newsonline24

Software-Stücklisten und automatische Scans gehören inzwischen zum Standard, getrieben von Kundenanforderungen, Zertifizierungen und Regulierung. Das Ergebnis ist oft eine lange Liste, und ein Teil davon betrifft Komponenten, die niemand mehr pflegt. Für diese Findings gibt es keinen Patch, den ein Entwickler einspielen könnte. Der Umgang damit gehört deshalb in einen definierten Prozess, nicht in eine Fußnote im Scanbericht.

Was ein Scan liefert und was nicht

Die meisten Werkzeuge vergleichen die gefundenen Komponentenversionen mit Schwachstellendatenbanken. Das erzeugt zuverlässig Treffer, aber auch Fehlalarme, etwa wenn eine Distribution einen Fix zurückportiert hat, ohne die Versionsnummer zu ändern. Ebenso wenig sagt ein Treffer aus, ob die betroffene Funktion im eigenen Code überhaupt aufgerufen wird. Der erste Schritt ist daher die Prüfung, ob das Finding für die eigene Anwendung zutrifft.

Priorisieren statt abarbeiten

Für die Reihenfolge haben sich drei Größen bewährt. Der CVSS-Wert beschreibt den technischen Schweregrad. Der EPSS-Wert schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in naher Zukunft ausgenutzt wird. Der Katalog bekannter ausgenutzter Schwachstellen zeigt, was bereits aktiv angegriffen wird. Dazu kommen die Fragen, ob das System von außen erreichbar ist und welche Daten es verarbeitet.

Das Ergebnis dieser Bewertung gehört dokumentiert, idealerweise in einem maschinenlesbaren Format, das auch den Status „nicht betroffen“ mit Begründung abbilden kann. Damit lässt sich gegenüber Kunden und Prüfern belegen, dass eine offene Position bewertet wurde und nicht übersehen wurde.

„Die Liste aus dem Scanner ist kein Maßnahmenplan. Ohne Priorisierung wird jede Entscheidung über Migration oder Support zum Bauchgefühl“, sagt Markus Oberg, Partner und Business Development Manager der ProLicense.

Wenn es keinen Patch mehr gibt

Bei abgekündigten Komponenten endet der übliche Weg. Übrig bleiben kompensierende Maßnahmen: Netzsegmentierung, vorgelagerte Filter, abgeschaltete Funktionen, engere Rechte. Sie senken das Risiko, beheben die Schwachstelle aber nicht. Als Übergang sind sie sinnvoll, als Dauerlösung halten sie weder einer Prüfung noch einem Angriff stand.

Drei Wege führen aus dieser Lage. Die Komponente wird ersetzt oder die Anwendung migriert. Das Unternehmen pflegt die Komponente selbst, mit demselben Nachweisaufwand wie ein Hersteller. Oder der Support wird eingekauft: ProLicense vertreibt als Reseller Never-Ending Support (NES) von HeroDevs, der für abgekündigte Open-Source-Versionen weiterhin CVE-Behebungen mit vertraglich zugesagten Fristen liefert. Damit gibt es für das Finding wieder einen Patch statt einer Ausnahme.

„Regulatorisch zählt nicht, dass eine Schwachstelle existiert, sondern wie das Unternehmen damit umgeht. Eine bewertete, priorisierte und mit Fristen hinterlegte Lücke ist erklärbar. Eine Ausnahme, die seit drei Jahren verlängert wird, ist es nicht“, sagt Rechtsanwalt Sören Reimers, Geschäftsführer der ProLicense.

Der Prozess dahinter

Damit der Umgang wiederholbar wird, gehören vier Punkte festgelegt: wer Findings bewertet, nach welchen Kriterien priorisiert wird, welche Fristen je Kritikalität gelten und wer entscheidet, wenn kein Patch verfügbar ist. Für Hersteller vernetzter Produkte kommt seit September 2026 hinzu, dass aktiv ausgenutzte Schwachstellen innerhalb kurzer Fristen zu melden sind. Auch diese Bewertung muss im Alltag funktionieren.

ProLicense unterstützt bei der Bewertung abgekündigter Komponenten und beim Vergleich von Migration, Eigenpflege und Drittsupport, mit dem Ziel minimaler Kosten bei voller Compliance. Anfragen nimmt ProLicense über die Kontaktseite entgegen.