Wir suchen ein Vulnerability-Management-Tool – was genau muss das bei 10 Mitarbeitern überhaupt finden?

Die meisten Tools spucken nur riesige Listen aus und machen unnötig Panik. Bei 10 Leuten sind von 300 Warnungen gefühlt 290 reine Info-Meldungen. Steckt bloß kein Geld in ein Tool das nicht vernünftig filtern und priorisieren kann.

Wir haben in Berlin eine ähnliche Größe. Unser erstes Tool hat jeden Monat einen 70-seitigen Bericht ausgespuckt, den niemand verstanden hat. Sind dann auf eine schlanke Cloud-Lösung gewechselt, die monatlich extern scannt und wöchentlich Patches prüft. Kostet uns 1.600 Euro im Jahr und die Audits der Kunden laufen damit problemlos durch.

Achtet beim Tool auf den Unterschied zwischen „agenten-basiert“ und „agentenlos“. Da Laptops auch mal außerhalb des Büros unterwegs sind, eignen sich Cloud-Lösungen mit einem schlanken Agenten auf den Rechnern am besten. Die Daten laufen dann sauber in einer zentralen Übersicht zusammen.

was immer vergessen wird sind pdf-reader und browser-updates. ehrlich gesagt das tool muss genau das anzeigen und direkt den patch-link liefern der rest ist spielerei.

Lasst euch bei einer Demo direkt einen beispielhaften Audit-Report für Kunden zeigen. Wenn das Tool nicht per Klick eine kompakte Management-Zusammenfassung für die Auditoren eurer Großkunden erstellen kann, könnt ihr es direkt aussortieren.

Solche Tools sind kein Zauberstab. Wenn niemand da ist, der die Lücken auch schließt, erhöht ihr mit den Funden nur euer rechtliches Risiko. Ihr müsst mit eurem externen IT-Dienstleister genau vereinbaren, wie schnell gefundene Patches eingespielt werden.

als der erste Fragebogen kam hatten wir auch Panik. die Kunden erwarten aber gar keine 100%ige Perfektion sondern nur den Nachweis dass regelmäßig gescannt und Kritischstes behoben wird aber spart euch die 5.000 Euro für überdimensionierte Tools.

Im Rahmen der Lieferkettensicherheit werden solche Prüfungen in Deutschland zunehmend zum Standard. Wenn die Software Berichte liefert, die sich an gängigen ISO- und DSGVO-Standards orientieren, erspart euch das bei Kundenprüfungen eine Menge bürokratischen Ärger.

da verstehe ich etwas nicht ganz. wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

das war's entschuldige wenn ich zu lang war.

Mich interessiert das auch.

Danke fürs Schreiben.

Danke fürs Schreiben. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Nur als Notiz, könnte nützlich sein.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Korrigiert mich, falls ich falsch liege.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Wie habt ihr das Problem gelöst? Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor. Viel Erfolg.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Das allein zu versuchen, ist der teuerste Weg.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

funktioniert das deiner Meinung nach in jeder Größe? naja kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Ich probiere es aus.