Industrial VulnerabilityManagement.
Industrial Vulnerability Management verbindet bekannte Schwachstellen mit Anlagenbestand, Firmware, Prozesskritikalität, Exploit-Lage und realistischen Wartungsfenstern. Die Behandlung muss Safety und Verfügbarkeit vor unkontrollierter Patch-Geschwindigkeit setzen.
Marktbild: OT-Spezialisten liefern Asset- und Protokollkontext, klassische VM-Plattformen liefern breite CVE- und Priorisierungsdaten. Der sinnvolle Betrieb verbindet beide, statt Produktionsanlagen wie Standard-Clients zu scannen.
Den Betrieb
vorbereiten.
Für ICS-, SCADA- und IIoT-Umgebungen mit langen Lebenszyklen, restriktiven Wartungsfenstern und hohen Safety-Anforderungen.
Eine hohe CVSS-Bewertung allein begründet keinen Produktionsstopp. Wenn kein Patch möglich ist, braucht es dokumentierte kompensierende Massnahmen, Owner und einen erneuten Entscheid.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| Tenable · Tenable One OT Exposure | OT Asset und Risk-based VM | Konvergierte IT/OT-Umgebungen | Passiv oder sichere Abfrage je Asset |
| Claroty · xDome | OT Exposure Management | Industrie und CPS | Assetdaten, Firmware- und Vulnerability-Coverage |
| Nozomi Networks · Vantage | OT/IoT Risk Management | Verteilte OT-Standorte | CVE-Kontext und Wartungsprozess |
| Dragos · Dragos Platform | OT Asset- und Vulnerability Context | Kritische Infrastruktur | Verbindung zu Maintenance und Engineering |
| Microsoft · Defender for IoT | OT Vulnerability Insights | Azure/Microsoft Security | OT-Asset-Tiefe und externe Wissensquellen |
| Forescout · eyeInspect | OT Device Intelligence | Netzwerknahe OT-Sicht | CVE-Qualität und Prozessintegration |
| Armis · Armis Centrix | Asset Intelligence und Exposure | OT/IoT und vernetzte Assets | Aktualität von Firmware-Attribution |
| Tenable · Tenable One Vulnerability Management | CVE Priorisierung | IT/OT-Reporting und Risk Owner | Nur mit OT-Kontext als Entscheidungsbasis |
| Qualys · Qualys VMDR | VM und Asset Inventory | IT-nahe OT-Managementzonen | Aktive Scans nur mit Freigabe |
| Rapid7 · InsightVM | Vulnerability Management | IT- und Managementnetz-Umgebungen | Keine unkontrollierte Nutzung an Steuerungen |
Erst Bestand,
dann Entscheid.
- Bestand passiv aufbauen: Hersteller, Modell, Firmware und Standort je Anlage. Aktive Abfragen nur nach Freigabe des Anlagenverantwortlichen und zuerst an Test- oder Referenzsystemen.
- Meldungen der Hersteller und Behörden mit dem Bestand abgleichen und nach Erreichbarkeit, Prozessrelevanz und Safety-Folgen bewerten. CVSS ist nur ein Eingang.
- Pro Schwachstelle eine der vier Behandlungen wählen: Patch, Konfigurationsänderung, Segmentierung oder dokumentierte Akzeptanz. Jede erhält Owner und Wiedervorlage.
- Patches mit dem Hersteller freigeben, im Wartungsfenster einspielen und danach Funktion, Safety und Security gemeinsam prüfen.
- Anteil der Anlagen mit bekannter Firmware-Version
- Anzahl ausnutzbarer Schwachstellen in erreichbaren Zonen ohne Behandlungsentscheid
- Anzahl akzeptierter Risiken mit abgelaufener Wiedervorlage
Der Anlagenverantwortliche entscheidet über Eingriffe und Wartungsfenster; die OT-Security bewertet und priorisiert. Der Hersteller gibt Patches frei, das Risikomanagement trägt akzeptierte Restrisiken.
IEC TR 62443-2-3 beschreibt das Patch-Management in Automatisierungsumgebungen. ISO/IEC 27001:2022 Annex A 8.8 (technische Schwachstellen) und 8.32 (Änderungssteuerung) stützen den Prozess.
NIS2 Art. 21 Abs. 2 lit. e nennt den Umgang mit Schwachstellen; DORA Art. 9 Abs. 4 lit. f verlangt von Finanzunternehmen dokumentierte Richtlinien für Patches und Updates.
Nicht jede Schwachstelle muss sofort gepatcht werden, und nichts zu tun ist keine Behandlung. Ein bewusst dokumentierter Aufschub mit Schutzmassnahme und Wiedervorlage ist zulässig; ein unbekannter Stand nicht.
Nachweis statt
Versprechen.
- Asset, Firmware, Prozesskritikalität, Wartungsfenster und Asset Owner vor jeder Behandlung nachvollziehbar machen.
- Patch, Konfigurationsänderung, Segmentierung oder kontrollierte Akzeptanz als getrennte Behandlungsoptionen dokumentieren.
- Nach Änderung Funktion, Safety und Security-Nachweis gemeinsam prüfen.
Vulnerability Management · OT Asset Discovery · Patch Management
Produktfunktionen sind Herstellerangaben. Ob die Plattform in der eigenen Umgebung wirkt, zeigt erst ein kontrollierter Test mit den relevanten Services, Daten, Rollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 13
Im Gebiet OT, IoT und Cyber-Physical Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet OT, IoT und Cyber-Physical Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.