Blog
CTEM-Anbieter bewerten: eine Checkliste für Käufer
Wenn Sie im Gespräch mit einem Anbieter sitzen, steht „CTEM“ (kontinuierliches Threat-Exposure-Management) bereits seit einem Jahr auf dessen Startseite, und es sagt Ihnen nichts darüber, was das Produkt tut. Gartners Kategorie der Exposure-Assessment-Plattformen existierte als benannter Markt erst mit dem ersten Magic Quadrant im Jahr 2025, und die Anbieter, die im Jahrzehnt davor Schwachstellenmanagement verkauft hatten, wechselten innerhalb eines Quartals nacheinander unter das neue Etikett. Das Etikett ist Marketing. Die Phasenabdeckung ist das Produkt.
Dies ist eine Checkliste für das Gespräch, kein Framework. Nehmen Sie sie in eine Demo mit und nutzen Sie sie, um den Anbieter zu konkreten Aussagen zu bringen.
Fragen Sie nach den Phasen, nicht danach, ob es CTEM kann
Die einzig nützliche Einstiegsfrage lautet: Welche der fünf Phasen bedient dieses Produkt nativ, heute, ohne Dienstleistungsprojekt und ohne Roadmap-Eintrag. Scoping, Discovery, Priorisierung, Validierung, Mobilisierung. Holen Sie die Antwort Phase für Phase ein, denn ein Anbieter, der in einem Satz „alle fünf“ antwortet, hat die Frage nicht beantwortet.
| Phase | Frage | Antwort als Warnsignal |
|---|---|---|
| Scoping | Wie hilft das Produkt dabei, den Scope und dessen geschäftliche Kritikalität zu vereinbaren? | „Das konfigurieren Sie selbst“, ganz ohne Kritikalitätsmodell |
| Discovery | Welche Quellen erfasst es nativ, und welche übernimmt es aus anderen Systemen? | Jede Quelle ist eine Drittanbieter-Integration |
| Priorisierung | Nutzt die Rangfolge Angriffspfad und Erreichbarkeit oder CVSS und Asset-Anzahl? | Schweregrad-Score mit neuem Anstrich |
| Validierung | Wird die Ausnutzbarkeit durch Tests bewiesen oder aus einem Feed abgeleitet? | „Unsere Threat Intelligence bestätigt die Ausnutzbarkeit“, ohne dass ein Test lief |
| Mobilisierung | Wird eine Behebung erneut getestet, bevor das Ticket geschlossen wird, oder heißt „geschlossen“, dass sich der Ticketstatus geändert hat? | Es gibt keinen Schritt für einen erneuten Test |
Verlangen Sie zu jeder Antwort ein Live-Beispiel, keine Folie. Ein Anbieter, der den tatsächlichen Bildschirm zeigen kann, auf dem aus einer validierten Exposure ein Ticket mit einer verantwortlichen Person und einem Datum für den erneuten Test wird, hat ein Produkt. Ein Anbieter, der den Workflow im Futur beschreibt, hat eine Roadmap.
Das Warnsignal Umetikettierung
Das häufigste Fehlerbild in diesem Markt ist ein Schwachstellenscanner, der sein Dashboard in „Exposure-Management“ umbenannt und dem Bericht eine fünfte Spalte namens „Validierung“ hinzugefügt hat, wobei Validierung bedeutet, dass der eigene Threat-Feed des Anbieters sagt, irgendwo auf der Welt existiere ein Exploit. Das ist nicht Phase vier. Phase vier bedeutet, dass das Tool oder eine Person mit dem Tool den Exploit tatsächlich versucht hat, sicher, in der Umgebung des Käufers, und festgehalten hat, ob er funktionierte und ob irgendetwas ihn erkannt hat.
Fragen Sie direkt: Wenn Ihre Plattform etwas als „validiert“ markiert, was ist dann passiert? Enthält die Antwort die Wörter „Threat Intelligence“, „als verfügbar bestätigt“ oder „bekannt ausgenutzt“, aber nicht die Wörter „ausgeführt“, „versucht“ oder „getestet“, dann ist es eine Schlussfolgerung, kein Beweis. Gartners Market Guide for Adversarial Exposure Validation trifft genau diese Unterscheidung (Gartner, März 2025), und Gartners eigene Schätzung, wie wenige Organisationen bis 2027 über eine formale Validierung verfügen werden, bedeutet, dass die meisten Anbieterpräsentationen heute eine Zukunft beschreiben, die der Markt noch nicht erreicht hat. Die Zahl steht im Beitrag zu den Kennzahlen.
Eine zweite Variante desselben Warnsignals zeigt sich bei der Mobilisierung. Fragen Sie, ob „behoben“ im Reporting bedeutet, dass ein Ticket geschlossen oder dass eine Behebung erneut getestet wurde. Der Verizon 2025 Data Breach Investigations Report stellte fest, dass ein großer Teil der darin verfolgten bekannt ausgenutzten Schwachstellen in Edge-Geräten überhaupt nie vollständig behoben wurde und dass die behobenen Wochen brauchten (Zahlen und Quelle stehen im Beitrag zu den Kennzahlen). Eine Plattform, die über den Ticketstatus statt über die verifizierte Behebung berichtet, sieht immer besser aus als die DBIR-Zahlen, und zwar aus dem falschen Grund.
Integration und API-Zugriff
Fordern Sie die API-Dokumentation vor dem Gespräch an, nicht nach der Vertragsunterzeichnung. Zwei Dinge zählen: ob sich Befunde in einem strukturierten Format herausziehen lassen, ohne Professional Services zu beauftragen, und ob das Produkt Befunde aus den bereits vorhandenen Tools übernehmen kann statt nur aus den eigenen Sensoren.
Fragen Sie gezielt, welche der auf der Website beworbenen Konnektoren allgemein verfügbar sind und welche sich in der Preview befinden, und ob nicht native Konnektoren später in eine andere Preisstufe wechseln. Mehr als eine Exposure-Plattform in diesem Markt liefert ihre umfangreichsten Integrationen als Preview-Funktionen aus, die nach Ende der Preview zu nutzungsabhängig abgerechneten Add-ons werden. Das ist eine Preisfrage im Gewand einer technischen Frage, stellen Sie sie also als beides.
Proof-of-Value-Piloten
Bestehen Sie auf einem Piloten in der eigenen Umgebung des Käufers, nicht in einer Demo-Umgebung oder einer synthetischen Range. Dreißig Tage reichen. Begrenzen Sie den Piloten auf einen Ausschnitt, der so schmal ist, dass sich der Anbieter nicht hinter Abdeckungslücken verstecken kann: die externe Angriffsfläche eines Geschäftsbereichs oder ein einzelnes Cloud-Konto.
Legen Sie die Erfolgskriterien vor Beginn des Piloten schriftlich fest, und richten Sie sie auf Ergebnisse statt auf Stückzahlen aus. Nicht „wie viele Befunde“, sondern „wie viele Befunde wurden als ausnutzbar validiert, wie lange dauerte eine Behebung von der Validierung bis zur erneut getesteten Schließung, und wie vielen Fehlalarmen ist das Team nachgegangen“. Ein Anbieter, der von seinem Produkt überzeugt ist, stimmt dem zu. Ein Anbieter, der sich gegen definierte Erfolgskriterien sträubt, sagt damit etwas aus.
Preismodelle
Klären Sie die Preiseinheit, bevor die Demo endet: je Asset, je Benutzer, je Befundvolumen oder ein pauschales Enterprise-Angebot. Der größte Teil dieses Marktes arbeitet mit Enterprise-Angeboten ohne öffentliche Zahl. Das ist eine legitime Geschäftsentscheidung, bedeutet aber auch, dass die Zahl über Anbieter hinweg nicht vergleichbar ist, solange nicht zuerst mit der eigenen Asset-Anzahl des Käufers nachgerechnet wurde.
Fragen Sie, was mit dem Preis passiert, wenn die Asset-Anzahl wächst, wenn eine Preview-Integration allgemein verfügbar wird und wenn ein Validierungsmodul, das im Piloten gebündelt war, zu einer eigenen Position wird. Gerade Exposure-Plattformen neigen dazu, Validierung, Angriffspfadanalyse und Mobilisierungsorchestrierung nach Ende des Piloten in separate SKUs aufzuteilen. Lassen Sie sich diese Aufteilung vor der Unterschrift schriftlich geben, nicht nach der ersten Verlängerung.
Fünf Tools vermeiden, die nicht miteinander sprechen
Der Markt ist so beschaffen, dass keine einzelne Kategorie alle fünf Phasen gut abdeckt; das ist im Tools-Leitfaden dokumentiert. Der Kauffehler, der daraus folgt, besteht darin, fünf Best-of-Breed-Einzeltools zusammenzustellen, eines je Phase, und ein Jahr später festzustellen, dass keines davon ein Datenmodell, eine Asset-Kennung oder einen Workflow mit den anderen teilt. Jedes Tool erzeugt sein eigenes Dashboard, und Mobilisierung wird zu einer Person, die Befunde von Hand zwischen Systemen kopiert.
Wählen Sie bewusst ein Rückgrat. Entweder eine Exposure-Plattform, die Discovery, Priorisierung und Mobilisierung verantwortet, gepaart mit einem Validierungsspezialisten, der ihr Belege zuliefert, oder eine Aggregationsschicht, deren gesamte Aufgabe darin besteht, Befunde aus allem anderen zu normalisieren und zu deduplizieren. Fragen Sie jeden infrage kommenden Anbieter, welche Rolle er in einem Stack aus mehreren Tools zu spielen erwartet. Denn ein Anbieter, der darauf besteht, das einzige benötigte Tool zu sein, während das Verzeichnis zeigt, dass kein einzelnes Produkt alle fünf Phasen gut abdeckt, ist nicht ehrlich über den Markt, in den er verkauft.
Weiter
Das Anbieterverzeichnis hält die Abdeckung Phase für Phase für die hier genannten Produkte fest, geprüft und datiert. Der Tools-Leitfaden erklärt, wofür jede Tool-Kategorie tatsächlich da ist, bevor ein Gespräch beginnt. Die Selbstbewertung ist ein schnellerer Weg, um zu erfahren, welche Phase die schwächste ist, bevor Sie entscheiden, was Sie dafür kaufen.