Guardian360
Kostenlos testenPartner werden
← Alle Beiträge

Bewusstsein

Warum Guardian360 seine Scan-Engine ersetzt, und warum 'weniger' 'sicherer' bedeutet

Von Guardian360 ·

Wenn Sie schon länger mit Vulnerability Scannern arbeiten, kennen Sie das Muster: einen Scan durchführen, eine riesige Liste erhalten, nach Schweregrad sortieren und den roten Meldungen hinterherjagen.

Es funktioniert, bis es das nicht mehr tut.

Denn die Realität im Jahr 2026 sieht so aus: Vulnerability-Daten wachsen explosionsartig, das Verhalten von Angreifern verändert sich schnell, und die knappste Ressource in den meisten IT-Teams ist nicht die Technologie, sondern die Zeit.

Deshalb nimmt Guardian360 zwei große Änderungen an Lighthouse vor:

  1. Wir ersetzen unser Scanner-Arsenal (unseren scanning "Maschinenraum").
  2. Wir führen einen risikobasierten Ansatz ein, der technische Befunde mit Geschäftsrisiken verknüpft, abgestimmt auf ISO 27001, NIS2 und andere Rahmenwerke.

Und ja: Für viele Partner und Kunden wirft das eine berechtigte Frage auf:

"Sehen wir künftig weniger Schwachstellen, und ist das tatsächlich sicher?"

Lassen Sie uns das "Warum" hinter diesen Entscheidungen erläutern, und warum weniger, dafür relevantere Befunde in der Regel zu besseren Ergebnissen, besseren Einblicken und einem deutlich effektiveren Einsatz kostbarer Arbeitsstunden führen.

1. Warum wir unser Scanner-Arsenal ersetzen

Wir bauen das Fundament neu auf, um das Scanning:

  • Zuverlässiger zu machen (konsistente Ergebnisse, weniger Überraschungen bei Randfällen)
  • Schneller zu machen (weniger Wartezeit, mehr kontinuierliche Sichtbarkeit)
  • Schlanker zu machen (geringerer Fußabdruck und weniger operativer Aufwand)

Und es gibt auch einen strategischen Grund:

Von virtuellen Maschinen hin zu einem Agenten

Heute stützen sich viele Scanning-Lösungen noch stark auf virtuelle Maschinen und umfangreiche Deployments. Unsere Richtung ist klar: agentenbasierte Funktionen ermöglichen, damit Partner und Kunden Abdeckung erhalten, ohne dass die Pflege virtueller Appliances stets der Standardansatz sein muss.

Dies ist keine Veränderung um der Veränderung willen. Es geht darum, eine Scanning-Plattform aufzubauen, die bereit ist für die nächste Phase von Lighthouse: kontinuierliche Einblicke, weniger operative Reibung und umsetzbarere Ergebnisse.

2. Warum wir einen risikobasierten Ansatz einführen (und warum dieser besser zu ISO 27001 und NIS2 passt)

Die meisten Scanner sind darauf ausgelegt, eine technische Frage zu beantworten:

"Wie schwerwiegend ist diese Schwachstelle?"

Aber ISO 27001, NIS2 und moderne Sicherheits-Governance verlangen, dass Sie eine andere Frage beantworten:

"Was bedeutet das für unsere Organisation, und was tun wir zuerst?"

Diese Verschiebung ist wichtig, denn die technische Schwere allein beschreibt kein Geschäftsrisiko. Das Geschäftsrisiko hängt vom Kontext ab: wo sich die Schwachstelle befindet, was sie betrifft, und was passiert, wenn sie ausgenutzt wird.

CIA: die fehlende Zutat im "nur Schweregrad"-Schwachstellenmanagement

Eine praktische Möglichkeit, diesen Kontext explizit zu machen, ist die klassische CIA-Triade:

  • Vertraulichkeit: Würde eine Ausnutzung sensible Informationen offenlegen (Kundendaten, geistiges Eigentum, Zugangsdaten, medizinische Unterlagen)?
  • Integrität: Könnte eine Ausnutzung Manipulationen ermöglichen (Daten ändern, Transaktionen manipulieren, Konfigurationen verändern, Protokolle verfälschen)?
  • Verfügbarkeit: Könnte eine Ausnutzung zu Ausfallzeiten oder Störungen führen (Auswirkungen von Ransomware, Dienstausfall, Produktionsstillstand)?

Mit anderen Worten: dieselbe CVE kann völlig unterschiedliche Dinge bedeuten, je nach CIA-Profil des Assets.

Beispiel: dieselbe Schwachstelle, unterschiedliches Geschäftsrisiko

Eine Schwachstelle mit "hohem Schweregrad" auf einem geringwertigen Testserver mag ärgerlich sein, ist aber nicht existenzbedrohend für das Geschäft.

Genau dieselbe Schwachstelle auf:

  • einem System, das die Gehaltsabrechnung verarbeitet (Integrität),
  • einem Kundenportal mit personenbezogenen Daten (Vertraulichkeit),
  • oder einer krankenhauskritischen Anwendung (Verfügbarkeit),

... wird plötzlich zu einem wesentlichen Geschäftsrisiko.

 Anstatt jeden Befund gleich zu behandeln und rein nach CVSS zu sortieren, stellt ein risikobasierter Ansatz die Frage:

  • Welches Asset ist betroffen?
  • Wie kritisch ist dieses Asset für Vertraulichkeit, Integrität und Verfügbarkeit?
  • Ist es in dieser Umgebung erreichbar beziehungsweise ausnutzbar?
  • Was ist die reale Auswirkung, wenn sie ausgenutzt wird?
  • Was ist die wirksamste nächste Maßnahme?

Warum dies besser zu ISO 27001 und NIS2 passt

ISO 27001 ist keine Norm nach dem Motto "alle Schwachstellen sammeln". Es geht darum, ein ISMS zu betreiben, das Risiken kontrolliert und wiederholbar identifiziert, bewertet und behandelt. Ein risikobasierter Ansatz unterstützt dies unmittelbar: Sie können zeigen, warum Sie etwas priorisiert haben, was Sie getan haben, und wie dies das Risiko reduziert hat.

NIS2 drängt Organisationen zu messbarer Resilienz und rechenschaftspflichtigem Risikomanagement, nicht nur zu technischem Output. Ein risikobasierter Ansatz hilft Partnern und Kunden, in geschäftlichen Begriffen zu kommunizieren, denn Vorstände und Auditoren wollen nicht hören "wir hatten 8.000 Befunde", sondern "wir haben das Risiko für kritische Dienste reduziert".

Das Ergebnis: bessere Entscheidungen, bessere Nachweise, weniger vergeudeter Aufwand

Indem Befunde mit CIA und Geschäftskontext verknüpft werden, kann Lighthouse sich wandeln von:

  • "Hier ist eine beängstigende Liste"

zu:

  • "Hier sind die Probleme, die das gefährden, was Ihnen wirklich wichtig ist, und hier ist die klügste Reihenfolge, um sie zu beheben."

Das ist der Kern des risikobasierten Ansatzes: nicht weniger Kontrollen, sondern bessere Priorisierung und stärkere Governance.

3. Die unbequeme Wahrheit: nicht jede CVE ist für Ihre Umgebung relevant

Hier ist der Teil, der im Schwachstellenmanagement oft untergeht: das CVE-Universum ist riesig, und der Großteil davon wird für die spezifische Kundenumgebung nie relevant sein.

Dieser Kontrast bedeutet nicht "alles andere ignorieren". Er bedeutet:

Schweregrad ist nicht dasselbe wie Risiko

Ein CVSS-Wert sagt Ihnen, wie schlimm etwas unter bestimmten Annahmen sein könnte. Er sagt Ihnen nicht, wie wahrscheinlich es ist, dass es in den nächsten Tagen oder Wochen ausgenutzt wird.

Deshalb gibt es Modelle wie EPSS: um die Wahrscheinlichkeit einer Ausnutzung anhand beobachteter Signale und Muster zu schätzen. Die EPSS-Dokumentation von FIRST zeigt, dass sich Ausnutzungsaktivität tendenziell auf eine kleine Teilmenge veröffentlichter CVEs konzentriert (ihr Beispiel zeigt rund 2,7 % mit beobachteter Ausnutzungsaktivität innerhalb eines 30-Tage-Fensters) ( https://www.first.org/epss/model).

Und Bedrohungsberichte zeigen weiterhin, dass Ausnutzung ein wichtiger initialer Angriffsvektor ist, aber auch hier konzentriert dort, wo Angreifer den besten Ertrag erzielen. Der Verizon 2025 DBIR hebt die Ausnutzung von Schwachstellen als führenden Angriffsvektor hervor (20 %) und stellt einen deutlichen Anstieg im Jahresvergleich fest ( https://www.verizon.com/about/news/2025-data-breach-investigations-report).

Also ja: Schwachstellen sind wichtig. Aber nicht alle gleichermaßen, und nicht alle gleichzeitig.

4. Warum "weniger Schwachstellen" zu besseren Sicherheitsergebnissen führen kann

Eine riesige Liste von Befunden erzeugt drei vorhersehbare Probleme:

1) Rauschen begräbt Signal

Wenn alles dringend erscheint, ist nichts mehr dringend. Teams verbrauchen Zyklen mit der Triage von Punkten, die technisch gültig, aber praktisch irrelevant sind.

2) Zeit fließt in das, was einfach ist, nicht in das, was riskant ist

Ohne Geschäftskontext wird die Behebung zu einem Patch-Beliebtheitswettbewerb: "höchster CVSS zuerst", selbst wenn das betroffene System unkritisch oder unerreichbar ist.

3) Berichterstattung wird zur Show

Am Ende beweisen Sie, dass Sie hart gearbeitet haben, statt dass Sie Risiko reduziert haben.

Ein risikobasierter Ansatz kehrt dies um:

  • Fokus auf das, was ausnutzbar, erreichbar und wesentlich ist
  • Befunde mit der geschäftlichen Auswirkung verknüpfen
  • Behebung messbar, nachvollziehbar und prüfbar machen

 So wird Schwachstellenmanagement nachhaltig statt heroisch.

5. Was Partner in Lighthouse erwarten können

Mit dem neuen Scanning-Fundament und dem risikobasierten Ansatz erhalten Partner:

  • Besseren Einblick in Geschäftsrisiken (zusätzlich zu technischen Schweregraden)
  • Relevantere Scan-Ergebnisse, wodurch vergeudeter Aufwand reduziert wird
  • Effektivere Behebung, da Maßnahmen nach realem Risiko und Geschäftskontext priorisiert werden
  • Stärkere Compliance-Nachweise, da Entscheidungen und Maßnahmen erklärt und den Governance-Anforderungen zugeordnet werden können

So geben wir unserer Mission praktische Bedeutung:

"Digitale Governance und Resilienz in greifbarer Nähe."

Und unserer Vision:

"Entscheidungsträgern die Einblicke geben, um ihr Unternehmen abzusichern, compliant zu halten und zu optimieren."

6. Das Fazit

Wir streben nicht danach, mehr Befunde zu zeigen.

Wir streben danach, die richtigen Befunde zu zeigen, zum richtigen Zeitpunkt, im richtigen Kontext, damit Partner und Kunden ihre begrenzte Zeit dort einsetzen können, wo sie das Risiko am stärksten reduziert.

Wenn Sie an Scanner gewöhnt sind, die stolz "10.000 gefundene Probleme" anzeigen, mag sich diese Verschiebung zunächst kontraintuitiv anfühlen.

Aber in der Praxis gilt: weniger Rauschen + mehr Relevanz = bessere Einblicke + schnellere Risikoreduzierung.

Und genau dorthin bewegt sich Lighthouse.