Blog
Ein CTEM-Reifegradmodell, das Sie tatsächlich nutzen können
Reifegradmodelle haben einen schlechten Ruf, und größtenteils zu Recht. Das typische Modell ist ein Raster mit fünf Spalten, in dem jede Zelle „ad hoc“, „wiederholbar“ oder „optimiert“ sagt und niemand erkennen kann, in welcher Spalte er sich befindet. Dieses hier ist andersherum gebaut: Jeder Reifegrad ist durch Belege definiert, die Sie einem Prüfer vorlegen könnten, nicht durch Adjektive.
Es verwendet dieselben fünf Reifegrade wie unsere Selbstbewertung: Initial, Im Aufbau, Definiert, Gesteuert und Optimiert. Die Selbstbewertung vergibt bis zu 100 Punkte und ordnet Sie einem Punktebereich zu. Dieser Beitrag ist die Langfassung dessen, was diese Punktebereiche bedeuten.
Die fünf Reifegrade
| Reifegrad | In einem Satz | Belege, auf die Sie verweisen können |
|---|---|---|
| 1. Initial | Es wird gescannt; die Arbeit an Exposures ist reaktiv und scannergetrieben. | Scanberichte. Kein Scope-Dokument. Keine Verantwortlichen für die Behebung außerhalb der Sicherheit. |
| 2. Im Aufbau | Die Bausteine existieren, greifen aber nicht ineinander. | Ein Scope-Entwurf, ein unvollständiges Inventar, eine Rangliste, die noch überwiegend auf CVSS beruht. |
| 3. Definiert | Ein wiederholbarer Zyklus läuft nach Zeitplan mit definiertem Scope. | Von den Fachverantwortlichen unterzeichnete Scope-Festlegung. Zykluskalender. Tickets mit Verantwortlichen. |
| 4. Gesteuert | Prioritäten werden validiert, und die Behebung wird gemessen. | Validierungsergebnisse, die Prioritäten verändert haben. Mediane Behebungszeit je Klasse. |
| 5. Optimiert | Der Zyklus läuft kontinuierlich, wird gemessen und weitet sich aus. | Abdeckung des Scopes im Quartalsverlauf. Routinepfade automatisiert. Sinkende Zykluszeit. |
Die Grenzen der Punktebereiche in der Selbstbewertung liegen bei 0 bis 20, 21 bis 40, 41 bis 60, 61 bis 80 und 81 bis 100. Sie sind bewusst grob gehalten. Entscheidend ist die Spalte mit den Belegen, und ein Programm kann in einer Phase Gesteuert und in einer anderen noch Initial sein. Diese Ungleichmäßigkeit ist normal, und sie ist das Nützlichste, was das Modell Ihnen zeigt.
Scoping, Reifegrad für Reifegrad
Bei Initial ist der Scope das, was der Scanner erreicht. Auf die Frage „Was gehört zum Scope des Exposure-Managements?“ lautet die ehrliche Antwort: „die Hosts mit einem Agenten“.
Im Aufbau gibt es einen schriftlichen Scope, meist von der Sicherheit ohne Beteiligung der Fachbereiche entworfen. Er führt Systeme auf, keine Prozesse.
Definiert ist der erste echte Schritt: eine einseitige Scope-Festlegung, die Systeme, Umgebungen und Geschäftsprozesse benennt, von den Fachverantwortlichen freigegeben ist und nach Zeitplan überprüft wird. Externe Angriffsfläche, SaaS, Identitäten und Zugriffe Dritter sind jeweils ausdrücklich enthalten oder ausgeschlossen, mit einer Begründung für jeden Ausschluss.
Gesteuert ergänzt eine geschäftliche Rangfolge der kritischen Prozesse, die die Priorisierung bestimmt, und Scope-Änderungen werden durch Ereignisse ausgelöst (eine neue Integration, eine Übernahme, ein stillgelegtes System) statt nur durch die quartalsweise Überprüfung.
Optimiert bedeutet, dass der Scope in Angriffsszenarien oder Geschäftsprojekten ausgedrückt wird, was Gartners eigene Beschreibung von CTEM verlangt (Gartner, Oktober 2023), und dass jeder Zyklus den Scope um einen geplanten Schritt erweitert.
Discovery, Reifegrad für Reifegrad
Bei Initial besteht die Discovery aus einem Scanner und dessen Abdeckung. Unbekannte Assets bleiben unbekannt.
Im Aufbau gibt es zwei oder mehr Quellen (Scanner, Cloud-Anbieter, EDR, CMDB), aber sie werden nicht abgeglichen. Dasselbe Asset erscheint dreimal unter drei Namen, und Assets, die nur eine Quelle sieht, werden nicht markiert.
Definiert gleicht die Quellen monatlich ab und verfolgt die Zahl der Assets, die eine Quelle sieht, eine andere aber nicht. Die Discovery erfasst Fehlkonfigurationen und Identitätsschwächen, nicht nur CVEs. Aus dem Internet erreichbare Assets werden kontinuierlich erfasst.
Gesteuert schließt offengelegte Zugangsdaten, Zugriffspfade Dritter und SaaS-Integrationen ein, jeweils mit eingetragenem Verantwortlichen. Die Lücke beim Abgleich wird stetig kleiner und wird gemeldet.
Optimiert behandelt die Discovery-Abdeckung als Kennzahl: den Anteil der Assets im Scope, die von mindestens zwei Quellen gesehen werden, und die Zeit zwischen dem Auftauchen eines Assets und seiner Klassifizierung. Neue Discovery-Quellen werden ohne Dienstleistungsprojekt angebunden.
Priorisierung, Reifegrad für Reifegrad
Initial ordnet nach CVSS. Die Behebungsliste ist der Reiter „Kritisch“ des Scanners.
Im Aufbau kommt Exploit-Intelligence hinzu, etwa der CISA-KEV-Katalog oder EPSS, von Hand oder per Filter angewendet.
Definiert ordnet nach Ausnutzbarkeit im Kontext plus geschäftlicher Auswirkung. Jeder Befund trägt zwei zusätzliche Felder: von einer Angreiferposition aus erreichbar, und kritisches Asset im Pfad. Threat Intelligence fließt automatisch in die Rangfolge ein. Kompensierende Maßnahmen werden erfasst, bevor ein Befund eskaliert wird.
Gesteuert nutzt Angriffspfadanalyse oder für die obersten Einträge eine gleichwertige manuelle Methode, sodass die Rangliste Ketten abbildet statt isolierter Befunde. Die Liste ist erklärbar: Für jeden Eintrag der Top Ten kann jemand den Pfad aufzeichnen.
Optimiert ordnet kontinuierlich neu, sobald Änderungen aus Discovery, Validierung und Sicherheitsmaßnahmen eintreffen. Die Zahl der Befunde, deren Priorität sich aufgrund neuer Belege geändert hat, wird selbst verfolgt.
Validierung, Reifegrad für Reifegrad
Bei Initial ist die Validierung der jährliche Penetrationstest, der das validiert, was sich das Testteam gerade angesehen hat.
Im Aufbau laufen gelegentlich gezielte Tests zu Befunden, die jemandem Sorgen bereitet haben, ohne definierten Auslöser.
Definiert validiert in jedem Zyklus die obersten fünf oder zehn Exposures mit einem sicheren Test und hält fest, ob Detektionsmaßnahmen ausgelöst haben. Nicht ausnutzbare Befunde werden herabgestuft, und die Herabstufung wird dokumentiert.
Gesteuert setzt Werkzeuge ein, Breach-and-Attack-Simulation oder automatisierte Penetrationstests, sodass die Validierung in einem festen Rhythmus läuft statt nach Verfügbarkeit des Testteams. Gartner fasst diese Werkzeuge in seinem Market Guide vom März 2025 als Adversarial Exposure Validation zusammen, und seine Schätzung, wie wenige Organisationen bis 2027 eine formale Validierungsinitiative haben werden, steht im Beitrag zu Kennzahlen. Auf diesem Reifegrad verändern Validierungsergebnisse nachweislich das Behebungs-Backlog, und Maßnahmenlücken, die bei der Validierung gefunden werden, werden als eigene Exposure-Klasse verfolgt.
Optimiert validiert kontinuierlich gegen die aktuelle Spitze der Liste und validiert neben dem Befund auch die Behebung: Ein geschlossenes Ticket wird erneut getestet, bevor es als geschlossen zählt.
Mobilisierung, Reifegrad für Reifegrad
Bei Initial ist die Mobilisierung eine Tabelle, die per E-Mail an die IT geht. Die Behebung wird unterstellt.
Im Aufbau werden Tickets eröffnet, aber ihnen fehlt ein Verantwortlicher außerhalb der Sicherheit oder ein Zieldatum, und verfolgt wird ihre Anzahl.
Definiert lehnt es ab, ein Ticket ohne benannten Verantwortlichen und ohne Datum zu eröffnen. Befunde erreichen die Behebungsteams über deren eigenes Workflow-Werkzeug. Befunde ohne Verantwortlichen werden wöchentlich gemeldet.
Gesteuert misst die mediane Behebungszeit je Exposure-Klasse und veröffentlicht sie monatlich. Das Reporting an die Führungsebene erfolgt in geschäftlichen Begriffen, etwa kritische Prozesse ohne validierten Angriffspfad, statt in Schwachstellenzahlen. Der Beitrag zu CTEM-Kennzahlen zeigt, wie ein solcher Bericht aussieht.
Optimiert automatisiert die Routine: Eine validierte Exposure einer bekannten Klasse auf einem Asset mit bekanntem Verantwortlichen erzeugt und leitet ihr Ticket selbst weiter, und der Aufwand des Programms fließt in die Ausnahmen. Die Behebungszeit geht stetig zurück, und der Trend wird zusammen mit den Gründen vorgelegt.
Wie Sie das nutzen, ohne sich selbst zu belügen
Bewerten Sie jede Phase einzeln und nehmen Sie die niedrigste als Ihr Gesamtergebnis. Ein Programm, das in der Discovery Gesteuert und in der Validierung Initial ist, ist ein Initial-Programm, das sehr gut darin ist, Dinge zu finden, die es nicht beweist. Die Selbstbewertung nimmt Ihnen diese Rechnung ab und hebt die schwächste Phase hervor.
Bestehen Sie auf der Spalte mit den Belegen. „Wir machen Angriffspfadanalyse“ ist eine Behauptung; eine Top-Ten-Liste, in der jeder Eintrag einen gezeichneten Pfad hat, ist ein Beleg. „Wir validieren“ ist eine Behauptung; ein Protokoll der Herabstufungen des letzten Zyklus ist ein Beleg.
Rechnen Sie damit, alle zwei bis drei Zyklen einen Reifegrad aufzusteigen, nicht jedes Quartal. Der Sprung von Im Aufbau zu Definiert besteht größtenteils darin, Dinge aufzuschreiben und eine Unterschrift einzuholen. Der Sprung von Definiert zu Gesteuert ist der teure, weil er Validierungswerkzeuge und einen Behebungsprozess braucht, der sich selbst misst. Überspringen Sie ihn nicht; er ist der Unterschied zwischen CTEM und Schwachstellenmanagement unter neuem Namen.
Weiter
Machen Sie den Schnellcheck, um in zwei Minuten Ihre schwächste Phase zu finden, oder die vollständige Selbstbewertung für eine Punktzahl je Phase und eine gespeicherte Ergebnisübersicht. Wenn Sie bei Initial oder Im Aufbau landen, ist Ein CTEM-Programm in 90 Tagen starten der praktische Weg zu Definiert.