Schwachstellen finden ohne zusätzlichen Scanner: SentinelOne Vulnerability Management

Ein klassischer Schwachstellen-Scan liefert am Ende einen Bericht mit mehreren tausend CVEs – und niemand arbeitet ihn ab. Im Mittelstand fehlt für diesen Weg schlicht die Kapazität: eine zusätzliche Appliance im Rack, ein weiterer Scan-Server, Zugangsdaten für jedes zu prüfende System und ein zweites Admin-Portal, das gepflegt werden will. SentinelOne Vulnerability Management dreht die Logik um: Die Schwachstellen-Erkennung läuft über den Endpoint-Agenten, der ohnehin schon auf jedem Rechner installiert ist – ohne zusätzliches Werkzeug. Wer bereits eine moderne Endpoint-Lösung im Einsatz hat, findet in unseren EDR-Lösungen im Überblick die Basis, auf der dieses Modell aufsetzt.

Warum klassische Schwachstellen-Scanner im Mittelstand liegen bleiben

Ein netzwerkbasierter Scanner arbeitet von außen. Er braucht einen eigenen Scan-Server oder eine Appliance mit Zugriff auf alle Netzwerksegmente. Für aussagekräftige Ergebnisse kommen authentifizierte Scans mit hinterlegten Zugangsdaten dazu. Genau diese Zugangsdaten sind der Punkt, an dem viele Projekte stecken bleiben: Jemand muss sie erzeugen, verteilen, rotieren und absichern – vier Aufgaben, die niemand freiwillig übernimmt.

Dazu kommt der zeitliche Versatz. Ein Scan ist eine Momentaufnahme. Zwischen zwei Läufen entstehen neue Installationen, neue Versionsstände und neue Lücken, die im Bericht schlicht fehlen. Und Geräte, die während des Scans ausgeschaltet oder im Homeoffice waren, tauchen gar nicht erst auf.

Das Ergebnis ist ein Prozess, der viel Aufwand erzeugt und wenig Sicherheit liefert. Nicht weil der Scanner schlecht arbeitet, sondern weil die Ergebnisliste ohne Priorisierung nicht handhabbar ist.

Was ist der Unterschied zwischen CVSS und EPSS bei der Schwachstellen-Priorisierung?

CVSS bewertet, wie schwer eine Schwachstelle technisch wiegt. EPSS schätzt dagegen, wie wahrscheinlich sie in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Ein CVE mit hohem CVSS-Wert kann trotzdem eine niedrige EPSS-Wahrscheinlichkeit haben. Wer nach EPSS und dem CISA-KEV-Katalog – der Liste nachweislich bereits ausgenutzter Schwachstellen – priorisiert, arbeitet zuerst die real gefährlichen Lücken ab.

Beide Werte stammen aus öffentlich zugänglichen, herstellerneutralen Quellen. Das EPSS-Modell wird von FIRST.org gepflegt und laufend mit Beobachtungen aus realen Angriffen nachtrainiert. Der CISA-KEV-Katalog listet Schwachstellen, für die eine aktive Ausnutzung nachgewiesen ist – eine deutlich härtere Aussage als jede reine Risikoschätzung.

Für die Praxis heißt das: Eine Lücke, die im KEV-Katalog steht, gehört sofort auf den Tisch. Eine Lücke mit CVSS 9,0 ohne bekannte Exploits kann warten, bis das nächste Wartungsfenster ansteht.

Klassischer Scanner vs. SentinelOne Singularity VM im direkten Vergleich

SentinelOne Singularity Vulnerability Management – kurz Singularity VM – tritt im Vergleich zum klassischen Scanner so an:

Der praktische Unterschied liegt weniger in der Erkennungsqualität als im Betriebsmodell. Ein Produkt weniger im Rack heißt: ein Wartungsvertrag weniger, ein Patch-Zyklus weniger, ein Zugangskonzept weniger.

Vier Kernfunktionen von SentinelOne Singularity Vulnerability Management

• Agentenbasierte Erkennung ohne Zusatz-Tool. Die Schwachstellen-Erfassung läuft über den vorhandenen SentinelOne-Agenten. Es wird kein separater Scanner und keine Appliance ausgerollt.
• Priorisierung nach EPSS und CISA KEV. Statt einer nach CVSS sortierten Endlosliste steht oben, was mit hoher Wahrscheinlichkeit oder nachweislich bereits ausgenutzt wird.
• Eine Konsole für Schwachstellen und Bedrohungen. Befund und Angriffserkennung liegen in derselben Oberfläche. Der Kontextwechsel zwischen zwei Portalen entfällt.
• Sichtbarkeit für unverwaltete Geräte und IoT. Systeme, die in keiner Inventarliste stehen, werden im Netz erkannt und bewertet.

Wer die Erkennung unbekannter Systeme weiter ausbauen will, findet in SentinelOne Network Discovery das passende Ergänzungsmodul.

Unverwaltete Geräte und IoT: die blinden Flecken der Inventarliste

Die riskantesten Systeme sind selten die, die im Ticket-System stehen. Es sind der Drucker mit Web-Oberfläche, die Kamera im Lager, das Testgerät aus einem Projekt vor drei Jahren und der Rechner eines Dienstleisters. Diese Geräte haben in der Regel keinen Agenten, keinen Patch-Prozess und keinen Verantwortlichen.

Ein agentenbasierter Ansatz kann solche Systeme nicht direkt scannen. Er kann sie aber sichtbar machen: Die bereits installierten Agenten beobachten den Netzwerkverkehr in ihrem Segment und melden Geräte, die keinen Agenten tragen. Aus dem blinden Fleck wird ein Eintrag mit IP, Gerätetyp und Bewertung – die Grundlage für eine Entscheidung.

Aktivierung, Preis und Voraussetzungen

Die Voraussetzung ist eine bestehende SentinelOne-Installation auf den Endpoints. Wer bereits SentinelOne Singularity Complete einsetzt, hat die technische Basis vollständig im Haus. Die Aktivierung erfolgt anschließend über einen Richtlinien-Schalter auf der bestehenden Endpoint-Flotte – ein Rollout im klassischen Sinn mit Paketierung, Verteilung und Testgruppen entfällt.

SentinelOne Singularity Vulnerability Management wird pro Endpoint und Jahr lizenziert, ab 103,99 € zzgl. 19 % MwSt. bei 12 Monaten Laufzeit (SKU: S1-VULNMGMT). Der Preis kann je nach Lizenzstaffel und Konfiguration abweichen. Das übrige Portfolio des Herstellers ist unter SentinelOne-Produkte zusammengefasst.

Wichtig für die Einordnung: Vulnerability Management ersetzt keine Angriffserkennung. Es ergänzt sie um die Frage, welche Türen offenstehen, bevor jemand hindurchgeht. Wie sich die Bausteine zueinander verhalten, erklärt unser Beitrag zum Unterschied zwischen EDR, XDR und MDR.

Häufige Fragen zu SentinelOne Vulnerability Management

Brauche ich zusätzlich noch einen Netzwerk-Scanner?

Für die Endpoints nicht – der Agent übernimmt die Erfassung. Für Systeme ohne Agent, etwa Netzwerkkomponenten oder Industriesteuerungen, kann ein ergänzender Netzwerk-Scan weiterhin sinnvoll sein.

Funktioniert das auch für Geräte im Homeoffice?

Ja. Der Agent arbeitet unabhängig vom Standort und meldet Befunde, sobald das Gerät online ist. Ein VPN-Zugang zum Firmennetz ist dafür nicht erforderlich.

Was passiert mit Schwachstellen, die weder in KEV stehen noch einen hohen EPSS-Wert haben?

Sie verschwinden nicht, sondern rücken in der Priorisierung nach hinten. Sie lassen sich im regulären Patch-Zyklus abarbeiten, statt eine Sonderaktion auszulösen.

Ist das Modul separat lizenzierbar oder nur im Bundle?

Es wird als eigenständiges Modul pro Endpoint lizenziert. Voraussetzung ist eine bestehende SentinelOne-Agenteninstallation auf den betroffenen Geräten.

Wie schnell liefert das Modul erste Ergebnisse?

Da kein Rollout stattfindet, beginnt die Erfassung nach dem Aktivieren der Richtlinie. Wie schnell die Flotte vollständig erfasst ist, hängt davon ab, wann die einzelnen Geräte wieder online sind.

Deckt das Modul auch Drittanbieter-Software ab?

Ja. Der Agent bewertet die auf dem System installierte Software, nicht nur die Betriebssystem-Komponenten. Anwendungen von Drittanbietern gehören damit zum Erfassungsbereich.

Einordnung für Ihre Umgebung

Die Entscheidung hängt an zwei Fragen: Läuft auf Ihren Endpoints bereits ein SentinelOne-Agent? Und stapeln sich Ihre Schwachstellen-Berichte, weil die Priorisierung fehlt? Fällt beides zusammen, ist der agentenbasierte Weg der Ansatz mit dem geringsten Betriebsaufwand.

Wissen Sie, welche Module Ihre Lizenz bereits abdeckt – und was tatsächlich noch fehlt? Eine kurze Einordnung Ihrer Umgebung bekommen Sie über unseren Produktberater.