Schwachstellen- und Bedrohungsmanagement-Richtlinie

Enrik Spoerer, Arda Okay GbR
Version 1.2
Datum: 26.02.2026
Dokumentenverantwortlich: Technische Leitung
Freigabe durch: Geschäftsführung

1. Ziel

Ziel dieser Richtlinie ist die systematische Identifikation, Bewertung, Behandlung und Überwachung technischer Schwachstellen und Bedrohungen zur Reduzierung von Informationssicherheitsrisiken.

Diese Richtlinie unterstützt die Umsetzung der Anforderungen aus ISO/IEC 27001 im Bereich:

• Technische Schwachstellen
• Bedrohungsmanagement
• Risikobehandlung

Sie ist Bestandteil des Informationssicherheits-Managementsystems (ISMS).

2. Geltungsbereich

Diese Richtlinie gilt für:

• Cloud-Infrastruktur
• Server-Systeme
• Endgeräte
• Entwicklungs- und Produktionsumgebungen
• Container-Umgebungen
• Drittanbieter-Abhängigkeiten
• eingesetzte Software-Komponenten und Libraries

3. Einbettung in das Risikomanagement

Technische Schwachstellen und Bedrohungen werden im Rahmen des Informationssicherheits-Risikomanagements berücksichtigt.

• Identifizierte Schwachstellen werden hinsichtlich Eintrittswahrscheinlichkeit und Schadenspotenzial bewertet.
• Behandlungsmaßnahmen werden risikobasiert priorisiert.
• Restrisiken werden dokumentiert und akzeptiert oder weiter behandelt.

4. Patch- und Update-Management

4.1 Betriebssysteme

• Sicherheitsupdates auf Endgeräten sind aktiviert.
• Server-Systeme werden regelmäßig aktualisiert.
• Sicherheitskritische Updates werden priorisiert behandelt.

4.2 Anwendungen und Abhängigkeiten

• Projektabhängigkeiten werden regelmäßig überprüft und aktualisiert.
• Sicherheitsrelevante Hinweise (z. B. CVE-Meldungen) werden beobachtet.
• Veraltete oder nicht mehr gewartete Komponenten werden ersetzt oder entfernt.

4.3 Reaktionszeiten

Schwachstellen werden nach Kritikalität behandelt:

5. Schwachstellenbehandlung

5.1 Identifikation

Schwachstellen können identifiziert werden durch:

• Sicherheitswarnungen von Software- oder Cloud-Anbietern
• interne Code-Reviews
• Monitoring-Mechanismen
• Meldungen externer Parteien
• regelmäßige technische Überprüfungen

5.2 Bewertung

Schwachstellen werden hinsichtlich:

• technischer Ausnutzbarkeit
• möglicher Auswirkungen auf Verfügbarkeit, Integrität und Vertraulichkeit
• betroffener Systeme

bewertet und dokumentiert.

5.3 Behebung

Maßnahmen können beinhalten:

• Installation von Sicherheitsupdates
• Konfigurationsanpassungen
• Austausch kompromittierter Zugangsdaten
• Einschränkung oder Abschaltung betroffener Dienste
• Implementierung zusätzlicher Schutzmechanismen

Die Umsetzung wird dokumentiert.

6. Bedrohungsüberwachung

Zur frühzeitigen Erkennung potenzieller Bedrohungen werden folgende Maßnahmen eingesetzt:

• Nutzung cloudbasierter Monitoring-Mechanismen
• Protokollierung sicherheitsrelevanter Ereignisse
• regelmäßige Überprüfung von Log-Daten
• Überwachung ungewöhnlicher Login-Versuche
• Minimierung öffentlich erreichbarer Dienste

Erkannte Bedrohungen werden gemäß der Vorfallsmanagement-Richtlinie behandelt.

7. Reduzierung der Angriffsfläche

Die Organisation verfolgt das Prinzip der minimalen Angriffsfläche (Minimal Exposure):

• Deaktivierung nicht benötigter Dienste
• Keine unnötigen offenen Ports
• Trennung von Entwicklungs- und Produktionsumgebungen
• Verwendung starker Authentifizierungsmechanismen
• Einschränkung privilegierter Zugriffe

Architekturentscheidungen berücksichtigen Sicherheitsaspekte frühzeitig.

8. Drittanbieter- und Lieferkettenmanagement

• Es werden vertrauenswürdige Cloud- und Softwareanbieter eingesetzt.
• Sicherheitsstandards der Anbieter werden risikobasiert geprüft.
• Aktive Integrationen werden regelmäßig überprüft.
• Sicherheitsrelevante Änderungen bei Drittanbietern werden beobachtet.

Abhängigkeiten in der Software-Lieferkette werden berücksichtigt.

9. Dokumentation und Nachweisführung

Identifizierte Schwachstellen und ergriffene Maßnahmen werden dokumentiert, um:

• Nachvollziehbarkeit sicherzustellen
• Wiederholungsrisiken zu minimieren
• Trends zu erkennen
• die Wirksamkeit von Maßnahmen zu bewerten

Dokumentationen werden im Rahmen des ISMS aufbewahrt.

10. Überwachung und kontinuierliche Verbesserung

Die Wirksamkeit der Schwachstellen- und Bedrohungsbehandlung wird regelmäßig überprüft.

Erkenntnisse aus:

• Sicherheitsvorfällen
• Schwachstellenmeldungen
• internen Reviews

fließen in Verbesserungsmaßnahmen ein.

11. Überprüfung

Diese Richtlinie wird mindestens einmal jährlich sowie bei wesentlichen Infrastruktur- oder Architekturänderungen überprüft.

Änderungen werden versioniert dokumentiert.