Nur 3 Prozent aller Schwachstellen sind wirklich kritisch

Tenable identifiziert im Rahmen seiner Studie „The Critical Few: How to Expose and Close the Threats that Matter“ die wichtigsten Schwachstellen in Unternehmen und gibt konkrete Handlungsempfehlungen zur Behebung potenziell businesskritischer Cyberbedrohungen. [...]

Security-Teams sind mit Unmengen fragmentierter Schwachstellen- und Threat-Intelligence-Daten konfrontiert. Tenable hat die Studie durchgeführt, um diese Teams dabei zu unterstützen, auf eine proaktive Cybersecurity-Strategie umzusatteln und sich auf die Behebung der kritischsten Bedrohungen zu konzentrieren.

In den vergangenen zwei Jahrzehnten hat Tenable rund 50 Billionen Datenpunkte zu mehr als 240.000 Schwachstellen gesammelt und analysiert. Aufsetzend auf diesen umfangreichen Datensatz hat Tenable eine Methodik entwickelt, die zeigt, dass in der Regel nur 3 Prozent dieser Schwachstellen zu folgenschweren Breaches führen.

Die Studie greift auf das VPR-Modell (Vulnerability Priority Rating) zurück, das Tenable entwickelt hat, um die aktuelle Bedrohungslandschaft abzubilden. Die VPR-Werte reichen von 0,1 bis 10, wobei höhere Werte auf eine höhere Wahrscheinlichkeit einer Ausnutzung hinweisen.

Priorisierung kritischer Schwachstellen

Schwachstellen mit einem VPR über 9,0 werden mit hoher Wahrscheinlichkeit ausgenutzt, wenn sie entdeckt werden – und sollten auf der Prioritätenliste ganz oben stehen. Schwachstellen mit einem VPR zwischen 7,0 und 8,9 stellen dagegen ein moderates Risiko dar, während Schwachstellen der Kategorien „Medium“ und „Low“ (0,1 bis 6,9) weniger wahrscheinlich ausgenutzt werden. Ein Beispiel: Von den fast 240.000 im Rahmen der Studie am 2. Juni 2024 analysierten Schwachstellen fielen nur 3,1 Prozent – weniger als 7.500 – in die Kategorien „Critical“ oder „High“.

„Ohne Kontext ist jede Schwachstelle, jeder Patch und jedes Update kritisch – und es wird fast unmöglich, alle Systeme up to date zu halten“, erklärt Roger Scheer, Regional Vice President Central Europe bei Tenable. „Exposure Management ist unerlässlich, wenn es darum geht, klar zu priorisieren, was wirklich ein Risiko für das Business darstellt. Alle Stakeholder müssen diese Risiken verstehen und diejenigen, die in einem Breach resultieren könnten, priorisiert adressieren. Indem sie sich auf die kritischsten Schwachstellen fokussieren, können Unternehmen ihre Security Posture stärken und Ressourcen effektiver einsetzen. Dabei ist entscheidend, dass die Unternehmensführung diesen Ansatz mitträgt und proaktive Maßnahmen ergreift, um kritische Assets zu schützen.“

Die Studie „The Critical Few: How to Expose and Close the Threats that Matter“ steht hier zum Download bereit.