte zu perfektionieren: ein Netzwerk zu scannen, Schwachstellen zu identifizieren und deren Gefährlichkeit zu bewerten. Elmar Geese, CEO von Greenbone, vergleicht dies gerne mit einem Schwarm von Robotern, die jede Tür und jedes Fenster eines Hauses überprüfen. Sie sind schnell und gründlich, und wenn sie ein defektes Schloss finden, schlagen sie Alarm.

Doch ein Alarm nützt nur etwas, wenn jemand darauf reagiert. In den meisten Unternehmen stockt der Prozess genau an dieser Stelle. Ein Scan-Ergebnis landet in einem Bericht, einem Posteingang oder einer Tabelle, die niemand öffnet – bis zum nächsten Audit. Jemand muss es lesen, herausfinden, was es konkret für die jeweiligen Systeme bedeutet, entscheiden, wer für die Behebung zuständig ist, und daraus eine nachverfolgbare Aufgabe mit einer Frist machen. Dieser Schritt erfordert Sicherheitsfachwissen, über das nicht jedes IT-Team verfügt, und genau hier geht etwas verloren: Der Schweregrad wird falsch eingeschätzt, Tickets werden doppelt angelegt oder gar nicht erst erstellt, und über die Zuständigkeit wird im Nachhinein gestritten, anstatt sie im Vorfeld festzulegen.

Dies ist der Teil des Schwachstellenmanagements, der in der Werbung für Scanner nicht erwähnt wird, aber genau hier liegt der größte Teil der tatsächlichen Verzögerung.

Was sich durch die Integration tatsächlich ändert

Rico Barth, CEO von KIX, bringt es auf den Punkt: Die Partnerschaft schließt die Lücke „zwischen der Erkennung und der Behebung von Schwachstellen“. In dieser Lücke war früher ein Vermittler erforderlich, um einen Sicherheitsbefund weiterzuleiten. Das ist nun nicht mehr der Fall.

KIX, die Open-Source-ITSM-Plattform, und Greenbone haben eine direkte Verbindung zwischen den beiden Hälften des Problems hergestellt. Wenn OPENVAS eine Schwachstelle meldet, erstellt es nicht nur einen Bericht und belässt es dabei. Es eröffnet automatisch ein Ticket in KIX: klassifiziert als Sicherheitsvorfall, verknüpft mit dem konkreten betroffenen Gerät oder der betroffenen Software und an das Team gesendet, das für diese Ressource zuständig ist. Der Workflow zur Behebung – mit Fristen, Erinnerungen und Eskalationen – beginnt in dem Moment, in dem die Schwachstelle bestätigt wird, und nicht erst, wenn jemand dazu kommt, die Scan-Ergebnisse zu lesen.

Das bedeutet auch, dass ein IT-Administrator, der ein Ticket eröffnet, nicht bei Null anfängt. Die Ressource, das betroffene System, wer benachrichtigt werden muss und wie sich dies in alle anderen derzeit offenen Fälle einfügt – all diese Informationen liegen bereits vor. Niemand muss drei verschiedene Tools miteinander abgleichen, um herauszufinden, was tatsächlich vor sich geht.

Der Bonus, um den niemand gebeten hat: Dinge finden, von denen man gar nicht wusste, dass man sie hat

Es gibt einen Nebeneffekt, der sich als fast ebenso wichtig erweist wie das Ticketing selbst. OPENVAS scannt mehr als nur die Systeme, die der IT-Abteilung bereits bekannt sind. Es findet den Laptop, den eine Abteilung ohne Rücksprache mit der IT gekauft hat, oder den Server, den jemand vor zwei Jahren in Betrieb genommen und dann vergessen hat. Dieses Inventar fließt nun direkt in die Asset-Datenbank von KIX ein.

Shadow-IT wird üblicherweise als ein Problem der Richtlinien dargestellt. In der Praxis handelt es sich jedoch um ein Transparenzproblem, das sich mit dem Wachstum der Netzwerke verschärft. Greenbone-Kunden sind regelmäßig überrascht davon, was zutage tritt, wenn ihre Umgebung zum ersten Mal ordnungsgemäß gescannt wird. Die Einbindung dieser Erkenntnisse in dasselbe System, das bereits Tickets und Zuständigkeiten verwaltet, bedeutet, dass ein unbekanntes Gerät sofort in den normalen IT-Prozess integriert wird, anstatt in einem eigenen toten Winkel zu verbleiben.

Warum dies angesichts der Frage, wer die Arbeit tatsächlich erledigt, umso wichtiger ist

IT- und Sicherheitsteams sind fast überall überlastet, und der manuelle Auswertungsschritt im Schwachstellenmanagement ging bisher immer davon aus, dass genügend Fachpersonal vorhanden ist, um diese Aufgabe gut zu bewältigen. Diese Annahme wird von Jahr zu Jahr unsicherer. Entfällt der Schritt, bei dem ein Mensch jeden Befund manuell sichten, klassifizieren und weiterleiten muss, müssen kleinere oder generalistisch aufgestellte IT-Teams nicht mehr auf externes Sicherheits-Know-how zurückgreifen, das sie intern nicht haben, nur um Schritt zu halten.

Es hilft auch bei etwas, das mehr Zeit in Anspruch nimmt, als es sollte: dem Nachweis, dass man die Arbeit tatsächlich erledigt hat. Dokumentation, Fristen und der Verlauf der Behebung landen automatisch in KIX, was Audits nach Rahmenwerken wie NIS-2, ISO 27001 oder BSI-Grundschutz erheblich erleichtert, da die Nachweiskette bereits vorhanden ist und nicht erst im Nachhinein rekonstruiert werden muss.

Probieren Sie es dort aus, wo es darauf ankommt

Wenn Ihr Team derzeit OPENVAS und KIX separat einsetzt oder eines der beiden Systeme evaluiert, lohnt sich ein genauerer Blick auf diese Integration – gerade weil sie einen Schritt einspart, anstatt einen hinzuzufügen. Nehmen Sie Kontakt mit uns auf, um zu erfahren, wie der Übergang vom Scan zur Behebung in Ihrer eigenen Umgebung funktioniert und was für die Einrichtung erforderlich wäre. Und falls Sie noch nicht mit OPENVAS scannen, OPENVAS BASIC ist ein guter Ausgangspunkt, bevor Sie die übrigen Komponenten anbinden.