Schwachstellenmanagement für KMU: Warum einmalige Scans nicht mehr reichen
18. März 2026• Creative Web Studio GmbH
65'000 BACS-Meldungen, 128 neue CVEs täglich: Warum ein jährlicher Penetrationstest nicht mehr ausreicht und wie KMU mit kontinuierlichem Schwachstellenmanagement nDSG- und CRA-konform werden.
## Warum ein einmaliger Scan nicht mehr ausreicht Stellen Sie sich vor, Sie lassen Ihr Bürogebäude einmal im Jahr auf Einbruchsrisiken prüfen – und verlassen sich danach 364 Tage lang auf dieses eine Ergebnis. Genau das tun viele KMU mit ihrer IT-Sicherheit: Ein jährlicher Penetrationstest oder ein einmaliger Schwachstellenscan soll die gesamte Infrastruktur absichern. Doch die Bedrohungslage 2026 macht diesen Ansatz gefährlich. Laut dem BACS Halbjahresbericht 2025 erhielt das Bundesamt für Cybersicherheit im ersten Halbjahr 2025 allein **35'727 Meldungen** zu Cybervorfällen – ein Niveau, das sich auf hohem Stand stabilisiert hat. Ransomware-Angriffe stiegen auf 57 gemeldete Vorfälle (Vorjahr: 44). Und täglich werden weltweit **128 neue CVEs (Common Vulnerabilities and Exposures)** veröffentlicht. Ein Scan, der heute sauber ist, kann morgen bereits veraltet sein. --- ## Was ist Schwachstellenmanagement überhaupt? Schwachstellenmanagement (englisch: Vulnerability Management) ist ein kontinuierlicher Prozess zur Identifikation, Bewertung, Priorisierung und Behebung von Sicherheitslücken in IT-Systemen, Netzwerken und Anwendungen. Der entscheidende Begriff ist **kontinuierlich**. Im Gegensatz zu einem einmaligen Scan, der eine Momentaufnahme liefert, ist modernes Schwachstellenmanagement ein zyklischer Prozess: 1. **Erkennen** – Automatisierte Scans identifizieren alle Assets und ihre Schwachstellen 2. **Bewerten** – CVSS-Score und Kontext bestimmen das tatsächliche Risiko 3. **...