Reduzieren Sie Ihre Angriffsfläche mit Continuous Threat Exposure Management (CTEM)

Ihre Unternehmensumgebung wartet nicht einfach auf Ihren nächsten Scan.

Ressourcen tauchen auf. Cloud verlagern sich. KI-Agenten beginnen, systemübergreifend zu interagieren. Automatisierungsworkflows lösen Aktionen an Stellen aus, die von Sicherheitsteams möglicherweise nicht genau im Blick behalten werden. Nicht verwaltete Geräte laufen weiterhin außerhalb endpoint . Die alte Infrastruktur bleibt verbunden, weil das Unternehmen sie nun einmal noch benötigt.

Unterdessen vermittelt Ihnen Ihr Lagerbestand möglicherweise immer noch ein viel übersichtlicheres Bild.

Diese Diskrepanz zwischen dem, was dokumentiert ist, und dem, was tatsächlich geschieht, steht im Mittelpunkt des „State of Threat Exposure Management Report 2026“ Vectra AI , in dem aggregierte Beobachtungen aus anonymisierten Telemetriedaten untersucht werden, die von Vectra AI erfasst wurden.

Und die ersten Ergebnisse lassen sich kaum ignorieren: Bei allen analysierten Telemetriedaten wurden bei 100 % neu beobachtete Geräte festgestellt, und bei 98 % lag mindestens eine für Angreifer relevante Sicherheitslücke vor.

Ja, Ihre Umgebung befindet sich im Wandel. Die Frage ist, ob Ihr Programm zum Expositionsmanagement erkennen kann, wohin die Reise geht. Mein Kollege John Mancini erläutert in seinem Blogbeitrag„Expositionsmanagement funktioniert nicht mehr. Hier sind die Gründe und was sich ändern muss“, warum das alte Modell des Expositionsmanagements mit modernen Umgebungen nicht mehr Schritt halten kann.

Der Weg nach vorn beginnt mit einer einfachen Umstellung: Wir müssen aufhören, das Risikomanagement wie ein Zeugnis zu behandeln, und anfangen, es als operativen Prozess zu betrachten, der auf kontinuierlicher Überwachung basiert.

Schritt 1: Verschaffen Sie sich einen kontinuierlichen Überblick darüber, was gerade läuft

Der erste Schritt im modernen Angriffsflächenmanagement besteht darin, sich stärker an der Realität zu orientieren.

Das bedeutet, zu verstehen, was aktiv ist, was kommuniziert wird und was sich in der gesamten Umgebung verändert hat. Sicherheitsteams können damit beginnen, folgende Fragen zu stellen:  

• Welche neuen Vermögenswerte sind in letzter Zeit hinzugekommen?
• Welche Systeme werden nicht verwaltet?
• Welche Identitäten sind über menschliche Nutzer hinaus aktiv?
• Wo kommen KI-Agenten oder Automatisierungsabläufe zum Einsatz?
• Welche Systeme kommunizieren auf eine Weise, die nicht mit der vorgesehenen Funktionsweise Ihrer Umgebung übereinstimmt?

Dies bedeutet nicht, dass Teams ihre bestehenden Tools über Bord werfen müssen. Vielmehr geht es darum, das Gesamtbild kontinuierlich um operative Daten zu ergänzen, damit Teams ihre Annahmen mit dem tatsächlichen Verhalten in der gesamten Umgebung abgleichen können.  

Schritt 2: Vor der Priorisierung den Kontext berücksichtigen

Sobald die Teams erkennen können, was funktioniert, besteht der nächste Schritt darin, herauszufinden, worauf es ankommt.  

Genau an dieser Stelle geraten viele Programme zum Expositionsmanagement ins Stocken. Sie erstellen lange Listen mit Ergebnissen und verlangen dann von den ohnehin schon überlasteten Teams, diese Listen irgendwie in konkrete Maßnahmen umzusetzen.  

In der Praxis muss die Priorisierung im Kontext betrachtet werden.  

Ein risikobehafteter Zustand in einem isolierten System ist möglicherweise weniger gravierend als derselbe Zustand in einem System, das mit sensiblen Daten, privilegierten Zugriffsrechten oder kritischen Kommunikationswegen verbunden ist. Ein nicht verwaltetes Gerät gewinnt an Bedeutung, wenn es sich auf einem Pfad befindet, den Angreifer für laterale Bewegungen nutzen könnten. Ein Problem mit offengelegten Anmeldedaten wird dringlicher, wenn es eine Verbindung zu Systemen gibt, die für das Unternehmen von Bedeutung sind.  

Fragen Sie nicht: „Welche Schwachstellen gibt es?“, sondern: „Welche bekannten Angriffswege bieten Angreifern nennenswerte Angriffsmöglichkeiten?“ Das ist der Kontext, den Sicherheitsteams benötigen, um von reiner Routinearbeit zur Risikominderung überzugehen.

Schritt 3: Ergreifen Sie Maßnahmen, die das Risiko senken

Das Risikomanagement ist dann sinnvoll, wenn es zu Entscheidungen führt.  

Das bedeutet nicht, dass jedes Problem sofort behoben werden muss. Kein Team verfügt über die Zeit, das Budget oder das politische Kapital dafür. Es bedeutet vielmehr, dass Sicherheitsteams wissen müssen, welche Maßnahmen zuerst die größten Risiken mindern.  

Dazu können unter anderem die Entfernung unnötiger Zugriffsrechte, die Verschärfung der Segmentierung, die Behebung von Schwachstellen in Protokollen, die regelmäßige Änderung offengelegter Zugangsdaten, die Überprüfung nicht verwalteter Ressourcen oder die Zusammenarbeit mit Infrastrukturteams zur Schließung risikobehafteter Kommunikationswege gehören. Es geht darum, die Abhilfemaßnahmen betrieblich realisierbar zu gestalten.  

CISOs und Sicherheitsteams sollten in der Lage sein, sich an Gesprächen mit IT-, cloud, Identitäts- oder Infrastrukturteams zu beteiligen und zu erläutern, warum ein bestimmtes Problem von Bedeutung ist, in welchem Zusammenhang es steht und welche Maßnahmen das Risiko verringern würden. Das ist weitaus sinnvoller, als eine riesige Liste zu übergeben und darauf zu hoffen, dass jemand Zeit hat, sie zu entschlüsseln und anschließend entsprechende Maßnahmen zu ergreifen.  

Schritt 4: Überprüfen Sie, ob das Risiko behoben wurde

Nachdem Maßnahmen ergriffen wurden, benötigen die Teams eine Validierung der Sicherheitslücke, um zu bestätigen, dass die aufgedeckte Sicherheitslücke geschlossen wurde. Wurde die risikobehaftete Kommunikation unterbunden? Wurde das nicht verwaltete System erfasst? Hat sich der Zugriff geändert? Ist die Sicherheitslücke beseitigt worden oder besteht sie an anderer Stelle weiterhin?

So wird das Risikomanagement zu mehr als nur einem Dashboard. Es wird zu einem kontinuierlichen Kreislauf: beobachten --> priorisieren --> handeln --> überprüfen --> verbessern --> und wiederholen.

Kurz gesagt: Das Risikomanagement in die Praxis umsetzen

Sicherheitsteams benötigen eine Möglichkeit, das Exposuremanagement in ihrer bestehenden Umgebung effektiv umzusetzen. Dies beginnt mit einem kontinuierlichen Überblick über die laufenden Prozesse, dem Kontext, um zu verstehen, welche Bedingungen Angriffsmöglichkeiten schaffen, Maßnahmen, die mit tatsächlichen Abhilfemaßnahmen verbunden sind, sowie der Überprüfung, ob das Risiko tatsächlich gesenkt wurde.  

Vectra AIBericht zum Stand des Bedrohungsrisikomanagements 2026 befasst sich eingehend damit, welche Vectra AI aus den aggregierten Telemetriedaten Vectra AI und welche Rückschlüsse sich daraus für die zukünftige Ausrichtung des Exposures-Managements ergeben.  

Lesen Sie den vollständigen Bericht, um zu erfahren, was die Daten über moderne Sicherheitsrisiken und Angriffswege aussagen und warum eine kontinuierliche, evidenzbasierte Validierung zunehmend zum neuen Standard wird.