Was der Score misst und was nicht
Der Security Score bewertet die von außen sichtbare Angriffsfläche Ihrer Domains. Gemeint ist alles, was auch ein Außenstehender ohne Zugangsdaten sehen kann: Ihre Website, Ihre Mailserver, Ihre DNS-Einträge und die Reputation Ihrer Adressen. Daraus ergeben sich die Kategorien Netzwerksicherheit, Anwendungssicherheit, DNS, IP-Reputation, E-Mail-Sicherheit und Datenlecks, jede mit einem eigenen Wert von 0 bis 100.
Das ist bewusst eine Außensicht. Angreifer beginnen dort, und viele Vorfälle gehen auf einfache Fehlkonfigurationen zurück: fehlende Sicherheits-Header, schwache E-Mail-Authentifizierung, veraltete Software auf einem vergessenen Server. Solche Funde sind oft schnell behoben, wenn man sie kennt.
Was der Score nicht misst, ist ebenso wichtig. Er sieht nicht, was hinter der Anmeldung liegt, wie Ihre Mitarbeitenden geschult sind oder ob Ihre Datensicherung funktioniert. Er ersetzt weder einen Penetrationstest noch ein Managementsystem. Eine gute Note bedeutet eine saubere Außensicht, nicht ein sicheres Unternehmen. Deshalb steht der Score in Sightadel neben dem Compliance-Fortschritt je Framework und nicht an dessen Stelle.
So arbeiten Sie die Probleme ab
Beginnen Sie mit den Problemen, die am meisten bewirken. Die Liste lässt sich nach Schweregrad filtern, und jedes Problem zeigt seine Auswirkung auf den Score. Kritische und hohe Funde kommen zuerst, danach die mittleren. Niedrige und informative Meldungen bearbeiten Sie, wenn Zeit ist, oder entscheiden bewusst, sie zu ignorieren.
Öffnen Sie jedes Problem in der Detailansicht. Dort stehen Beschreibung, Erkennungsdetails, betroffene Assets und ein Vorschlag zur Behebung. Prüfen Sie zuerst, ob das betroffene Asset noch Ihnen gehört und gebraucht wird. Manchmal ist die beste Behebung, einen alten Dienst abzuschalten.
Setzen Sie den Status auf „In Bearbeitung“, sobald jemand daran arbeitet. Bei größeren Änderungen legen Sie einen Maßnahmenplan mit Verantwortlichem und Frist an und verknüpfen ihn mit der passenden Kontrolle. Ist das Problem behoben, markieren Sie es entsprechend. Ein erneuter Scan bestätigt die Behebung, bevor das Problem geschlossen wird.
Ist ein Fund in Ihrem Fall gewollt, setzen Sie ihn auf „Ignoriert“ und begründen die Entscheidung. Das hält den Score ehrlich und die Entscheidung nachvollziehbar.
Den Score richtig kommunizieren
Ein Wert von 0 bis 100 und eine Note von A bis F sind für die Geschäftsleitung leichter zu verstehen als eine Liste mit Header-Namen. Nutzen Sie das, aber erklären Sie den Wert. Wichtiger als die Zahl selbst ist ihre Entwicklung. Der Verlauf über 7, 30, 60 und 90 Tage oder ein Jahr zeigt, ob sich die Lage verbessert.
Berichten Sie den Score zusammen mit den Kategorien. Ein guter Gesamtwert kann eine starke E-Mail-Sicherheit und eine schwache Anwendungssicherheit verdecken. Die Kategorien zeigen, wo das Problem liegt und wer zuständig ist: Webentwicklung, Mailbetrieb oder Netzwerk.
Setzen Sie den Score nicht als Ziel an sich. Wer nur auf die Zahl schaut, ist versucht, unbequeme Funde zu ignorieren. Sinnvoller ist ein Ziel wie dieses: Kritische und hohe Probleme bleiben nicht länger offen als ein festgelegter Zeitraum, den Sie in Ihrer Richtlinie bestimmen.
Nach außen zeigen Sie den Stand über das Trust Center. Das Sightadel-Siegel dort verlinkt auf Ihre Scorecard. Kunden sehen damit, dass Ihre Angaben aus einem gepflegten System stammen.
Was Auditoren daraus ablesen
Ein Auditor prüft beim Schwachstellenmanagement nicht, ob Sie keine Schwachstellen haben. Das hat niemand. Er prüft, ob Sie einen Prozess haben, um sie zu erkennen, zu bewerten und zu behandeln, und ob dieser Prozess gelebt wird.
Der Security Score liefert dafür Belege. Die Liste der Probleme zeigt, wann ein Fund zuerst und zuletzt erkannt wurde, welchen Status er hat und wie er sich auf den Score auswirkt. Ein Maßnahmenplan mit Verknüpfung zur Kontrolle zeigt, wie aus dem technischen Fund eine gesteuerte Maßnahme wurde. Der Verlauf des Scores zeigt die Wirkung über die Zeit.
Achten Sie auf Übereinstimmung mit Ihren Dokumenten. Beschreibt Ihre Richtlinie, dass kritische Schwachstellen innerhalb einer bestimmten Frist behoben werden, will der Auditor Beispiele dafür sehen. Ignorierte Funde ohne Begründung fallen ebenfalls auf.
Wichtig ist auch hier die Abgrenzung. Die Außensicht deckt nur einen Teil des Schwachstellenmanagements ab. Interne Systeme, Arbeitsplätze und Anwendungen hinter der Anmeldung brauchen eigene Prüfungen. Deren Ergebnisse legen Sie als Nachweis im Archiv ab.
