Security & Compliance

Vulnerability Management (Schwachstellenmanagement)

Overview

Vulnerability Management ist ein kontinuierlicher Prozess und kein einmaliger Scan. Schwachstellen entstehen durch Softwarefehler (veröffentlicht als CVE), Fehlkonfigurationen und veraltete Komponenten. Ziel ist nicht, jede Lücke sofort zu schließen, sondern die gefährlichsten zuerst.

Abzugrenzen sind Patchmanagement, das nur die Behebung durch Updates abdeckt, und Penetrationstests, die einen einmaligen Blick von außen liefern. NIS2 nennt Schwachstellenmanagement und die Offenlegung von Schwachstellen ausdrücklich als Risikomanagementmaßnahme.

Im Microsoft-Umfeld heißt das Produkt Microsoft Defender Vulnerability Management (früher Threat and Vulnerability Management). Im Defender-Portal ist der Bereich inzwischen unter „Exposure Management“ eingeordnet. Die Funktion „Windows authenticated scan“ ist laut Microsoft seit 18. Dezember 2025 abgekündigt und nicht mehr verfügbar, einen direkten Ersatz gibt es nicht.

How it works

Der Prozess läuft als Kreislauf:

  1. Inventar: Geräte, Software und Versionen erfassen, inklusive nicht verwalteter Geräte.
  2. Erkennung: Agenten oder Netzwerkscanner gleichen das Inventar mit Schwachstellendatenbanken ab.
  3. Bewertung: Der CVSS-Wert beschreibt die technische Schwere, bekannte Ausnutzung (etwa die KEV-Liste der US-Behörde CISA), Erreichbarkeit aus dem Internet und Kritikalität des Systems verfeinern die Priorität.
  4. Behebung: Update, Konfigurationsänderung, Deinstallation oder Ausgleichsmaßnahme mit Frist je Schweregrad.
  5. Prüfung: Nach der Behebung erneut scannen und den Befund schließen.

Defender Vulnerability Management nutzt dafür die Sensoren von Defender for Endpoint. Die Premium-Funktionen ergänzen unter anderem Security Baselines, das Blockieren verwundbarer Anwendungen und Bewertungen von Browsererweiterungen und Zertifikaten.

Benefits

  • Knappe Admin-Zeit fließt in die Lücken mit dem höchsten Risiko statt in lange Befundlisten
  • Transparenz über Software und Geräte, auch über vergessene Altsysteme
  • Nachweisbare Wirksamkeit für Audits nach ISO 27001 und NIS2
  • Fehlkonfigurationen fallen auf, bevor Angreifer sie finden

Practical example

Ein Zulieferer mit 150 Arbeitsplätzen hat monatliche Patchzyklen für Windows, aber keinen Überblick über Drittsoftware. Er wertet die Schwachstellenübersicht in Defender aus und findet einen veralteten Remote-Desktop-Client mit kritischer, aktiv ausgenutzter Lücke auf mehreren Rechnern. Die IT legt Fristen fest: sieben Tage für Lücken mit bekannter Ausnutzung, 30 Tage für kritische, 90 Tage für den Rest. Der Fortschritt wird monatlich an die Geschäftsführung berichtet.

Things to keep in mind

  • Nicht verwaltete Geräte, Netzwerkkomponenten und Altsysteme gezielt in die Erfassung einbeziehen
  • Verantwortlichkeiten und Fristen je Schweregrad festlegen, sonst bleiben Befunde liegen
  • Wer bisher den Windows authenticated scan genutzt hat, braucht seit Dezember 2025 einen anderen Weg für nicht verwaltete Windows-Geräte
  • Das Blockieren verwundbarer Anwendungen stört unter Umständen Fachsoftware und braucht eine Pilotphase
  • Vor einem Kauf prüfen, ob die Kernfunktionen aus Defender for Endpoint Plan 2 bereits reichen

Licensing & availability

Defender for Endpoint Plan 2 (enthalten in Microsoft 365 E5) bringt die Kernfunktionen des Schwachstellenmanagements mit. Der volle Funktionsumfang von Defender Vulnerability Management ist nicht Teil von Plan 2: Für Plan-2-Kunden gibt es ein Add-on, für neue Kunden sowie Kunden mit Plan 1 oder Microsoft 365 E3 eine Standalone-Lizenz. Beide lassen sich 90 Tage testen. Ob Defender for Business die Premium-Funktionen nutzen kann, ist in der Microsoft-FAQ nicht beschrieben. Stand: Oktober 2026.

Conclusion

Schwachstellenmanagement wirkt, wenn Priorisierung und Zuständigkeit stimmen, nicht wenn der Scanner möglichst viele Befunde produziert. Prüfe vor einem Kauf, ob die Kernfunktionen aus Plan 2 schon ausreichen.

Further reading

Related articles