Man kann nicht mehr schnell genug Patches einspielen. Hier erfahren Sie, warum Ausgleichsmaßnahmen immer wichtiger werden

Seit Jahren basiert die Cybersicherheit auf einem einfachen Prinzip: Schwachstellen aufspüren und beheben. Doch dieses Modell geht von einer Voraussetzung aus, die nicht mehr gewährleistet ist. Es setzt Zeit voraus.

In einer von KI geprägten Bedrohungslandschaft werden Sicherheitslücken schneller entdeckt und ausgenutzt, als die meisten Unternehmen sie schließen können. Laut einer in „The Hacker News“ zitierten Studie stieg im Jahr 2024 die Zahl der ausgenutzten Sicherheitslücken, für die bereits seit mehr als 30 Tagen ein Patch verfügbar war, um 61 %, wobei sich die Zahl der ausgenutzten Sicherheitslücken im Vergleich zum Vorjahr fast verdoppelte. Unternehmen sehen sich nicht nur mit mehr Sicherheitslücken konfrontiert. Immer mehr davon werden bereits vor der Veröffentlichung eines Patches für Angriffe missbraucht.

Aus diesem Grund sind kompensierende Kontrollmaßnahmen längst kein Nischenkonzept mehr. Sie entwickeln sich zu einem grundlegenden Bestandteil der Sicherheitsmaßnahmen von Organisationen.

Die Grenzen von Patches

Moderne IT-Umgebungen wurden nicht auf Geschwindigkeit ausgelegt. Sie umfassen Altsysteme, Integrationen von Drittanbietern und kontinuierliche Updates, die das Aufspielen von Patches selbst unter idealen Bedingungen zu einem komplexen und zeitaufwändigen Prozess machen. Zunächst muss ein Problem identifiziert, eine Lösung getestet und die Änderungen sorgfältig bereitgestellt werden, um Betriebsunterbrechungen zu vermeiden. In großen oder komplexen Umgebungen kann dies Wochen dauern.

Das NIST-Cybersicherheits-Framework legt aus genau diesem Grund seit langem den Schwerpunkt auf ein mehrschichtiges Risikomanagement, da es anerkennt, dass keine einzelne Kontrollmaßnahme ausreicht und dass Organisationen mehrere Schutzebenen aufbauen müssen. Wenn Angreifer innerhalb weniger Stunden von der Entdeckung einer Schwachstelle zur aktiven Ausnutzung übergehen können, reicht ein Patching-Prozess, der sich über Wochen erstreckt, allein einfach nicht aus.

Was sind eigentlich Ausgleichskontrollen?

Ausgleichsmaßnahmen sind Schutzvorkehrungen, die das Risiko mindern, wenn eine direkte Behebung nicht sofort möglich ist. Sie ersetzen keine Patches. Sie verschaffen Zeit und begrenzen das Risiko, während die Behebung vorbereitet wird. In der Praxis kann dies bedeuten, den Zugriff auf anfällige Dienste einzuschränken, Netzwerke zu segmentieren, um potenziellen Schaden einzudämmen, die Überwachung und Alarmierung rund um gefährdete Systeme zu verstärken oder vorübergehende Prozessänderungen einzuführen, die die Wahrscheinlichkeit einer Ausnutzung verringern. Das Ziel besteht darin, ein angemessenes Schutzniveau aufrechtzuerhalten, auch wenn das System noch nicht vollständig gepatcht ist.

Warum dies für die Einhaltung von Vorschriften von Bedeutung ist

Rahmenwerke wie NIS2 und DORA erwarten keine Perfektion. Sie erwarten ein strukturiertes, verhältnismäßiges Risikomanagement. Beide verlangen von Organisationen, dass sie angemessene Kontrollmaßnahmen umsetzen, die Betriebskontinuität sicherstellen und die Sicherheit auch bei sich ändernden Bedingungen aufrechterhalten. Dies umfasst ausdrücklich mehrschichtige Kontrollmaßnahmen und nicht nur das Verlassen auf Patches. Ein Unternehmen, das nachweisen kann, dass es eine Schwachstelle identifiziert, das Risiko bewertet, Ausgleichskontrollen eingesetzt und den Fortschritt auf dem Weg zu einer vollständigen Behebung verfolgt hat, demonstriert genau die Art von Governance, die diese Rahmenwerke fördern sollen.

Die operative Herausforderung

Das Problem vieler Organisationen ist nicht mangelndes Bewusstsein, sondern ein Mangel an Struktur. Ohne klare Übersicht darüber, wo Kontrollmaßnahmen erforderlich sind, ohne festgelegte Prozesse für deren rasche Umsetzung und ohne ordnungsgemäße Dokumentation der getroffenen Maßnahmen bleiben Ausgleichskontrollen eher eine Ad-hoc-Maßnahme als eine gesteuert eingesetzte Fähigkeit. In dieser Lücke zwischen Absicht und Umsetzung liegt das regulatorische Risiko.

Vom Ad-hoc-Ansatz zur Unternehmensführung

Damit Ausgleichskontrollen als Teil eines umfassenden Sicherheitskonzepts funktionieren, sind eine klare Zuordnung zwischen Risiken und Kontrollmaßnahmen, festgelegte Verfahren dafür, wann und wie diese Kontrollmaßnahmen aktiviert werden, eine kontinuierliche Überwachung und Überprüfung sowie eine Dokumentation erforderlich, die bei Bedarf vorgelegt werden kann. Dadurch wird aus einer reaktiven Maßnahme eine strukturierte Steuerung, die gegenüber Aufsichtsbehörden, Wirtschaftsprüfern und der Unternehmensleitung gleichermaßen nachgewiesen werden kann.

Falls Ihr Unternehmen Schwierigkeiten hat, den Überblick über Risiken, Kontrollmaßnahmen und Dokumentation zu behalten, ist Trustlinks genau die richtige Lösung für Sie. Mit Trustlinks können Sie Risiken in einem zentralen Risikoregister erfassen und nachverfolgen, Vorfälle direkt mit den damit verbundenen Risiken verknüpfen und jedes Risiko gleichzeitig mehreren Rahmenwerken zuordnen. Wenn eine kompensierende Kontrollmaßnahme vorhanden ist, wird diese dokumentiert, verknüpft und ist auditierbar. Eine Plattform, vollständige Übersicht, stets auditbereit.