Die Reifegrad-Treppe: Welche Sicherheitsüberprüfung passt zu eurem Reifegrad?

In Teil 2 habe ich die Landkarte der Sicherheitsüberprüfungen gezeichnet: welche Prüfart welche Frage beantwortet. Was dort noch fehlte, war die zweite Dimension – und die ist mindestens so wichtig wie die erste: euer Reifegrad.

Denn dieselbe Prüfung, die für das eine Unternehmen genau richtig ist, ist für das andere rausgeworfenes Geld. Nicht, weil die Prüfung schlecht wäre – sondern weil sie zwei Stufen zu hoch ansetzt. Und eine Prüfung, die zu hoch ansetzt, findet am Ende nur das, was eine Stufe darunter viel günstiger sichtbar geworden wäre.

Reifegrad ist keine Technik-Frage

Der wichtigste Punkt zuerst, weil er am häufigsten missverstanden wird: Reifegrad bedeutet nicht, wie viele Sicherheitswerkzeuge ihr im Einsatz habt. Er bedeutet, wie verlässlich eure Prozesse laufen.

Ein Unternehmen mit teurem Schwachstellenscanner, das die Ergebnisse nie abarbeitet, ist nicht reifer als eines ohne – es hat nur mehr ignorierte Reports. Reife zeigt sich nicht am Werkzeugkasten, sondern daran, ob aus Erkenntnissen verlässlich Handlungen werden. Genau deshalb ist die Treppe organisatorisch aufgebaut, und nicht technisch.

Die Treppe

Stellt euch die folgenden Stufen vor. Jede setzt die darunterliegende voraus – wer eine überspringt, steht auf wackeligem Grund.

Stufe 1: Grundhygiene und Überblick

Bevor irgendetwas geprüft wird, braucht es die Grundlagen: Wisst ihr überhaupt, welche Systeme ihr habt? Gibt es ein funktionierendes Patch-Management? Sind Standardpasswörter geändert, Admin-Rechte begrenzt, Backups vorhanden und getestet?

Drei Dinge helfen auf dieser Stufe: Ein Threat Modeling macht Systeme, Datenflüsse und relevante Bedrohungen systematisch sichtbar – die Grundlage, um alles Weitere gezielt zu planen. Eine Gap-Analyse zeigt, wo ihr gegenüber einer Security-Baseline steht. Und die Umsetzung dieser Baseline ist der eigentliche Kern der Stufe.

Denn ansonsten gilt hier: Ihr braucht keine Prüfung, sondern Aufräumen. Wenn hier grundlegende Dinge fehlen, wird jede Prüfung nur bestätigen, was ihr auch ohne sie schon ahnt – zu einem Vielfachen des Preises.

Stufe 2: Wissen, wo die Lücken liegen

Stehen die Grundlagen, geht es darum, systematisch sichtbar zu machen, wo potenzielle Schwachstellen liegen. Hier sind Schwachstellenscan und Vulnerability Assessment die Werkzeuge der Wahl – ergänzt um Attack Surface Management für den Blick von außen.

Entscheidend ist nicht der Scan selbst, sondern was danach passiert: Werden die Funde priorisiert und abgearbeitet? Ein Unternehmen erreicht diese Stufe nicht dadurch, dass es scannt, sondern dadurch, dass es aus den Scans verlässlich Maßnahmen ableitet.

Stufe 3: Die Tiefe prüfen

Erst wenn die bekannten Lücken systematisch geschlossen werden, lohnt sich der Blick in die Tiefe: Was kann ein Angreifer erreichen, das ein automatisierter Scan nicht zeigt? Das ist das Feld von Penetrationstest und Source Code Review.

Hier zahlt sich die Vorarbeit aus. Ein Pentester, der sich nicht durch triviale, längst bekannte Lücken wühlen muss, findet die wirklich interessanten Angriffspfade – Logikfehler, Verkettungen, Rechteausweitungen. Genau das, wofür ein Pentest da ist.

Stufe 4: Die Verteidigung als Ganzes testen

Ganz oben steht die Frage, ob eure Verteidigung als System funktioniert: Würdet ihr einen echten Angriff bemerken und darauf reagieren? Das prüfen Red Teaming und – kollaborativ – Purple Teaming.

Diese Stufe setzt voraus, dass die darunter stehen. Ein Red Teaming gegen ein Unternehmen ohne funktionierendes Patch- und Schwachstellenmanagement testet nicht eure Erkennung – es findet einfach den nächsten offenen Drucker. Die Drucker-Anekdote aus Teil 1 lässt grüßen: Das Red Team fand dort den einfachsten Weg, weil das Netz voller trivialer Lücken war. Seine eigentliche Stärke – Erkennung und Reaktion unter realistischem Druck zu testen – kam gar nicht zum Zug.

Warum das Überspringen so teuer ist

Die häufigste teure Fehlentscheidung ist der Sprung von Stufe 1 direkt auf Stufe 3 oder 4. Der Reiz ist verständlich: Ein Red Teaming klingt beeindruckender als ein Schwachstellenscan, und ein Pentest wirkt gründlicher als „erstmal aufräumen".

Nur: Eine Prüfung, die zu hoch ansetzt, liefert kein besseres Ergebnis – sie liefert ein teureres. Sie findet dieselben grundlegenden Probleme, die eine Stufe darunter für einen Bruchteil sichtbar geworden wären, und verbraucht das Budget, das eigentlich für deren Behebung gebraucht würde. Am Ende habt ihr einen dicken Bericht und dasselbe ungelöste Grundproblem.

Das AD-Assessment aus Teil 1 ist genau dieser Fall: Die Erkenntnis „hier wurde nie gehärtet" hätte keine tiefe Prüfung gebraucht. Sie stand schon fest, bevor das eigentliche Assessment begann.

Woran ihr erkennt, wo ihr steht

Ein paar ehrliche Fragen helfen bei der Einordnung – und die Antworten sind oft unbequem:

• Habt ihr eine aktuelle, vollständige Übersicht eurer Systeme und extern erreichbaren Dienste?
• Habt ihr eine Security-Baseline definiert – und setzt ihr diese um?
• Werden bekannte Schwachstellen innerhalb einer definierten Frist geschlossen – oder sammeln sie sich in einem Report?
• Wisst ihr, wer im Ernstfall was tut, und habt ihr das schon einmal geprobt?
• Würdet ihr einen Angriff überhaupt bemerken?

Wer bei den ersten Fragen zögert, steht weiter unten auf der Treppe – egal, wie viele Security-Tools im Einsatz sind. Und das ist keine schlechte Nachricht – es ist die günstigste Erkenntnis, die ihr haben könnt, bevor ihr Budget in die falsche Prüfung steckt.

Die richtige Stufe schlägt die höchste Stufe

Der Reifegrad-Gedanke ist im Kern ein Versprechen: Die wirksamste Prüfung ist nicht die beeindruckendste, sondern die, die zu eurem tatsächlichen Stand passt. Sie baut auf dem auf, was ihr schon habt, und bringt euch eine Stufe weiter – statt euch teuer zu bestätigen, dass ihr die unterste Stufe übersprungen habt.

Genau bei dieser Einordnung unterstütze ich Unternehmen: herauszufinden, wo ihr steht, welche Prüfung euch wirklich weiterbringt und in welcher Reihenfolge – ob im Rahmen des SSDLC oder in der Security-Beratung zur Erhöhung eurer Resilienz. Oft ist der günstigste erste Schritt der wertvollste.

Nächste Woche folgt der Abschluss der Serie, Teil 4: Regulatorik und Motivation – was NIS2, CRA und DORA wirklich verlangen und warum Compliance das Minimum ist, nicht das Ziel.