Vom Zahlenspiel zur echten Risikoanalyse

Cybersecurity braucht heute mehr als CVSS‑Listen und Schwachstellenzahlen, denn erst wenn Risiken im richtigen Kontext bewertet werden, entsteht ein realistisches Bild der tatsächlichen Angreifbarkeit. Dieser Artikel zeigt, warum klassische Kennzahlen versagen und wie Exposure Score und Attack Path Analysis gemeinsam ein realistisches, verständliches Risikobild liefern. Für alle, die Security wirksam steuern und echte Risiken sichtbar machen wollen.

Das Problem mit klassischen Security Kennzahlen

In vielen Unternehmen sind Security‑Kennzahlen historisch gewachsen und häufig alles andere als aussagekräftig. Zahlreiche Reports fokussieren sich auf Metriken wie die Anzahl der identifizierten Schwachstellen oder den Durchschnitt der CVSS‑Scores. Doch diese Zahlen vermitteln nur auf den ersten Blick ein Gefühl von Transparenz. In der Realität sagen sie kaum etwas darüber aus, wie angreifbar ein Unternehmen wirklich ist.

Zudem fehlt oft der Bezug zum Business: Ein kritischer CVSS‑Wert auf einem Asset, das keine geschäftliche Relevanz hat, erscheint wichtiger als ein vermeintlich unkritisches Problem auf einem zentralen Produktionssystem. Dazu kommt, dass Berichte häufig so komplex sind, dass weder Entscheider noch Teams wirklich etwas damit anfangen können.

Warum Exposure der neue Standard ist

Moderne Cybersecurity braucht Klarheit und echte Prioritäten anstatt endlosen Listen. Immer mehr Unternehmen setzen daher auf Exposure‑Management. Dieser Ansatz verbindet technische und geschäftliche Perspektiven, indem er sichtbar macht, wie wahrscheinlich ein Angriff ist und welchen Schaden dieser anrichten könnte. Das entspricht genau dem, was Entscheider brauchen: klare Handlungsempfehlungen statt technischer Überforderung.

Was ein Exposure Score eigentlich misst

Der Exposure Score ist keine weitere technische Kennzahl, sondern eine konsolidierte Risikobewertung. Er kombiniert mehrere kritische Faktoren, die darüber entscheiden, ob ein Asset für Angreifer attraktiv, erreichbar und verwundbar ist. Damit schafft der Score eine verständliche Zahl, die sich sowohl im Security‑Team als auch im Vorstandsgespräch einsetzen lässt. Das Ergebnis: Transparenz, die sowohl technische als auch strategische Fragen beantwortet.

Ein guter Exposure Score beantwortet fünf zentrale Fragen:

1. Wie sichtbar ist ein Asset für Angreifer?
2. Wie verwundbar ist es?
3. Wie attraktiv ist es für Angreifer?
4. Wie stark ist es in Angriffswege eingebunden?
5. Welchen geschäftlichen Impact hätte ein Angriff?

Der entscheidende Missing Link: Attack Paths

Ein Exposure Score zeigt, wo ein Risiko besteht, aber noch nicht, wie und warum.

Genau hier kommt die Attack Path Analysis ins Spiel. Angreifer nutzen selten die größte Schwachstelle im Netzwerk, sondern die Kombination vieler kleiner Lücken. So beginnen zahlreiche Angriffe beispielsweise über triviale Einstiegsvektoren wie RDP, VPN oder Phishing. Danach bewegen sich die Angreifer seitwärts im Netzwerk fort, immer auf der Suche nach der nächsten Schwachstelle. Attack Paths visualisieren die Schritte, die ein Angreifer gehen würde und zeigen Sprungbretter auf, die Unternehmen nicht auf dem Radar hatten.

Einzelrisiken sind nicht immer entscheidend: die Kombination ist es

Der große Mehrwert entsteht erst, wenn Exposure Score und Attack Paths gemeinsam betrachtet werden. So lässt sich Risiko nicht nur messen, sondern auch gezielt reduzieren. Das Ziel lautet dann nicht mehr: „Alles patchen“, sondern: „Welche Maßnahme eliminiert die meisten Angriffswege?“ Erfahrungsgemäß ist das oft nicht die Schwachstelle mit dem höchsten CVSS‑Wert. Mit der Kombination aus Score + Pfaddenke entsteht eine Maßnahmenselektion, die Risiko tatsächlich reduziert, anstatt nur Listen zu verkleinern.

Schritt 1 – Exposure Score identifiziert Hotspots
Schritt 2 – Attack Path Analysis deckt Ursachen auf
Schritt 3 – Priorisierung nach Effekt

Ein Beispiel aus der Praxis (generisch, aber realistisch)

Ein Produktionsunternehmen stellt fest, dass der Exposure Score im OT‑Segment ungewöhnlich hoch ist. Die erste Annahme: die Ursache liegt in OT‑Schwachstellen oder veralteten Anlagen. Doch die Analyse zeigt etwas völlig anderes.

Ein kompromittierbarer Windows‑Server im IT‑Netz bildet ein zentrales Sprungbrett zur Produktionslinie. Zusätzlich existiert ein alter, nicht mehr genutzter VPN‑Zugang, der lateral movement ermöglicht. Mit nur einer Maßnahme – der Deaktivierung des Zugangs – fallen gleich mehrere kritische Angriffswege weg. Der Exposure Score sinkt deutlich, ohne dass ein einziges OT‑System angefasst werden musste.

Die Erkenntnis: Ohne das Zusammenspiel von KPI‑Steuerung und Attack‑Path‑Analyse wäre dieses Risiko weder erkannt noch so effizient behoben worden.

Fazit: Moderne Security braucht Überblick und Tiefenblick zugleich

Unternehmen, die Cyberrisiken wirklich verstehen und steuern wollen, kommen an der Kombination Exposure Score und Attack Path Analysis nicht vorbei. Ersterer liefert die notwendige Übersicht, die für Management, Audits und Reporting unverzichtbar ist. Angriffspfade hingegen liefern die operative Tiefe, um Ursachen zu erkennen und wirksame Maßnahmen abzuleiten. Gemeinsam ermöglichen sie eine klare KPI‑Steuerung, nachvollziehbare Priorisierung, echte Risikoreduktion und ein vollständiges, verständliches Risikobild.

Kurz gesagt: Genau die Argumentationskraft, die Security‑Teams heute brauchen.