Etwa 29.000 CVEs wurden 2025 veroeffentlicht, und das Tempo 2026 laesst nicht nach. Eine Zahl, die sich manuell schlicht nicht triagieren laesst. Dennoch verlassen sich erstaunlich viele Security-Teams auf einen einzigen Netzwerk-Scanner, lassen diesen quartalsweise laufen und bezeichnen das als Vulnerability-Management-Programm. Das ist kein Programm — das ist ein Haftungsrisiko.
Die eigentliche Herausforderung liegt nicht im Finden von Schwachstellen. Jeder halbwegs brauchbare Scanner kann vor dem Mittagessen eine Liste mit 10.000 Findings generieren. Die Herausforderung besteht darin, jene 15 dieser 10.000 zu identifizieren, die in Ihrer spezifischen Umgebung aktiv ausnutzbar sind, diese Woche wahrscheinlich Ziel eines Angriffs werden und tatsaechlich in der Lage sind, materiellen Schaden zu verursachen.
Warum ein einzelner Scanner nie ausreicht
Netzwerk-Vulnerability-Assessment-Tools wie Nessus, Qualys oder OpenVAS sind ausgezeichnet in dem, was sie tun: exponierte Dienste aufzaehlen, Versionen fingerprinting und mit bekannten CVE-Datenbanken abgleichen. Aber sie haben eine enge Sichtweise. Sie sehen keinen unkompilierten Anwendungscode. Sie erkennen keine in einem Git-Repository committeten Secrets. Jede Scanning-Kategorie hat blinde Flecken, und Angreifer beschraenken sich nicht auf einen einzigen Angriffsvektor.
Der ausgereifte Ansatz ist mehrschichtige Abdeckung: Netzwerkschicht-Scanning, Anwendungsschicht-Scanning, Code-Ebene-Analyse und Cloud-Konfigurationsassessment — alles fliessend in eine einheitliche Risikoansicht.
EPSS-Scoring verstehen — warum CVSS allein irreleitet
Jahre lang nutzten Teams CVSS als primaeres Priorisierungssignal. Das Problem: CVSS misst theoretischen Schweregrad, nicht die reale Exploit-Wahrscheinlichkeit. Nur etwa 5 bis 7 Prozent der veroeffentlichten CVEs werden jemals aktiv ausgenutzt. EPSS — das Exploit Prediction Scoring System — veraendert dies grundlegend. Von FIRST.org gepflegt und inzwischen in Version 3, nutzt EPSS ein Machine-Learning-Modell, das auf realen Exploitation-Daten trainiert wurde.
Die Kombination von EPSS mit Asset-Kritikalitaet und Angriffsflaechenexposition liefert den Rahmen fuer ein risikobasiertes Vulnerability Management, das tatsaechlich skaliert.
Container-Sicherheitsscanning: Die Luecke, die die meisten Teams ignorieren
Container-Adoption hat die Bedrohungsflaeche fundamental veraendert. Effektives Container-Sicherheitsscanning operiert an mehreren Punkten: in der Build-Pipeline, in der Registry vor dem Deployment und zur Laufzeit im Cluster. Die Container Image Scanning-Funktion der Secrails-Plattform integriert sowohl Registry-Level- als auch Runtime-Erkennung und mappt Findings direkt auf CVE-Eintraege mit angehaengten EPSS-Scores.
SBOM-Generierung ist das andere Element, das die meisten Teams ueberspringen. Als Log4Shell auftauchte, wussten Organisationen mit SBOMs innerhalb von Stunden, welche Images betroffen waren.
Web Application Vulnerability Scanning und Attack Surface Management
DAST erkennt Dinge, die statische Analyse schlicht nicht kann. Die SAST-Faehigkeiten in Secrails decken Code-Level-Vulnerability-Erkennung ueber Repositories ab und fliessen in den breiteren Vulnerability-Kontext neben DAST-Findings ein.
Das Cloud Inventory-Feature in Secrails pflegt ein Echtzeit-Asset-Inventar ueber AWS, Azure und GCP hinweg, sodass Ihr Vulnerability-Scanning nicht gegen eine veraltete oder unvollstaendige Zielliste arbeitet.
Patch-Management-Strategie und Open Source vs. Kommerziell
Das VM Scans-Modul in Secrails speist direkt in Remediation-Workflows mit Schweregradstufen und Asset-Kontext. Der Policy-as-Code-Ansatz kodiert Sicherheitsanforderungen als versionierte automatisierte Richtlinien. Die Secrails-Plattform konsolidiert CSPM, Container-Scanning, SAST, Secret Detection und VM-Scanning unter einer einheitlichen Risikoansicht.