Exposure
Management.
Exposure Management verbindet Assets, Schwachstellen, Identitäten, Cloud-Kontext und Angriffspfade zu einer Sicht auf das, was wirklich erreichbar und ausnutzbar wird.
Erreichbare Risiken erkennen.
Ein Scanner findet technische Zustände. Exposure Management fragt, ob daraus ein belastbarer Weg zu einem kritischen Ziel entsteht. Dafür werden externe Angriffsfläche, interne Assets, Identitäten, Schwachstellen, Cloud-Konfigurationen und Kontrollwirkung zusammengeführt.
Der Wert entsteht dort, wo tausende Findings nicht mehr gleich behandelt werden. Ein erreichbarer Pfad mit schwacher Identität, exponiertem Dienst und kritischem Ziel gehört vor ein isoliertes CVE ohne produktive Relevanz.
EASM sieht die externe Oberfläche. CAASM ordnet Asset-Daten. Vulnerability Management bewertet bekannte Schwachstellen. Exposure Management führt diese Signale zusammen und priorisiert nach Erreichbarkeit, Wirkung und Behebbarkeit.
Gute Plattformen ersetzen nicht automatisch alle bestehenden Werkzeuge. Sie sind häufig die Steuerungsschicht über Scanner, EDR, Cloud Security, Identitätsdaten, Ticketing und Validierung.
Erreichbarkeit vor Schweregrad.
Die folgende Übersicht trennt Plattformen, Angriffspfad-Spezialisten, Validierung und Remediation. Genau diese Trennung ist wichtig, weil viele Hersteller Exposure Management sagen, aber sehr unterschiedliche Probleme lösen.
| Hersteller | Produkt | Einordnung | Einsatz | Datenbasis | Attack Path / Validierung | Mobilisierung |
|---|---|---|---|---|---|---|
| Tenable, Inc. | Tenable One Exposure Management Platform | Spezialisierte Exposure Management Platform | Primär | Aggregation von IT, Cloud, OT, IoT, Identitäten & EASM | Graph-basierte Attack Path Analysis (Cymptom Engine) | Integration in ServiceNow, Jira & SOAR-Systeme |
| XM Cyber Ltd. | XM Cyber Continuous Exposure Management Platform | Dedicated Attack Path & CTEM Specialist | Primär | Agentenlos via APIs zu Active Directory, AWS, Azure, EDR & Cloud | Kontinuierliche automatisierte Angriffs-Graph-Simulation (Attack Path Graph) | Fokus auf "Chokepoints" zur Behebung hunderter Angriffspfade mit wenigen Massnahmen |
| Qualys, Inc. | Qualys Enterprise TruRisk Platform | Cyber Risk & Exposure Platform | Primär | Ingestion aus EASM, CAASM, Cloud-Sicherheits- & Network-Scannern | KI-gestützte Angriffsnetzwerk-Analyse & Exposure Validation | Integriertes Qualys Patch Management & ITSM-Routing |
| Pentera Ltd. | Pentera Automated Security Validation Platform | Automated Security Validation & CTEM | Primär | Kontinuierliches agentenloses Discovery der internen & externen Angriffsfläche | Vollautomatisierte, gefahrlose Penetrationstests & Safe-Exploitation | Detaillierte Actionable Remediation Guides & Ticket-Schnittstellen |
| Cymulate Ltd. | Cymulate Exposure Management & Security Validation | Security Validation & CTEM Platform | Primär | Discovery & Korrelation von Assets, Schwachstellen & Threat Feeds | Agentic-AI-gestützte Breach & Attack Simulation (BAS) & Attack Paths | Mitigation Hub für automatisierte Updates von Security Controls |
| Palo Alto Networks, Inc. | Cortex Xpanse & Cortex Exposure Management | Enterprise Attack Surface & Exposure Management | Primär | Agentenloses aktives Internet-Mapping (EASM) & Cloud Ingestion | Attack Surface Graph & automatisierte Angriffs-Verwendungsanalyse | Automatisierte Playbooks (Cortex XSOAR Integration) zur Bereinigung |
| CrowdStrike Inc. | CrowdStrike Falcon Exposure Management | EDR- & Identity-Integrated Exposure Management | Primär | EDR-Agenten-Telemetrie, EASM (Falcon Surface) & Identity Ingestion | Analyse von Angriffsvektoren über Endpunkte, Identitäten & Cloud-Ressourcen | Real-Time Response (RTR) Orchestration & ITSM-Routing |
| Picus Security Inc. | Picus Security Validation & Exposure Management Platform | Security Validation & CTEM Specialist | Primär | Ingestion von Vuln Scannern, EASM & Cloud Security Tools | Continuous Threat Exposure Validation & Automated Breach Simulation | Actionable Prevention Mitigation Signatures für Firewalls, EDR & SIEM |
| Rapid7 Inc. | Rapid7 Command Platform (inkl. Exposure Command) | Enterprise Exposure Management | Primär | Insight Agent, EASM, Cloud Ingestion & Multi-Source CAASM Feeds | Attack Surface Graph & Visualisierung interner/externer Pfade | Automatisierte Behebungsworkflows via Rapid7 InsightConnect (SOAR) |
| Microsoft Corporation | Microsoft Security Exposure Management | Cloud Native Exposure Management | Primär (MS Ecosystem) / Ergänzend | Ingestion aus Microsoft Defender, Entra ID, Azure, EASM & Third-Party Tools | Attack Map Engine zur Visualisierung von Angriffswegen quer durch Identitäten & Cloud | Nahtlose Zuweisung an Microsoft Intune, Defender & Azure DevOps |
| IONIX Ltd. | IONIX External Exposure Management | Dedicated EASM & CTEM Specialist | Primär | Digital Footprint Scanning, EASM & Supply Chain Dependency Discovery | Aktive, unterbrechungsfreie Validierung externer Angriffspfade | Automatisiertes Actionable Remediation Routing & Ticket-Erstellung |
| Balbix Inc. | Balbix Cyber Risk Quantification & Exposure Management | AI-driven Cyber Risk & Exposure Platform | Primär | API-Ingestion von 100+ IT-, Security-, Cloud- & EDR-Systemen | KI-Angriffspfad-Analyse basierend auf Schwachstellen, Rechten & Kontrollen | Automatisierte Ticket-Priorisierung in Jira & ServiceNow |
| Zafran Security | Zafran Risk & Mitigation Platform | Exposure Mitigation & Control Optimization | Primär | Ingestion aus Schwachstellen-Scannern, EASM, Cloud & EDR | Analyse, ob eine Schwachstelle durch bestehende Firewalls/EDR bereits geschützt ist | Automatische Rekonfiguration bestehender Security Controls (Mitigation) |
Was die Plattformen wirklich abdecken.
Tenable, Inc.
Tenable One Exposure Management Platform
Frühere Namen / Kontext: Tenable.io / Bit Discovery / Cymptom
Aggregation von IT, Cloud, OT, IoT, Identitäten & EASM
Tenable Exposure Score, VPR (Vulnerability Priority Rating), EPSS & KEV
Graph-basierte Attack Path Analysis (Cymptom Engine)
Integration in ServiceNow, Jira & SOAR-Systeme
Asset Criticality Rating (ACR) gekoppelt mit Business-Kontext
Konsolidierte Sicht über die gesamte hybride Angriffsfläche
Volle Mächtigkeit erfordert Lizenzierung mehrerer Tenable-Module
XM Cyber Ltd.
XM Cyber Continuous Exposure Management Platform
Frühere Namen / Kontext: CyberObserver / CyberRidge
Agentenlos via APIs zu Active Directory, AWS, Azure, EDR & Cloud
Risikobewertung basierend auf Erreichbarkeit kritischer Assets (Crown Jewels)
Kontinuierliche automatisierte Angriffs-Graph-Simulation (Attack Path Graph)
Fokus auf "Chokepoints" zur Behebung hunderter Angriffspfade mit wenigen Massnahmen
Crown Jewel Analysis & Kontextualisierung betriebskritischer Ziele
Einzigartiger Fokus auf kaskadierende Angriffspfade und Chokepoints
Führt selbst keine klassischen Schwachstellen-Scans aus (benötigt Ingestion)
Qualys, Inc.
Qualys Enterprise TruRisk Platform
Frühere Namen / Kontext: Qualys VMDR / TotalCloud / CyberSecurity Asset Management
Ingestion aus EASM, CAASM, Cloud-Sicherheits- & Network-Scannern
Qualys TruRisk Scoring unter Einbezug aktiver Exploits & Bedrohungslage
KI-gestützte Angriffsnetzwerk-Analyse & Exposure Validation
Integriertes Qualys Patch Management & ITSM-Routing
Business Criticality Mapping & automatisierte Asset-Risikogewichtung
Nahtloser Übergang von Exposure Identification bis zum Patching
Komplexes Konsolen-Interface bei Aktivierung aller Plattform-Module
Pentera Ltd.
Pentera Automated Security Validation Platform
Frühere Namen / Kontext: PCYSYS
Kontinuierliches agentenloses Discovery der internen & externen Angriffsfläche
Evidenzbasierte Priorisierung nach nachgewiesener Ausnutzbarkeit
Vollautomatisierte, gefahrlose Penetrationstests & Safe-Exploitation
Detaillierte Actionable Remediation Guides & Ticket-Schnittstellen
Nachweis echter Angriffsvektoren ohne theoretische Annahmen
Echte, evidenzbasierte Angriffs-Validierung ohne Fehlalarme
Kein generisches Schwachstellen-Inventar; reiner Fokus auf Ausnutzbarkeit
Cymulate Ltd.
Cymulate Exposure Management & Security Validation
Frühere Namen / Kontext: Cymulate BAS Platform
Discovery & Korrelation von Assets, Schwachstellen & Threat Feeds
Priorisierung nach bewiesener Ausnutzbarkeit & Business Impact
Agentic-AI-gestützte Breach & Attack Simulation (BAS) & Attack Paths
Mitigation Hub für automatisierte Updates von Security Controls
Kontextualisierung von Sicherheitseinstellungen mit realen Bedrohungen
Breites Spektrum aus BAS, Attack Path Mapping und Control Optimization
Tiefgehende Bereitstellung erfordert feingranulare Konfiguration der Simulationen
Palo Alto Networks, Inc.
Cortex Xpanse & Cortex Exposure Management
Frühere Namen / Kontext: Expanse / Qwiet AI
Agentenloses aktives Internet-Mapping (EASM) & Cloud Ingestion
KI-gestützte Exposure Prioritization basierend auf Exploitability & Feeds
Attack Surface Graph & automatisierte Angriffs-Verwendungsanalyse
Automatisierte Playbooks (Cortex XSOAR Integration) zur Bereinigung
Kontextualisierung bekannter & unbekannter Schatten-IT Assets
Führend in der ungestützten Entdeckung unbekannter Internet-Exposures
Hohe Kostenstruktur und Ausrichtung auf grosse Enterprise-Umgebungen
CrowdStrike Inc.
CrowdStrike Falcon Exposure Management
Frühere Namen / Kontext: Falcon Surface / Reposify
EDR-Agenten-Telemetrie, EASM (Falcon Surface) & Identity Ingestion
ExPRT Rating, EPSS, CISA KEV & Real-time Threat Intelligence
Analyse von Angriffsvektoren über Endpunkte, Identitäten & Cloud-Ressourcen
Real-Time Response (RTR) Orchestration & ITSM-Routing
Verknüpfung von Endpunkt-Aktivität mit externer Angriffsfläche
Keine zusätzlichen Scanner nötig für Umgebungen mit CrowdStrike Agenten
Externe EASM-Sicht erfordert Zusatzmodule zur vollen Netzabdeckung
Picus Security Inc.
Picus Security Validation & Exposure Management Platform
Frühere Namen / Kontext: Picus Complete Security Control Validation
Ingestion von Vuln Scannern, EASM & Cloud Security Tools
Reduzierung theoretischer Schwachstellen auf tatsächlich ausnutzbare Risiken
Continuous Threat Exposure Validation & Automated Breach Simulation
Actionable Prevention Mitigation Signatures für Firewalls, EDR & SIEM
Bewertung der Effektivität bestehender Sicherheitskontrollen
Generiert präzise Regelsätze/Signaturen für bestehende Abwehrsysteme
Setzt vorhandene Abwehrinfrastruktur (NGFW, EDR) zur Korrektur voraus
Rapid7 Inc.
Rapid7 Command Platform (inkl. Exposure Command)
Frühere Namen / Kontext: Surface Command / IntSights / InsightVM
Insight Agent, EASM, Cloud Ingestion & Multi-Source CAASM Feeds
Threat-informed Prioritisierung via RealRisk Score, EPSS & Attacker Feeds
Attack Surface Graph & Visualisierung interner/externer Pfade
Automatisierte Behebungsworkflows via Rapid7 InsightConnect (SOAR)
Verknüpfung von Asset-Eigentümern, Datenkritizität & Angriffsvektoren
Starke Konsolidierung interner (CAASM) und externer (EASM) Datenquellen
Voller Funktionsumfang erfordert Kombination mehrerer Rapid7 Cloud Modules
Microsoft Corporation
Microsoft Security Exposure Management
Frühere Namen / Kontext: Defender EASM / RiskIQ
Ingestion aus Microsoft Defender, Entra ID, Azure, EASM & Third-Party Tools
Security Exposure Score & KI-gestützte Bedrohungskontextualisierung
Attack Map Engine zur Visualisierung von Angriffswegen quer durch Identitäten & Cloud
Nahtlose Zuweisung an Microsoft Intune, Defender & Azure DevOps
Kontextualisierung von Critical Assets, Benutzeridentitäten & Datenklassen
Tiefe Integration in das Microsoft 365 / Azure Ökosystem ohne Aufpreis
Eingeschränkte Analyse für Nicht-Microsoft-Cloud-Infrastrukturen
IONIX Ltd.
IONIX External Exposure Management
Frühere Namen / Kontext: Cyberpioneer
Digital Footprint Scanning, EASM & Supply Chain Dependency Discovery
Evidence-backed Prioritization basierend auf aktiver Ausnutzbarkeit
Aktive, unterbrechungsfreie Validierung externer Angriffspfade
Automatisiertes Actionable Remediation Routing & Ticket-Erstellung
Erfassung der gesamten digitalen Lieferkette & Drittanbieter-Exposures
Hervorragende Abdeckung entfernter Schatten-IT & digitaler Lieferketten
Fokus primär auf externe und cloudseitige Angriffsflächen
Balbix Inc.
Balbix Cyber Risk Quantification & Exposure Management
Frühere Namen / Kontext: Balbix BreachControl
API-Ingestion von 100+ IT-, Security-, Cloud- & EDR-Systemen
KI-gestützter Balbix Risk Score mit monetärer Risikobewertung (CRQ)
KI-Angriffspfad-Analyse basierend auf Schwachstellen, Rechten & Kontrollen
Automatisierte Ticket-Priorisierung in Jira & ServiceNow
Detailliertes Business-Impact-Modeling & Asset-Kritizitätsbewertung
Verknüpft technisches Exposure Management mit monetärer Risikobewertung (CRQ)
Hohe Komplexität bei der initialen Kalibrierung des Finanzmodells
Zafran Security
Zafran Risk & Mitigation Platform
Frühere Namen / Kontext: Zafran
Ingestion aus Schwachstellen-Scannern, EASM, Cloud & EDR
Priorisierung basierend auf vorhandenen, kompensierenden Abwehrkontrollen
Analyse, ob eine Schwachstelle durch bestehende Firewalls/EDR bereits geschützt ist
Automatische Rekonfiguration bestehender Security Controls (Mitigation)
Ermittlung des "Net Exposure Status" nach Abzug vorhandener Schutzmassnahmen
Einzigartiger Fokus auf die Nutzung bestehender Werkzeuge zur Risikominimierung
Setzt funktionierende Schnittstellen zu bestehenden Sicherheitstools voraus
Nicht jede Validierung ist eine Plattform.
Einige Werkzeuge sind fachlich relevant, aber noch nicht ausreichend belegt, um sie als vollständige Exposure-Management-Plattform einzuordnen. Sie bleiben Kandidaten für eine spätere Vertiefung.
- Horizon3.ai (NodeZero)Autonome Penetrationstest- & Exposure-Validation-Plattform.
- Ridge Security (RidgeBot)Automated Penetration Testing & Exposure Validation Appliance.
- RedSealNetwork Infrastructure & Attack Path Analysis Tool.
- Seemplicity / Opus SecurityExposure Remediation Operations (RemOps) Plattformen.
Mit echten Wegen testen.
- Ein kritisches Ziel definieren und prüfen, welche Plattform den Weg dorthin sichtbar macht.
- Externe Oberfläche, Identitäten, Cloud und interne Assets gemeinsam bewerten.
- Nachweisen lassen, welche Findings wegen fehlender Erreichbarkeit zurückgestuft werden.
- Remediation nicht nur als Ticket, sondern als messbare Reduktion von Angriffspfaden prüfen.
- Bestehende Scanner, EDR, ITSM und Cloud-Daten als Integrationsprobe verwenden.
Security Tool Navigator · Gebiet 02
Im Gebiet Asset, Vulnerability und Exposure einordnen.
Diese Werkzeugklasse gehört zum Gebiet Asset, Vulnerability und Exposure. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.