Auf der it-sa 2026 erklärte Daniel Dreier von Check Point, warum score-getriebenes Patchen ausgedient hat. Kontinuierliches, kontextbezogenes Exposure Management tritt an seine Stelle.
Unternehmen haben jahrelang Schwachstellenlisten nach starren Scores abgearbeitet. Hochgradig vernetzte, hybride Infrastrukturen und automatisierte Angriffsmethoden erzwingen nun ein Umdenken. Im Zentrum moderner Verteidigung steht ein kontinuierliches, kontextbezogenes Management der gesamten Angriffsfläche, erklärt Daniel Dreier, der bei Check Point Software Technologies den Bereich Exposure Management für die DACH-Region verantwortet, im Gespräch auf der it-sa 2026.
In der IT-Sicherheit vollzieht sich ein Wandel, der an den Übergang von musterbasierten Antivirenprogrammen zu verhaltensbasierter Endpoint Detection and Response (EDR) erinnert. Jahrzehntelang folgte das Schwachstellenmanagement einem kaum veränderten Ablauf: Scanner prüften Systeme in Abständen gegen globale Datenbanken wie die National Vulnerability Database (NVD) und lieferten seitenlange Berichte.
Das Problem starrer Scores
Dieser Ansatz stößt an seine Grenzen. Standardisierte Bewertungen blenden die Realität einer individuellen IT-Architektur aus. Ein hoch bewerteter Mangel auf einem isolierten System ohne Anbindung an kritische Prozesse ist weit weniger riskant als eine scheinbar harmlose Fehlkonfiguration an einer Schnittstelle mit direktem Zugriff auf sensible Daten.
Dreier bringt es auf den Punkt: Klassisches Scanning verweise auf Basis globaler Datenbanken auf eine Schwachstelle mit einem Score von 9,9, und Unternehmen A erhalte dieselbe Liste wie Unternehmen B. Solche Listen verrieten nichts über das individuelle Geschäftsrisiko, über die tatsächliche Ausnutzbarkeit oder darüber, ob Geschäftsprozesse betroffen sind. Die Folge: Man arbeitet Listen mechanisch ab, ohne die eigene Security Posture zu verbessern. Eine behobene Schwachstelle macht ein Unternehmen nicht automatisch sicherer, wenn Ressourcen in Lücken fließen, die nie einen Schaden verursacht hätten.
Continuous Threat Exposure Management als neuer Maßstab
Der Ausweg heißt Continuous Threat Exposure Management (CTEM), ein Rahmenwerk, das Gartner 2022/2023 vorgestellt hat. Es ist keine Lösung, sondern ein Ansatz: Scope festlegen, die Infrastruktur verstehen und das Risiko fortlaufend bewerten, mit Prioritäten nach dem realen Schadenspotenzial. Das erfordert Mut. „Man muss eine Schwachstelle mit hohem Score auch ignorieren können, wenn sie für einen selbst nicht riskant ist“, sagt Dreier. Besser sei es, sich auf eine 7,2 zu konzentrieren, die in der klassischen Liste auf Seite 287 gelandet wäre, weil sie im eigenen Kontext das größere Risiko darstellt.
KI-gestützte Validierung und der Blast Radius
Technisch heißt das: automatisierte Validierung kombiniert mit künstlicher Intelligenz. Check Point nutzt aktuelle KI-Modelle, um Skripte zu erzeugen, validiert sie und lässt sie gegen die externe Angriffsfläche der Kunden laufen. So werden mehrstufige Angriffsszenarien nachgestellt, auch solche, die noch nicht breit bekannt sind. Klassische Softwarefehler sind dabei nur ein Teil des Bildes. Geleakte Zugangsdaten und Fehlkonfigurationen sind ebenso häufig das Einfallstor. Dreier nennt ein internes GPT-Portal, das per Single Sign-on mit Multifaktor-Authentifizierung abgesichert ist: Es nützt wenig, wenn der Blob Storage dahinter öffentlich einsehbar ist.
Der zweite Faktor ist der Blast Radius, also der Schaden, den ein Angreifer nach dem Eindringen anrichten kann. Die Kronjuwelen liegen meist tief im internen Netz, deshalb bezieht der Hersteller Telemetriedaten aus Endpoint-, Perimeter- und OT-Werkzeugen ein, herstellerunabhängig. Daten von CrowdStrike, Palo Alto oder Microsoft Defender lassen sich einbinden. Keine Plattform sei in jeder Disziplin die beste, räumt Dreier ein.
Die Brücke zwischen IT und OT im Mittelstand
Die DACH-Region hat eigene Herausforderungen. US-Unternehmen gehen schneller Richtung Cloud und Managed Services, was das Risiko in Richtung Lieferkette verschiebt. Deutschsprachige Firmen sind zurückhaltender, mit On-Premises- und Hybrid-Infrastrukturen, komplexen Fertigungsumgebungen und getrennten Teams für Cloud, OT und anderes, was zu Reibung führen kann.
Die Schnittstelle zwischen IT und OT ist besonders sensibel. „OT funktioniert nicht ohne IT, und IT funktioniert nicht ohne OT“, sagt Dreier. Als Referenz nennt er das israelische Gesundheitsministerium, wo Check Point mit rund 60 Krankenhäusern arbeitet und über eine Integration mit Medigate Daten zu medizinischen Geräten einbindet. Ein MRT-Gerät lässt sich nicht einfach scannen oder updaten. Risiken müssen daher auch ohne sofortiges Patchen verstanden und eingedämmt werden, etwa mit Blick darauf, ob laterale Bewegungen aus der IT in die OT möglich sind.
Plattform oder Best of Breed?
Ob konsolidiert oder mit Spezialisten gearbeitet wird, hängt laut Dreier vom Use Case und der Philosophie des Unternehmens ab. Fachexperten seien in der DACH-Region nicht leicht zu finden. Check Point lässt die Wahl deshalb offen: Kunden können über das Infinity-Portal beziehen oder ihre bestehenden Werkzeuge per Integration anbinden.
Proaktiv statt reaktiv
Dreiers Schlussbotschaft richtet den Blick auf die Angreifer. Schwachstellen und Fehlkonfigurationen werden immer automatisierter analysiert und veröffentlicht, was gezielte Angriffe erleichtert, nicht zuletzt politisch motivierte. Unternehmen müssten darauf mit dem Einsatz solcher Modelle reagieren, Angriffsszenarien selbst durchspielen und deutlich schneller werden. Der reaktive Schutz dürfe nicht vernachlässigt werden, doch je besser das Risiko verstanden sei, desto weniger Incident Response sei nötig. Ob Check Point selbst dafür gewappnet ist, beantwortet Dreier knapp: Davon gehe er aus. Für Kunden lautet die Botschaft: Das eigene Risiko zu kennen ist wertvoller, als die Liste eines anderen abzuarbeiten.
Dr. Dietmar Müller ist ein erfahrener IT-Fachjournalist und Chefredakteur von Beyond Buzzwords. Er verfügt über jahrzehntelange Expertise auf dem deutschen und internationalen IT-Markt sowie über fundierte Redaktionserfahrung in renommierten Verlags- und Medienhäusern wie Springer, IDG und CBS Interactive. Ob crossmediale Fachartikel, tiefgreifende Analysen oder fundierte Interviews, am Schreibtisch oder im direkten Austausch mit Branchengrößen: Dr. Dietmar Müller ist in der Enterprise-IT-Welt zu Hause. Seine Themenschwerpunkte umfassen Enterprise-IT- und OT-Architekturen, Cloud, ERP, MES, Datacenters, Cybersecurity und Compliance, industrielle Automation und KI-Governance u. a.