WithSecure Exposure Management 2026: Risiko statt CVSS

Ein klassischer Schwachstellen-Scan läuft einmal im Monat und listet danach mehrere hundert CVEs – öffentlich erfasste Schwachstellen – nach Schweregrad. Ein IT-Team kann davon realistisch zehn bis zwanzig pro Woche abarbeiten – der Rest wartet auf den nächsten Zyklus, während Angreifer genau diese Lücke ausnutzen. WithSecure Exposure Management dreht die Reihenfolge um: Es bewertet nicht, wie gefährlich eine Schwachstelle laut CVSS-Wert (Common Vulnerability Scoring System) theoretisch ist, sondern ob sie über einen echten Angriffspfad erreichbar ist. Die Einstiegsvariante WithSecure Exposure Management Business ist bereits ab 81,00 EUR netto im Konfigurator erhältlich.

Was unterscheidet Exposure Management von klassischem Vulnerability Management?

Der entscheidende Unterschied: Klassisches Vulnerability Management bewertet Schwachstellen isoliert nach CVSS-Schweregrad, Exposure Management bewertet sie im Kontext eines tatsächlich nutzbaren Angriffspfads. Klassisches Vulnerability Management scannt IT-Systeme periodisch, vergibt CVSS-Werte und übergibt eine lange Prioritätenliste an die IT-Abteilung. Genau das reicht laut WithSecures eigener Positionierung nicht mehr aus: Vulnerability Management gilt dort inzwischen als Basis-Baustein, Exposure Management als dessen konsequente Weiterentwicklung. Der Unterschied liegt nicht im Scannen an sich, sondern in der Bewertung danach.

Exposure Management prüft zusätzlich, ob eine Schwachstelle Teil eines nutzbaren Angriffspfads ist – etwa in Kombination mit einer Fehlkonfiguration oder einem offenen Port. Nur Kombinationen mit echter Ausnutzbarkeit werden hochpriorisiert. Das senkt die Zahl der Alarme spürbar, ohne dass ein reales Risiko übersehen wird.

Ein Beispiel zur Einordnung: Eine veraltete Softwareversion auf einem internen Server bekommt in einer reinen CVSS-Liste oft einen hohen Schweregrad. Ohne direkten Netzwerkzugriff ist sie aber kaum ausnutzbar. Steht auf demselben Server zusätzlich ein offener Verwaltungsport mit einem schwachen Passwort, entsteht daraus ein zusammenhängender Angriffspfad. Genau diese Kombination stuft Exposure Management deutlich höher ein als die Einzelschwachstelle für sich genommen. Auf Plattformebene beschreibt WithSecure den zugrundeliegenden Mechanismus als eine patentangemeldete heuristische Engine, die kontinuierlich die geringstmögliche Zahl an zu behebenden Schwachstellen ermittelt, um möglichst viele Angriffsrouten gleichzeitig zu unterbrechen.

Wie hilft WithSecure Exposure Management bei der Schwachstellen-Erkennung?

WithSecure Exposure Management kombiniert automatisierte Scans von Servern, Arbeitsplätzen, Netzwerkgeräten und Webanwendungen mit einer risikobasierten Priorisierung nach tatsächlicher Ausnutzbarkeit. Statt einer reinen CVSS-Liste erhält die IT-Abteilung konkrete Patch-Empfehlungen nach Geschäftsauswirkung, ergänzt um automatisierte Compliance-Reports für NIS2, ISO 27001 und PCI-DSS – ohne dass jeder Fund manuell eingeordnet werden muss.

Die drei WithSecure-Exposure-Management-Produkte im Vergleich

Auf cyber-shop.eu stehen drei Bausteine zur Auswahl, die sich kombinieren lassen und alle zum WithSecure-Portfolio gehören. Alle Preise verstehen sich netto pro Lizenz, Laufzeit wählbar im Konfigurator.

Das Frontline-Add-on läuft nicht eigenständig, sondern setzt eine aktive Business- oder Cloud-Lizenz voraus. Es prüft von außen, welche Dienste, Ports und Konfigurationsfehler ein Angreifer ohne internen Zugriff überhaupt sehen kann – ein Blickwinkel, den interne Scans systembedingt nicht abdecken.

In der Praxis zeigen sich zwei typische Kombinationen: Ein produzierendes KMU mit eigener Server-Infrastruktur und wenig öffentlich erreichbaren Diensten kommt oft mit der Business-Variante allein aus. Ein Dienstleister mit eigener SaaS-Anwendung auf AWS oder Azure und einem öffentlich erreichbaren Kundenportal kombiniert dagegen meist Cloud-Variante und Frontline-Add-on, da beide Bausteine genau die Angriffsfläche abdecken, die von außen sichtbar ist.

Für welche Unternehmen lohnt sich der Umstieg?

Nicht jedes KMU braucht sofort alle drei Bausteine. Vier Signale sprechen für einen Umstieg von reinem Patch-Management auf Exposure Management:

• Die IT-Abteilung bekommt monatlich mehr offene CVEs gemeldet, als in der verfügbaren Zeit geschlossen werden können, und priorisiert bislang nach Bauchgefühl statt nach belastbaren Daten.
• Es gibt mindestens einen extern erreichbaren Dienst (Portal, VPN-Gateway, Webanwendung), dessen tatsächliche Angriffsfläche nie von außen getestet wurde.
• NIS2 oder ein Kunden-Audit verlangt einen dokumentierten, kontinuierlichen Prozess zur Risikobewertung statt eines einmaligen Jahres-Scans.
• Cloud-Ressourcen bei AWS, Azure oder GCP wachsen schneller, als die interne IT deren Konfiguration manuell gegenprüfen kann.

Trifft mindestens einer dieser Punkte zu, amortisiert sich die risikobasierte Priorisierung meist schon dadurch, dass weniger Zeit in die Bewertung ungefährlicher Funde fließt. Für Unternehmen, die noch gar kein systematisches Schwachstellenmanagement betreiben, ist die Business-Variante der pragmatischere Einstieg als ein sofortiger Umstieg auf alle drei Bausteine gleichzeitig. Wer unsicher ist, welche Kombination zur eigenen Infrastruktur passt, bekommt im Produktberater eine unverbindliche Einschätzung. Einen Überblick über verwandte Lösungen liefert die Kategorie Identity & Access, das komplette Herstellersortiment findet sich im WithSecure-Hersteller-Hub.

Deckt Exposure Management auch die Cloud-Infrastruktur ab?

Ja, aber als separates Produkt: WithSecure Exposure Management Cloud scannt AWS-, Azure- und GCP-Umgebungen gezielt auf Fehlkonfigurationen, offene Ports und zu weit gefasste Berechtigungen und bewertet sie zusätzlich gegen CIS-Benchmarks sowie SOC2-, HIPAA-, PCI-DSS- und NIS2-Vorgaben. Für rein interne Infrastruktur reicht die Business-Variante.

Ersetzt Exposure Management einen Pentest?

Nein. Exposure Management läuft automatisiert und kontinuierlich, ein Pentest wird von menschlichen Testern manuell und punktuell durchgeführt. Beide Ansätze ergänzen sich: Exposure Management deckt die Breite laufend ab, ein Pentest prüft in der Tiefe, ob sich einzelne Schwachstellen tatsächlich real ausnutzen lassen – inklusive Social Engineering und individueller Angriffsketten, die ein automatisierter Scan nicht simuliert.

Häufige Fragen zu WithSecure Exposure Management

Was kostet WithSecure Exposure Management?

Die Business-Variante startet bei 81,00 EUR netto pro Lizenz, die Cloud-Variante bei 180,18 EUR netto. Das Frontline-Add-on hat einen Basispreis ab 11,58 EUR netto im Konfigurator; bei höherer Nutzerzahl und längerer Laufzeit sinkt der Stückpreis laut Anbieter auf bis zu 0,50 EUR netto pro Nutzer und Monat. Das Add-on setzt eine der beiden Basislizenzen voraus, die genaue Laufzeit ist im Konfigurator wählbar.

Muss ich mich zwischen Business und Cloud entscheiden?

Nein, beide Produkte lassen sich parallel lizenzieren. Unternehmen mit eigener Server-Infrastruktur und Cloud-Workloads setzen häufig beide ein, da sie unterschiedliche Angriffsflächen abdecken.

Erfüllt WithSecure Exposure Management die NIS2-Anforderungen?

Die automatisierten Compliance-Reports sind laut Produktbeschreibung auf NIS2, ISO 27001 und PCI-DSS ausgelegt und liefern damit einen Baustein für den in NIS2 geforderten kontinuierlichen Risikomanagement-Prozess. Eine vollständige NIS2-Konformität hängt zusätzlich von organisatorischen Maßnahmen ab, die eine Software allein nicht abdeckt.

Wie unterscheidet sich das Frontline Add-on von einem klassischen Portscan?

Das Add-on kombiniert die externe Sicht mit der bestehenden Risikopriorisierung der Business- oder Cloud-Lizenz. Ein isolierter Portscan liefert nur eine Liste offener Ports, ohne sie mit internen Scan-Ergebnissen oder Geschäftsauswirkung zu verknüpfen.

Wie schnell ist WithSecure Exposure Management einsatzbereit?

Die Lizenzbereitstellung erfolgt laut Anbieter digital nach Bestellbestätigung. Für die Einrichtung wird die Anzahl der zu schützenden Arbeitsplätze und Server sowie eine IT-Administrator-E-Mail-Adresse benötigt, optional eine bestehende WithSecure-Account-ID. Wie lange die anschließende Ausrollung dauert, hängt von der Zahl der Endgeräte und der gewählten Rollout-Methode ab – dazu berät der Produktberater individuell.

Wer unsicher ist, ob Business, Cloud oder beide Varianten zur eigenen Infrastruktur passen, bekommt im Produktberater eine unverbindliche Einschätzung – oder klärt offene Fragen direkt im Kontakt. Welcher der drei Bausteine deckt aktuell die größte Lücke in Ihrer eigenen Angriffsfläche ab: das interne Netz, die Cloud-Infrastruktur oder die extern sichtbaren Dienste?