Schwachstellen und Pentest-Funde erfassen: CVSS-Wert, Frist und Zuständigkeit

Schwachstellenscans und Penetrationstests liefern Funde, die jemand beheben muss, und zwar rechtzeitig. Im Schwachstellen-Register tragen Sie jeden Fund mit seinem CVSS-Wert ein. knooing leitet daraus den Schweregrad und die Frist ab, bis zu der der Fund behoben sein muss. Sie ordnen jeden Fund einem Provider, einem Service und einer verantwortlichen Rolle zu. So sehen Sie und Ihre Prüfer jederzeit, was offen und was überfällig ist.

Diese Anleitung ist Teil 1 von 2. Julia Beispiel ist bei der Beispiel GmbH für die IT-Sicherheit zuständig. Der Penetrationstest für das dritte Quartal 2026 hat einen neuen Fund im Onlineshop ergeben. Julia trägt ihn ein und verschiebt bei einem älteren Fund die Frist mit Begründung. Wie ein Fund behoben und nachgeprüft wird, steht in Teil 2.

Die wichtigsten Begriffe

• Fund: eine gefundene Schwachstelle, etwa aus einem Scan oder einem Penetrationstest.
• Penetrationstest: ein beauftragter Angriffsversuch, der Schwachstellen aufdecken soll.
• CVSS-Wert: eine Zahl von 0 bis 10, die beschreibt, wie schwer eine Schwachstelle wiegt (Common Vulnerability Scoring System). Er steht in jedem Prüfbericht.
• CVE-ID: die öffentliche Kennung einer bekannten Schwachstelle, etwa CVE-2026-1234. Nicht jeder Fund hat eine.
• Schweregrad und Frist: knooing leitet beides aus dem CVSS-Wert ab. Es gilt: kritisch (9,0 bis 10): unverzüglich. hoch (7,0 bis 8,9) und mittel (4,0 bis 6,9): drei Monate. gering (unter 4,0): sechs Monate. Die Frist zählt ab dem Tag, an dem der Fund erfasst wurde.
• Re-Test: eine erneute Prüfung, ob die Schwachstelle wirklich behoben ist.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Das Schwachstellen-Register öffnen

Klicken Sie in der Seitenleiste unter Transformation & Sicherheit auf Schwachstellen-Register (1).

12i3

Danach sehen Sie oben zwei Zahlen: Offen / in Bearbeitung und überfällig (i). Darunter steht die Liste der Funde mit Titel, CVE, CVSS, Schweregrad, Betroffen, Provider, Service, Verantwortliche Rolle, Quelle, Frist, Status und Re-Test.

Warum ein Register? Funde aus verschiedenen Prüfungen landen sonst in E-Mails und Berichten. Hier sehen Sie alle an einer Stelle mit ihrer Frist.

Beispiel: Der Fund „Veraltete TLS-Konfiguration am Webserver“ aus dem Scan im Mai 2026 ist seit dem 2.8.2026 überfällig.

Schritt 2: Einen Fund erfassen

Klicken Sie rechts oben auf Fund erfassen (2). Es öffnet sich das Fenster Fund erfassen. Die Felder tragen keine Beschriftung, sondern einen grauen Platzhaltertext. Füllen Sie aus:

• Titel (1): eine kurze Beschreibung.
• CVE-ID (optional) und CVSS (0-10, Pflicht) (2): den CVSS-Wert aus dem Bericht, mit Punkt als Dezimalzeichen, etwa 7.5.
• Quelle (3): woher der Fund stammt, etwa der Name des Prüfberichts.
• Betroffenes Asset: was betroffen ist, als Text.
• Provider (optional) (4) und Service (optional): wer den betroffenen Teil betreibt und welcher Service betroffen ist.
• Verantwortliche Rolle: wer die Behebung steuert.

Klicken Sie auf Anlegen (5). Der Knopf ist erst aktiv, wenn Titel, CVSS-Wert und Quelle ausgefüllt sind.

12345

Danach schließt sich das Fenster, und der Fund steht in der Liste.

Warum Provider, Service und Rolle? Damit klar ist, wer die Schwachstelle beheben muss und welche Leistung betroffen ist.

Beispiel: Julia erfasst „Anmeldung ohne Sperre nach Fehlversuchen“ mit CVSS 7.5 aus dem „Pentest-Bericht Q3/2026“, betroffen ist das „Kundenkonto im Onlineshop“ der Muster IT-Service GmbH, verantwortlich das „Providerteam Onlineshop“.

Schritt 3: Schweregrad und Frist lesen

Lesen Sie die neue Zeile (i).

i

Danach sehen Sie:

• Schweregrad (i): aus dem CVSS-Wert abgeleitet, hier hoch.
• Frist: das Datum, bis zu dem der Fund behoben sein muss. Der Punkt davor ist eine Ampel: grün heißt ausreichend Zeit, gelb heißt fällig in den nächsten 14 Tagen, rot heißt überfällig. Ein kritischer Fund hat keine Karenzzeit; er ist sofort fällig.
• Status: offen, in Bearbeitung, behoben oder Risiko akzeptiert.
• Re-Test: ausstehend, bestanden oder fehlgeschlagen. Bei kritischen, hohen und mittleren Funden steht darunter „unabhängige Bestätigung erforderlich (kritisch/hoch/mittel)“. Wie das geht, zeigt Teil 2.

Ist ein offener Fund überfällig, prüft knooing das jeden Tag und benachrichtigt einmal je Fund alle Personen, die das Register bearbeiten dürfen. Die Benachrichtigung heißt Überfällige Schwachstellen; ob sie per E-Mail kommt, legt jede Person in ihren Benachrichtigungseinstellungen fest.

Warum die Ampel? So sehen Sie ohne Rechnen, wo es eng wird.

Beispiel: Der neue Fund ist hoch, die Frist endet am 15.1.2027, drei Monate nach dem Erfassen.

Schritt 4: Die Frist begründet anpassen

Manchmal lässt sich eine Frist nicht halten, etwa weil der Hersteller erst später liefert. Klicken Sie beim Fund rechts auf das Stift-Zeichen (3) im ersten Bild. Es öffnet sich das Fenster Provider, Service und Rolle bearbeiten. Tragen Sie unter dem Hinweis „Frist manuell anpassen“ das neue Datum ein (1) und darunter die Begründung (2). Klicken Sie auf Speichern (3).

123

Danach steht in der Spalte Frist das neue Datum und darunter „manuell angepasst“ mit Ihrem Namen (i). Die Ampel richtet sich nach dem neuen Datum. Im selben Fenster ändern Sie auch Provider, Service und verantwortliche Rolle.

i

Warum eine Begründung? Eine verschobene Frist ist eine Ausnahme. Prüfer wollen sehen, wer sie warum gewährt hat.

Beispiel: Julia setzt die Frist für die TLS-Konfiguration auf den 30.11.2026, weil der Hersteller die neue Version erst im November liefert.

Wenn etwas nicht klappt

• Anlegen lässt sich nicht klicken. Titel, CVSS-Wert oder Quelle fehlen.
• „cvssScore ist Pflicht (CVSS v3) und muss zwischen 0 und 10 liegen.“ Der CVSS-Wert fehlt oder liegt außerhalb von 0 bis 10. Nutzen Sie den Punkt als Dezimalzeichen.
• Speichern lässt sich nicht klicken. Sie haben ein neues Datum eingetragen, aber keine Begründung.
• „Eine manuelle Änderung der Frist erfordert eine dokumentierte Begründung (remediationDueAtOverrideReason).“ Die Begründung fehlt. Tragen Sie sie ein.
• Fund erfassen und die Zeichen fehlen. Ihrer Rolle fehlt die Stufe Bearbeiten in der Zeile Compliance & Risiko.
• „Das Register konnte nicht geladen werden.“ Laden Sie die Seite neu. Bleibt die Meldung, wenden Sie sich an Ihre Administration.