Blog

CTEM-Tools: Was jede Kategorie tatsächlich leistet

Von Dan Swihart · Veröffentlicht 6. September 2026

Jeder Anbieter mit einem Scanner, einem Agenten oder einem Angriffsgraphen verkauft heute „CTEM“. Das Wort steht auf der Verpackung; die Phasenabdeckung nicht. Dieser Leitfaden handelt von Kategorien statt von Produkten: was jede Klasse von Werkzeugen leistet, welche der fünf Phasen sie bedient und wo sie aufhört. Das Anbieterverzeichnis hält unsere phasenweise Einschätzung einzelner Produkte fest. Jeder Eintrag beruht auf der öffentlichen Dokumentation der Anbieter; nichts davon ist ein praktischer Test.

Die fünf Phasen, kurz

Gartners CTEM-Modell (kontinuierliches Threat-Exposure-Management) hat fünf Phasen: Scoping, Discovery, Priorisierung, Validierung und Mobilisierung. Wenn Sie die vollständige Erklärung brauchen, lesen Sie zuerst Was ist CTEM. Für diesen Beitrag die Kurzfassung: vereinbaren, was im Spiel ist, jede Exposure darin finden, nach Angriffspfad und Auswirkung ordnen, beweisen, dass die obersten ausnutzbar sind, und sie von jemandem mit Namen beheben lassen.

Keine der Kategorien unten deckt alle fünf ab. Die meisten decken zwei gut ab und berühren eine dritte. Das ist keine Kritik; so ist der Markt geformt, und deshalb ist „CTEM-Tool“ ein irreführender Suchbegriff.

Exposure-Assessment-Plattformen

Das ist die Kategorie, die sich am häufigsten selbst CTEM-Plattform nennt. Gartner hat sie „Exposure Assessment Platforms“ genannt und 2025 den ersten Magic Quadrant für die Kategorie veröffentlicht (Gartner; siehe auch Tenables Ankündigung seiner Platzierung). Die meisten Anbieter kommen aus dem Schwachstellenscanning: Tenable, Qualys und Rapid7 sind die offensichtlichen Beispiele, CrowdStrike kommt von der Endpoint-Seite.

Was sie tun: Befunde aus Scannern, Cloud-Posture-Werkzeugen, Identitätssystemen und manchmal externen Scans in einem Inventar zusammenführen und dann jeden Befund nach etwas Reichhaltigerem als CVSS bewerten. Typische Eingangsdaten sind Exploit-Verfügbarkeit, aktive Ausnutzung aus Quellen wie dem CISA-KEV-Katalog, die EPSS-Wahrscheinlichkeit, die Kritikalität des Assets und, bei den besseren Produkten, ob das Asset auf einem Pfad zu etwas Wichtigem liegt.

Bediente Phasen: Discovery und Priorisierung, stark. Scoping wird meist über Tagging und Asset-Gruppen unterstützt statt durch etwas, das Ihnen hilft, den Scope mit dem Fachbereich zu vereinbaren. Mobilisierung heißt Ticketing-Integration und Dashboards. Validierung fehlt fast immer oder wird von einem Partner geliefert; die Plattformen sagen Ihnen, dass eine Exposure wahrscheinlich ausnutzbar ist, sie beweisen es nicht.

Wo sie aufhören: an der Reichweite ihrer Integrationen. Wenn eine Quelle nicht angebunden ist, weiß die Plattform nicht, dass sie existiert. Planen Sie Budget für die Integrationsarbeit ein.

Angriffspfadanalyse

Angriffspfad-Werkzeuge bauen einen Graphen Ihrer Umgebung: Hosts, Identitäten, Berechtigungen, Vertrauensbeziehungen, Netzwerkerreichbarkeit. Dann berechnen sie, wie ein Angreifer, der auf einem Knoten landet, einen anderen erreichen könnte. Die Ausgabe ist nicht „hier sind 4.000 Kritische“, sondern „diese zwölf Exposures liegen auf den meisten Pfaden zu den Domänencontrollern“. XM Cyber ist der Spezialist; mehrere Exposure-Plattformen bündeln inzwischen eine leichtere Variante.

Bediente Phasen: Priorisierung, mit gutem Anspruch, das beste Werkzeug dafür zu sein. Discovery ist teilweise, weil der Graph nur so vollständig ist wie die eingespeisten Identitäts- und Netzwerkdaten. Validierung ist teilweise: Der Pfad wird modelliert, nicht durchgespielt.

Wo sie aufhören: Das Modell kann falsch sein. Ein Pfad, der im Graphen existiert, kann durch eine Sicherheitsmaßnahme blockiert sein, die das Werkzeug nicht sieht. Genau deshalb ist die Validierung eine eigene Phase.

Breach-and-Attack-Simulation

BAS-Werkzeuge führen bekannte Angreifertechniken, meist auf MITRE ATT&CK abgebildet, kontrolliert gegen Ihre Umgebung aus und halten fest, ob Ihre Sicherheitsmaßnahmen jede davon verhindert, erkannt oder nicht erkannt haben. Cymulate und Picus sind die etablierten Namen.

Bediente Phasen: Validierung, genauer die Validierung von Sicherheitsmaßnahmen. BAS beantwortet „würde unser EDR diese Technik erkennen?“ statt „ist dieser konkrete Host ausnutzbar?“. Mobilisierung ist teilweise: Die besseren Produkte liefern Detektionsregeln und Konfigurationsänderungen statt einer roten Zelle in einem Raster. Discovery und Scoping sind nicht ihr Zweck.

Wo sie aufhören: BAS testet, was man ihm zu testen aufträgt. Es findet nicht die vergessene VPN-Appliance, und es sagt Ihnen nicht, welche Ihrer Exposures am wichtigsten sind, sofern es nicht von anderswo mit einer priorisierten Liste versorgt wird.

Automatisierte Penetrationstests

Automatisierte Pentest-Werkzeuge starten von einem Brückenkopf oder von außen und versuchen, das Gefundene tatsächlich auszunutzen, zu verketten, Zugangsdaten abzugreifen und sich lateral zu bewegen, mit Sicherheitsvorkehrungen. Pentera ist das Referenzbeispiel. Gartners Market Guide for Adversarial Exposure Validation vom März 2025 fasste BAS, automatisierte Pentests und automatisiertes Red Teaming in einer Kategorie namens AEV zusammen, beschrieben als Technologien, die konsistente, kontinuierliche und automatisierte Belege für die Durchführbarkeit eines Angriffs liefern.

Bediente Phasen: Validierung, von Exposures statt von Sicherheitsmaßnahmen. Das ist die Werkzeugklasse, die „CVSS 9.8“ in „ja, wir haben eine Shell bekommen und die Backup-Zugangsdaten gelesen“ oder „nein, der Exploit scheitert hinter der WAF“ verwandelt. Discovery ist ein Nebeneffekt: Es findet unterwegs Dinge. Priorisierung ist teilweise; ein validierter Pfad ist ein starkes Signal, aber das Werkzeug kennt Ihre geschäftlichen Auswirkungen nicht.

Wo sie aufhören: Abdeckung. Automatisierte Pentests laufen dort, wohin Sie sie richten. Sie können außerdem nicht testen, was in der Produktion nicht sicher zu testen wäre, weshalb einige Ihrer wichtigsten Systeme weiterhin ein manuell arbeitendes Testteam brauchen werden.

Externes Angriffsflächenmanagement

EASM-Werkzeuge (External Attack Surface Management) betrachten Ihre Organisation aus dem Internet, ohne Zugangsdaten, so wie ein Angreifer es bei der Aufklärung täte. Sie zählen Domains, Subdomains, Zertifikate, exponierte Dienste, Cloud-Speicher, geleakte Zugangsdaten und Drittseiten mit Ihrer Marke auf. Detectify und Intruder sind Beispiele im Verzeichnis; jede große Exposure-Plattform enthält inzwischen ein EASM-Modul.

Bediente Phasen: Discovery, für den externen Ausschnitt des Scopes. Priorisierung ist teilweise, meist Schweregrad des exponierten Dienstes plus die Frage, ob er Ihnen vorher unbekannt war. Nichts zu Validierung oder Mobilisierung über Alarme und Tickets hinaus.

Wo sie aufhören: am Perimeter, und zwar konstruktionsbedingt. Ein Scan ohne Zugangsdaten aus dem Internet kann interne Identitäts- und Konfigurationsprobleme nicht sehen; um diese Lücke zu schließen, braucht es Zugangsdaten und internen Zugriff — eine andere Werkzeugkategorie. Wir behandeln den Unterschied ausführlicher in Exposure-Management vs. Angriffsflächenmanagement.

Wo Identitäts- und Cloud-Posture-Werkzeuge hingehören

Zwei Kategorien sind keine CTEM-Werkzeuge, speisen CTEM aber direkt.

Werkzeuge für Identity Security Posture (Active-Directory-Hygiene, ITDR, Berechtigungsanalyse) finden die überprivilegierten Servicekonten, veralteten Admin-Rechte und Kerberos-Fehlkonfigurationen, aus denen die meisten echten Angriffspfade bestehen. Sie sind eine Discovery-Quelle und eine Voraussetzung für eine brauchbare Angriffspfadanalyse. Ohne Identitätsdaten fehlen dem Graphen seine wichtigsten Kanten.

Cloud Security Posture Management erledigt dieselbe Aufgabe für die Cloud-Konfiguration: öffentliche Buckets, zu offene Security Groups, nicht rotierte Schlüssel, exponierte Control Planes. Wieder eine Discovery-Quelle. Die meisten Exposure-Plattformen nehmen CSPM-Befunde auf; einige CNAPP-Anbieter vermarkten inzwischen ihre eigene Exposure-Geschichte.

Keine der beiden Kategorien validiert oder mobilisiert. Behandeln Sie sie als Eingaben und prüfen Sie, ob die Plattform Ihrer Wahl sie ohne Beratungsprojekt aufnehmen kann.

Kategorie zu Phase, in einer Tabelle

Die Tabelle ist eine Verallgemeinerung über Kategorien. Einzelne Produkte weichen ab, und das Verzeichnis hält die Sicht auf Produktebene fest, mit Prüfdatum an jedem Eintrag.

Was das beim Kauf bedeutet

Zwei Muster funktionieren. Das erste ist Plattform plus Validierung: eine Exposure-Assessment-Plattform für Discovery und Priorisierung, ein AEV-Werkzeug für die Validierung und Ihr vorhandenes Ticketsystem für die Mobilisierung. Das zweite ist Best-of-Breed: EASM, Identity Posture und CSPM als Discovery-Quellen, Angriffspfadanalyse für die Priorisierung, automatisierte Pentests für die Validierung und viel Integrationsarbeit, um das Ganze zusammenzuhalten.

Keines der beiden Muster kauft Ihnen das Scoping. Diese Phase ist ein Gespräch mit den Fachverantwortlichen, und kein Werkzeug führt es für Sie. Keines der beiden Muster kauft Ihnen auch die Mobilisierung, abgesehen von der Verkabelung. Wenn Ihre Behebungsteams keine Tickets mit benanntem Verantwortlichen und Termin annehmen, erzeugt der bestintegrierte Stack eine wunderbar priorisierte Liste, die niemand abarbeitet.

Kaufen Sie für die Phase, in der Sie am schwächsten sind. Wenn Sie nicht wissen, welche das ist, sagt Ihnen der Schnellcheck es in zwei Minuten.

Weiter

Lesen Sie Exposure-Management vs. Angriffsflächenmanagement, falls die Überschneidung von EASM und CAASM noch unklar ist, und machen Sie dann die vollständige Selbstbewertung, bevor Sie einen Anbietertermin wahrnehmen. Das Verzeichnis ist da, wenn Sie wissen, welche Lücke Sie füllen. Bevor Sie eine Auswahl treffen, prüfen Sie die Kandidaten anhand der Checkliste zur Anbieterbewertung.