OS-Pakete
Debian/Ubuntu APT-Pakete · RPM-basierte Distributionen · Kernel-Versionen · Systemd-Services
CVE-Monitoring als Managed Service
Schwachstellenmanagement für Linux- und Cloud-Infrastrukturen: automatisierte Scans, priorisiertes Alerting und risikobasiertes Patch-Management. Betroffenheit, Entscheidungen und Maßnahmen werden nachvollziehbar dokumentiert.
- Critical · CVSS 9+
- High · CVSS 7+
- Medium · CVSS 4+
Laufender Betriebsbaustein
Was ist CVE Monitoring?
Jeden Tag werden neue Sicherheitslücken in Software entdeckt und als CVE (Common Vulnerabilities and Exposures) veröffentlicht. CVE Monitoring bedeutet: Ihre Systeme werden kontinuierlich gegen diese Datenbank abgeglichen.
Erkennen, bewerten und Maßnahmen verbindlich zuordnen
CVE-Monitoring wird als eigener Scope oder als Baustein eines Managed-Operations-Vertrags vereinbart. Systemzahl, Scanverfahren, Benachrichtigung und Patch-Verantwortung werden vor Betriebsstart festgelegt.
Mehr als der CVSS-Score
Wir identifizieren betroffene Pakete und bewerten neben dem CVSS-Score auch Exposition, Ausnutzbarkeit und vorhandene Schutzmaßnahmen. Daraus leiten wir die geeignete Patch- oder Eindämmungsmaßnahme ab.
Monitoring und Priorisierung
Betroffene Pakete und Komponenten werden gegen aktuelle CVE-Informationen geprüft. Exposition, Ausnutzbarkeit und vorhandene Schutzmaßnahmen bestimmen die Priorität.
Patchen nur im vereinbarten Scope
Alarme allein lösen keine Schwachstelle. Ob WZ-IT Updates plant und ausführt oder Ihr Team übernimmt, wird ausdrücklich dokumentiert - einschließlich Freigaben, Wartungsfenstern und Ausnahmen.
Unser Ansatz
Vier Schritte zur sicheren Infrastruktur
Vom automatisierten Scan bis zur dokumentierten Risikobewertung und Maßnahme - unser CVE-Prozess ist transparent und nachvollziehbar.
- 01
Laufender Inventarabgleich
Inventar & Exposition: Das Software-Inventar der betreuten Systeme wird laufend mit aktuellen CVE-Datenbanken abgeglichen. Aktive Prüfungen aus dem Netz übernimmt der Schwachstellenscan.
- 02
CVE-Alerting
Automatische Benachrichtigung: Automatische Benachrichtigung bei neuen CVEs, die Ihre eingesetzten Softwareversionen betreffen - priorisiert nach CVSS-Score.
- 03
Patch-Management
Risikobasiert & dokumentiert: Wir bewerten Betroffenheit, Ausnutzbarkeit, Exposition und vorhandene Schutzmaßnahmen. Das Service Level regelt die Reaktion, nicht pauschal die Fertigstellung eines Patches.
- 04
Compliance-Reporting
Dokumentation: Regelmäßige Berichte über den Sicherheitsstatus Ihrer Systeme - für Audits, ISO-Zertifizierungen und interne Compliance.
Scan-Umfang
Was wir scannen
Von Betriebssystem-Paketen bis Container-Images - wir decken alle Ebenen Ihrer Software-Infrastruktur ab.
Application Dependencies
npm / yarn Pakete · Python pip Dependencies · Go Modules · Java Maven/Gradle
Container-Images
Docker Image Layers · Base-Image CVEs · Registry Scanning · Runtime-Konfiguration
Netzwerk-Dienste
Offene Ports & Services · SSL/TLS-Konfiguration · Web-Server (Nginx, Apache) · Datenbank-Versionen
Der Prozess
Von der CVE zur Entscheidung
Täglich erscheinen neue Schwachstellen - die wenigsten betreffen Ihre Systeme, und noch weniger erfordern sofortiges Handeln. Der Wert liegt nicht im Sammeln der CVEs, sondern im Filtern und Bewerten.
- 01
Feed-Abgleich
Neue CVEs laufen täglich aus mehreren Quellen ein: NVD, Hersteller-Advisories und die Security-Tracker der Distributionen. Kein einzelner Feed ist vollständig - deshalb gleichen wir mehrere gegeneinander ab.
- 02
Relevanz-Filter
Jede CVE wird gegen Ihr Software-Inventar geprüft: eingesetzte Pakete, Versionen, Container-Images. Was bei Ihnen nicht läuft, erzeugt auch keinen Alarm - das hält das Rauschen niedrig.
- 03
Priorisierung
Der CVSS-Score allein reicht nicht. Wir bewerten zusätzlich Ausnutzbarkeit und Exponierung: Existiert ein öffentlicher Exploit? Ist der Dienst aus dem Internet erreichbar oder nur intern hinter VPN? Nicht jede 9.8 ist bei Ihnen kritisch - und manche 6.5 ist es sehr wohl.
- 04
Patch-Entscheidung
Am Ende steht eine dokumentierte Entscheidung: regulärer Patch im geeigneten Wartungsfenster, kompensierende Schutzmaßnahme oder bei akuter erheblicher Gefahr eine sofortige Eindämmung. Die konkrete Maßnahme richtet sich nach Risiko, Freigaben und technischem Scope.
Der Unterschied zum reinen Scanner: Ein Tool liefert Ihnen eine Liste mit hundert Findings. Wir liefern Ihnen die wenigen Entscheidungen, die diese Woche wirklich anstehen.
- Neue CVEsnach Relevanz gefiltert
- OpenSSLPatch im Wartungsfenster
- Webserveröffentlich erreichbar · sofort eindämmen
Betriebsmodell
Ein Alarm-Fluss für Sicherheit und Betrieb
CVE-Monitoring ist bei uns kein isoliertes Tool, sondern Teil eines abgestimmten Betriebsmodells: Schwachstellen- und Infrastrukturalarme folgen denselben dokumentierten Alarm- und Eskalationswegen. Die wiederkehrende menschliche Einordnung von Codeänderungen und Dependencies gehört zum AI Code Review Retainer; notwendige Codeänderungen und Releases zur Software-Wartung.
Service Levels
Reaktion nach Service Level, Maßnahmen nach Risiko
Das Service Level definiert, wann eine qualifizierte Reaktion erfolgt. Welche Schutz- oder Patch-Maßnahme sinnvoll ist, ergibt sich aus Betroffenheit, Ausnutzbarkeit, Exposition und technischem Scope.
| Service Level | Qualifizierte Reaktion | Servicezeit | Einordnung |
|---|---|---|---|
| Essential | Technische Erstreaktion auf P1 bis Ende des nächsten Arbeitstags | Mo-Fr 08:00-17:00 Uhr | Bewertung und reguläre Maßnahmen im geeigneten Wartungsfenster. |
| Business | P1 innerhalb von 4 Servicezeitstunden | Mo-Fr 08:00-18:00 Uhr | Schnellere qualifizierte Reaktion innerhalb der Servicezeit. |
| Production | P1 innerhalb von 60 Minuten | P1 rund um die Uhr | 24/7-P1-Reaktion für die ausdrücklich erfasste Kundenumgebung. |
| Critical | P1 innerhalb von 30 Minuten | P1 rund um die Uhr | Nur nach Readiness-Prüfung, Runbook- und Kapazitätsfreigabe. |
- Eine Reaktionszeit ist keine garantierte Behebungszeit. Allgemeine Schwachstellenmeldungen und nicht nachweislich ausgenutzte Sicherheitslücken sind nicht automatisch P1. Alle Service Levels vergleichen
Quellen
Werkzeuge & Feeds
Wir erfinden keine eigenen Schwachstellen-Daten - wir werten die etablierten Quellen aus und gleichen sie gegen Ihre Systeme ab.
NVD (National Vulnerability Database)
Die zentrale CVE-Datenbank des NIST mit CVSS-Bewertungen - unsere Basis für Abgleich und Scoring. nvd.nist.govHersteller-Advisories
Security-Announcements der eingesetzten Software - von Proxmox über Nextcloud bis PostgreSQL. Oft schneller und präziser als der zugehörige NVD-Eintrag.Distro-Security-Tracker
Debian Security Tracker und Ubuntu Security Notices zeigen, ob und in welcher Paketversion eine Lücke für Ihre Distribution behoben ist - entscheidend für die Patch-Entscheidung. Debian Tracker Ubuntu NoticesBSI CERT-Bund (WID)
Der Warn- und Informationsdienst des BSI bündelt und bewertet aktuelle Schwachstellen für den deutschen Raum - inklusive Einschätzung der Kritikalität. wid.cert-bund.de
Häufig gestellte Fragen
Antworten auf die wichtigsten Fragen
- CVE (Common Vulnerabilities and Exposures) ist ein standardisiertes Verzeichnis öffentlich bekannter Sicherheitslücken. Jede CVE hat eine eindeutige ID und einen CVSS-Score (0-10), der die Schwere der Lücke bewertet. Ungepatchte CVEs sind eines der häufigsten Einfallstore für Cyberangriffe.
- Scan-Ziele, Verfahren und Frequenz werden passend zu Inventar, Exposition und Last im Leistungsumfang festgelegt. Das gewählte Service Level regelt die Reaktionszeit auf qualifizierte Incidents, nicht automatisch den Scan-Rhythmus.
- Wir prüfen nicht nur den CVSS-Wert, sondern konkrete Betroffenheit, Exposition, bekannte Ausnutzung und vorhandene Schutzmaßnahmen. Bei akuter erheblicher Gefahr leiten wir erforderliche Eindämmungsmaßnahmen ein und informieren Sie schnellstmöglich. Eine allgemeine Schwachstellenmeldung ohne nachgewiesene Ausnutzung ist nicht automatisch ein P1-Incident. Das Service Level regelt die qualifizierte Reaktion, nicht eine pauschale Patch-Fertigstellungszeit.
- Ja. Wir liefern exportierbare Berichte im Format Ihrer Wahl (PDF, CSV), die für ISO 27001, BSI C5 und DSGVO-Audits geeignet sind. Die Berichte dokumentieren alle gefundenen Schwachstellen, deren Status und die durchgeführten Maßnahmen.
- Aus mehreren Quellen, die wir gegeneinander abgleichen: der NVD des NIST, den Security-Advisories der eingesetzten Hersteller, den Security-Trackern von Debian und Ubuntu sowie dem Warn- und Informationsdienst des BSI (CERT-Bund). Der Abgleich gegen Ihr Software-Inventar erfolgt über unsere Scans - so wird aus dem globalen Feed eine Liste, die nur Ihre Systeme betrifft.
- Nicht pauschal. Jede relevante CVE wird zuerst nach Betroffenheit, Ausnutzbarkeit, Exposition und vorhandenen Schutzmaßnahmen bewertet. Reguläre Updates erfolgen im nächsten geeigneten Wartungsfenster. Bei akuter erheblicher Gefahr können sofortige, möglichst reversible Schutzmaßnahmen erforderlich sein. Vor Umsetzung stehen eine dokumentierte Entscheidung und die vereinbarten Freigabe- und Handlungsgrenzen.
- Ein Zero-Day ist eine Lücke, für die noch kein Patch existiert - patchen ist dann keine Option. Stattdessen reduzieren wir die Angriffsfläche: Exponierung einschränken (Firewall, VPN), vom Hersteller empfohlene Workarounds umsetzen und das Monitoring auf die betroffenen Systeme schärfen. Sobald ein Fix verfügbar ist, wird er priorisiert eingespielt.
Wissen
Weiterführende Guides
Diese Services ergänzen Ihr Schwachstellen-Management.
Ergänzende Services
- Monitoring as a Service24/7-Infrastruktur-Monitoring ab 49,90 € je Server/Monat
- Linux-Server-BetreuungMonitoring, Wartung und vereinbarte Reaktion zusammenführen
- Security-AuditSicherheitslage Ihrer Infrastruktur unabhängig prüfen lassen
- SchwachstellenscanErreichbare Systeme aktiv mit OpenVAS prüfen, auch Geräte ohne Inventar
- Linux-Patch-ManagementRatgeber: Prozess, Fristen nach Kritikalität und Nachweis
Passende nächste Schritte
- Linux-Server-Betreuungab 149,90 € netto / Server und Monat · Bestehende Server mit Patching, Monitoring und Reaktion betreuen lassen.
- Monitoring Onlyab 49,90 € netto / Server und Monat · Monitoring erfolgt 24/7; unser Team prüft Alarme und benachrichtigt Ihr Team in der Servicezeit.
- Security-AuditAngriffsfläche, Fehlkonfigurationen und priorisierte Maßnahmen prüfen.
Praxisfälle zu aktuellen Schwachstellen
- UEFI-Lücke CVE-2026-97631 (EDK II, PXE): Sofortmaßnahmen für Hetzner-Server und eigene HardwareSeit dem 28. Oktober 2026 warnt Hetzner auf der Statusseite vor CVE-2026-97631, einer kritischen Lücke in der UEFI-Firmware EDK II (CVSS 9,5). Betroffen ist der...
- PHP-Update 8.5.12, 8.4.27, 8.3.36 und 8.2.35: CVE-2026-109618 und CVE-2026-109619 (PHP2Shell), betroffene Software und MaßnahmenPHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben zwei kritische Schwachstellen, die unangemeldete Codeausführung aus der Ferne ermöglichen können: CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 4.0 9,2,...
- Nextcloud Built-in CODE Server: Command Injection ohne Login (CVE-2026-110447), Update auf 26.4.303 oder App entfernenEine Nextcloud mit der App Collabora Online - Built-in CODE Server (richdocumentscode) in Version 26.4.302 oder älter lässt sich ohne Anmeldung zur Ausführung von Betriebssystembefehlen...
- CVSS 9.9, CVSS 10.0, 1.5 Mio. Server betroffen: Warum Unternehmen CVE-Monitoring brauchenDrei Zahlen aus den letzten vier Monaten: - CVSS 9.9 — Jellyfin: Path Traversal → Remote Code Execution als Root - CVSS 10.0 — n8n:...
Bewertungen & Projekte
Betrieb, der Kunden spürbar entlastet
Kundenstimmen zu Monitoring, Updates, Wartung, Support und stabilen produktiven Systemen.
Vernetzung & Provisioning
WZ-IT hat unsere Studio-Infrastruktur von dezentralen Einzelgeräten auf eine zentrale Plattform gehoben: Jeder Standort ist per VPN sicher angebunden, neue Geräte werden automatisiert onboardet und ein kompletter Standort wird per Vorlage provisioniert - ohne manuelle Schritte vor Ort. Was mich am meisten beeindruckt hat, ist die Breite und Tiefe des Wissens: Timo und Robin sind kein normaler IT-Dienstleister, der einen Server aufsetzt und wieder geht. Die beiden denken sich in hochkomplexe Infrastruktur- und Softwarethemen rein, arbeiten sich in jede Anforderung ein, die wir ihnen hinlegen, und bauen Vernetzung, Provisioning und Betrieb so auf, dass am Ende alles zusammenpasst. WZ-IT ist ein hervorragender Partner, wenn es um komplexe Software-, Netzwerk- und Architekturprojekte geht.
Steve KirchnerGeschäftsführer, nextGYM GmbH
International
Gebaut im Ruhrgebiet. Produktiv weltweit.
WZ-IT plant, entwickelt und betreibt Infrastruktur und Software für Kunden in Deutschland und international. Projekte setzen wir remote um und begleiten sie auch nach dem Go-live im laufenden Betrieb.
Ausgewählte Projekte
- LiveRemote-Access-Plattform für verteilte WasseraufbereitungsanlagenABCO Water Systems · Australien · Secure Access & OT
- 81%AWS-Migration mit deutlich geringeren laufenden KostenEVA Real Estate · VAE · Cloud-Exit & Infrastruktur
- 98%Neue Standorte in Minuten statt Stunden bereitstellennextGYM GmbH · Deutschland · Automatisierung & IoT
Kundenstimmen ansehen
Anfrage
Wie sollen Schwachstellen bearbeitet werden?
Wählen Sie den passenden Einstieg für Ihre Systemlandschaft.
- Direkt mit Timo und Robin - kein Vertrieb, kein Sales-Pitch
- Fachliche Einschätzung Ihrer Situation
- Konkrete nächste Schritte für Infrastruktur, Software oder KI
Das Gespräch ist unverbindlich und kostenlos.
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.
Jakob ÖschlbergerInno7 GmbH
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.