VulnerabilityManagement.
Vulnerability Management ist nicht die Liste aller CVEs. Es verbindet Scanner, Asset-Kontext, aktive Ausnutzung, SLA-Steuerung und Behebung zu einer priorisierten Arbeitsliste, die IT und Security tatsächlich abarbeiten können.
Schwachstellen so bewerten, dass Behandlung möglich wird.
Die Anzahl neuer Schwachstellen ist zu hoch für manuelle Behandlung nach CVSS. Moderne Werkzeuge nutzen EPSS, CISA KEV, Threat Intelligence, Asset-Kritikalität, Exposure und Behebungsstatus. Scanner finden Schwachstellen. Aggregatoren deduplizieren und priorisieren. Orchestratoren machen daraus Behebungsarbeit.
Priorisierung vor Menge.
Die Matrix zeigt Datenaufnahme, Behebungsunterstützung und risikobasierte Bewertung. Eine Markierung bedeutet, dass die Fähigkeit in der gelieferten Quelle beschrieben wurde.
Stand: August 2026. Grundlage ist die vom Nutzer gelieferte Tabelle inklusive ergänzender Einordnung. Scanner, Aggregatoren und Remediation-Orchestratoren sind bewusst getrennt zu betrachten.
Tenable, Inc.
Tenable Vulnerability Management (Tenable One Platform)
Frühere Namen / Kontext: Tenable.io / Tenable.sc / Nessus
Nessus-Netzwerkscanner, Cloud Agents, Passive Network Monitors & API Connectors
Dynamische Risk Scores, Threat Intelligence, EPSS, CISA KEV & CVSS Integration. VPR (Vulnerability Priority Rating) gekoppelt mit Asset Criticality Rating (ACR)
Nachverfolgung von Remediation-SLAs & Time-to-Remediate Metriken. Tiefe Integration in ITSM (Jira, ServiceNow) für automatisierte Ticket-Erstellung
Vorkonfigurierte Audit-Templates für CIS Benchmarks, PCI-DSS & ISO 27001. Live Exposure Dashboards, Executive Reports & Trend-Analysen
Branchenführende Nessus-Scanning-Engine & breite CVE-Abdeckung
Hohe Komplexität und Lizenzkosten beim Ausbau zur vollen Tenable One Suite
Qualys, Inc.
Qualys VMDR (Vulnerability Management, Detection and Response)
Frühere Namen / Kontext: Qualys Guard / Global AssetView
Cloud Agents, Passive Network Sensors, Virtual Scanners & Cloud Connectors
Real-time Threat Intelligence, TruRisk™ Scoring, EPSS & CISA KEV Mapping. TruRisk-Algorithmus verbindet Asset-Business-Impact mit aktiver Ausnutzbarkeit
Automatisiertes SLA-Tracking und Fristenüberwachung für Behebungen. Integriertes Qualys Patch Management & Direktanbindung an ITSM-Tools
Integrierte PCI-Compliance, CIS Hardening & Regulatory Benchmarks. Einstellbare Real-time Dashboards, Executive Briefings & Custom Widgets
Durchgängige Kette von Erkennung bis direktem Patching über einheitlichen Agenten
Reporting-Interface bei sehr grossen Datenmengen gelegentlich verschachtelt
Rapid7 Inc.
Rapid7 InsightVM
Frühere Namen / Kontext: Nexpose
Insight Agent, Agentless Scanners, Cloud-Integrationen & API-Feeds
Real-time Threat Feeds, RealRisk Score, EPSS & Attacker-Exposure-Analyse. Dynamic Asset Groups mit kontextueller Risikogewichtung
Live Remediation Tracking & Vorhersage der Risiko-Reduktion. Automatisierte Behebungsworkflows über Rapid7 InsightConnect (SOAR) & Jira
Audit-Ready Reports für HIPAA, PCI-DSS, NERC CIP & ISO 27001. Anpassbare Live Dashboards für operative Teams & C-Level
Hohe Transparenz der echten Angreifer-Perspektive durch RealRisk Engine
Höherer Ressourcenverbrauch bei On-Premise Scannern im Breiteneinsatz
Greenbone AG
Greenbone Enterprise / OpenVAS
Frühere Namen / Kontext: OpenVAS / Greenbone Community Edition
Agentenlose Netzwerk-Scans via Greenbone OS (GOS) & Sensor-Appliances
Greenbone Enterprise Feed (200.000+ VVT-Tests), CVSS & Priorisierungs-Score. Risikobewertung basierend auf Netzwerksegmentierung & Asset-Kritizität
Fristen- & Aufgabenverfolgung für Schwachstellen-Behebung im Feed. Ticket-Export zu Request Tracker, Jira & Schnittstellen für ITIL-Prozesse
BSI IT-Grundschutz, ISO 27001 & NIS2 konforme Nachweisberichte. Integrierte Management-Oberfläche (GSA) & Export-Formate (PDF, XML)
Vollständige Souveränität & Open-Source-Transparenz (Made in Germany)
Kein nativer Endpunkt-Agent für entfernte Roaming-Clients integriert
Cisco Systems, Inc.
Cisco Vulnerability Management
Frühere Namen / Kontext: Kenna Security
Multi-Scanner Ingestion via 50+ APIs (Tenable, Qualys, OpenVAS, Cloud)
Kenna Risk Score, Machine Learning Exploitation Data, EPSS & KEV. Datengetriebenes Predictive Risk Model zur Ermittlung der echten Ausnutzbarkeit
Automatisierte SLA-Überwachung & Zieltermin-Eskalation. Direkte Ticket-Synchronisation mit Jira, ServiceNow & Remediation-Teams
Executive Audit Trail & Fortschrittsverfolgung für Risk-Reduction. Anschauliche Benchmark-Dashboards zur Messung der Team-Effizienz
Hervorragende Aggregation & ML-Priorisierung heterogener Scanner-Daten
Führt selbst keine primären Scans durch; erfordert vorgeschaltete Scanner
Microsoft Corporation
Microsoft Defender Vulnerability Management (MDVM)
Frühere Namen / Kontext: Threat & Vulnerability Management (TVM)
Native Verhaltens-Agenten (in Defender for Endpoint integriert) & Agentless Cloud
Continuous Real-time Assessment, Threat Analytics, EPSS & KEV Mapping. Expositionsscore (Exposure Score) kombiniert mit Geräterisiko & Kontext
Nachverfolgung von Remediation SLAs direkt in Microsoft Defender Security Center. Nahtlose Übergabe von Behebungsaufgaben an Microsoft Intune (Auto-Patch)
CIS Benchmarks, STIG & Microsoft Security Baselines Assessment. Integrierte Microsoft Security Copilot Dashboards & Threat Insights
Keine separaten Scans nötig, da kontinuierlich im OS-Kernel/Agent integriert
Hauptsächlich auf Windows/macOS/Linux/Android beschränkt, weniger Netzwerk-Hardware
CrowdStrike Inc.
CrowdStrike Falcon Exposure Management / Falcon Spotlight
Frühere Namen / Kontext: Falcon Spotlight
Agentenbasiert über den universellen CrowdStrike Falcon Single Agent
Real-time Exfiltration/Exploit Intelligence, ExPRT Rating, EPSS & KEV. Kombiniert Endpunkt-Telemetrie mit aktiver Angriffsflächen-Exposition
Automatisches SLA-Tracking für KRITIS- & Compliance-Vorgaben. Direct Remediation via CrowdStrike Real-Time Response (RTR) & ITSM
Continuous Assessment gegen CIS Benchmarks & Security Baselines. Real-time Falcon Console Dashboards & Security Operations Integration
Zero-Impact auf Systemressourcen durch Nutzung des vorhandenen EDR-Agenten
Reine Endpunkt- & Cloud-Sicht; erfordert Drittwerkzeuge für Drucker/Netzwerk
Nucleus Security
Nucleus Vulnerability Management Platform
Frühere Namen / Kontext: Nucleus
API-Ingestion von über 100+ Scannern (Network, App, Cloud, Container)
Dynamic Risk Engine, EPSS, CISA KEV, Mandiant Threat Intelligence. Zusammenführung von Schwachstellendaten mit Business-Asset-Gruppen
Vollautomatisierte SLA-Logik mit bedingten Eskalationen. Bidirektionale Automatisierung mit Jira, ServiceNow, Azure DevOps & Slack
Detaillierte Compliance-Reports und Lückenanalysen über alle Scans. Anpassbare Executive Analytics & Operational Work-Kanban
Extreme Zeitersparnis durch Konsolidierung & Deduplizierung diverser Scans
Benötigt bestehende Scanner-Infrastruktur als Datenlieferanten
Vulcan Cyber
Vulcan Cyber Risk & Exposure Management
Frühere Namen / Kontext: Vulcan Cyber
API-Ingestion von Infrastructure-, Cloud-, Code- & AppSec-Scannern
Vulcan Vulnerability Priority Rating (VPR), EPSS & Threat Feeds. Asset-Contextualization unter Berücksichtigung von Cloud- & Pipeline-Daten
Automatisierte SLA-Überwachung & Ticket-Routing nach Verantwortlichkeit. Playbook-gestützte Behebung orchestration (Skripte, Ansible, Patching, Jira)
Revisionssichere Belegführung über behobene und geminderte Risiken. Executive Risk Dashboards & Team Remediation Velocity Metrics
Starker Fokus auf den tatsächlichen Behebungsprozess (Fixing) statt nur Reporting
Erfordert erhebliche Prozessabstimmung zwischen Security und IT-Ops
Vicarius Ltd.
Vicarius vRx
Frühere Namen / Kontext: TOPIA
Leichtgewichtiger vRx Agent & Agentless Network Discovery Engine
x360 Risk Model, EPSS, Real-time Threat Feeds & Community-Analysen. Kontextuelle Bewertung nach Anwendungs-Kritizität & Netzwerk-Exposition
Fristenüberwachung für Patches und risikokompensierende Massnahmen. Integriertes Multi-OS Patching & "Patchless Protection" (In-Memory Protection)
Vorkonfigurierte Berichte für ISO 27001, SOC 2 & HIPAA Readiness. Anschauliche Widgets zur Darstellung von ungepatchten Sicherheitslücken
Alleinstellungsmerkmal durch virales Virtual Patching ("Patchless Protection")
Bei sehr grossen Enterprise-Netzen weniger etabliert als Tenable/Qualys
Brinqa Inc.
Brinqa Cyber Risk Platform
Frühere Namen / Kontext: Brinqa
API-Konnektoren zu 100+ Security-, ITAM-, Cloud- & CI/CD-Systemen
Brinqa Risk Graph Engine, EPSS, Threat Intelligence Mapping. Graph-basierter Cyber Risk Graph verknüpft Assets, Vulnerabilities & Controls
Hochkonfigurierbares SLA-Management mit dynamischen Prioritäten. Automatisierte Ticket-Verteilung an ITIL- und Entwickler-Systeme
Durchgängiges Reporting für Aufsichtsräte, Auditoren & CISOs. Konfigurierbare CISO-Dashboards & Business Unit Risk Views
Hochflexibles Graph-Datenmodell zur Abbildung komplexer Unternehmensstrukturen
Hoher Aufwand bei Ersteinrichtung und Definition des Risikomodells
OWASP / Community
OWASP DefectDojo
Frühere Namen / Kontext: DefectDojo
Import von 120+ Scanner-Formaten (SAST, DAST, Container, Network via API/CLI)
CVSS-Scoring, CWE-Klassifizierung, De-duplizierung & EPSS-Integration. Zuordnung von Schwachstellen zu spezifischen Produkten und Repositorys
Verfolgung von SLAs pro Produkt und Entwickler-Team. Nahtlose Pipeline-Integration mit GitHub Actions, GitLab CI & Jira
Erfassung von Audit-Trails und Compliance-Mapping für DevSecOps. Integrierte Metrik-Dashboards für Findings, Trends & Close-Rates
Kostenfreie, hochgradig anpassbare Open-Source-Plattform für Entwicklerteams
Keine eigenen aktiven Scanner enthalten; hohes Eigenengagement beim Betrieb
Holm Security AB
Holm Security Vulnerability Management Platform
Frühere Namen / Kontext: Holm Security
Network Scanners, Cloud Agents, Web Application & Email Scanners
Holm Risk Score, CVSS v3/v4, Ausnutzbarkeits-Rating & Threat Feeds. Verknüpfung von technischer Infrastruktur mit Human-Risk (Awareness)
Verfolgung von Behebungsfristen und Verantwortlichkeiten. Ticket-Exporte und Schnittstellen zu Jira, ServiceNow & Webhooks
Compliance-Vorlagen für DSGVO, NIS2, ISO 27001 & CIS. Benutzeroberfläche mit dedizierten Ansichten für IT, Security & Management
Kombiniert technische Schwachstellen-Scans mit Human Risk Management (Phishing)
Weniger spezialisierte Tiefe in reinen OT/SCADA-Industrienumgebungen
SentinelOne Inc.
SentinelOne Singularity Vulnerability Management
Frühere Namen / Kontext: Singularity Ranger / Vulnerability Engine
Kombination aus Singularity EDR-Agent & passivem Ranger Network Discovery
Continuous Threat Intelligence, EPSS & KEV Mapping. Kontextualisierung von Schwachstellen mit aktiven Angriffsversuchen
Fristenüberwachung direkt im Security Operations Console Workflow. Behebung über Remote Script Orchestration (Singularity Marketplace)
Vorbereitete Berichte für Regulatory Audits & Endpoint-Compliance. Integrierte Singularity Analytics Dashboards & XDR Data Lake
Keine Scans notwendig; unmittelbare Sichtbarkeit ohne zusätzlichen Netzwerk-Impact
Spezialisiert auf Endpunkte und erfasste Subnetze; kein dediziertes DAST/SAST
Weitere Kandidaten
ConnectSecure, Intruder.io und Secunet Vulnerability Assessment Solutions wurden als relevante Kandidaten mit noch unvollständiger Informationslage genannt.
Für eine belastbare STOP.LI-Matrix fehlen noch ausreichend belegte Angaben zur eigenständigen Vulnerability-Management-Klassifizierung, zu Priorisierung, SLA-Steuerung, Remediation und Audit-Nachweisen.
Mit echten Rückständen testen.
Ein Pilot braucht reale CVEs, Altlasten und Betriebskonflikte. Entscheidend ist nicht, ob das Werkzeug mehr Findings zeigt. Entscheidend ist, ob es eine bessere Reihenfolge erzeugt, Owner findet, Ausnahmen dokumentiert und Behebung nachvollziehbar macht.
- CVE, CVSS, EPSS und KEV getrennt sichtbar machen
- Asset-Kritikalität und Exposure in die Priorisierung aufnehmen
- SLA, Owner und Ausnahmeprozess mit echten Tickets testen
- Scanner-Duplikate und falsch positive Findings behandeln
- Auditfähige Nachweise für behobene und akzeptierte Risiken erzeugen
Security Tool Navigator · Gebiet 02
Im Gebiet Asset, Vulnerability und Exposure einordnen.
Diese Werkzeugklasse gehört zum Gebiet Asset, Vulnerability und Exposure. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.