Die 5 besten Anbieter von Schwachstellenmanagement-Dienstleistungen im Jahr 2026

Wichtigste Erkenntnisse

• Arctic Wolf, Critical Start und Rapid7 führen die Scans durch, während Ihr Team in der Regel weiterhin die Patches installiert.
• Optiv eignet sich für Teams, die bereits Scans durchführen, aber einen Plan zur Behebung der Schwachstellen sowie praktische Unterstützung bei dessen Umsetzung benötigen.
• TuxCare stellt die eigentlichen Korrekturen bereit, darunter Sicherheitsupdates für Produkte, deren Lebenszyklus abgelaufen ist, sowie Kernel-Patches, die keinen Neustart erfordern.
• Bevor Sie etwas unterschreiben, fragen Sie nach, wer die einzelnen Patches einpflegt und wer überprüft, ob diese auch tatsächlich übernommen wurden.

Wenn man nach einem Anbieter für Schwachstellenmanagement sucht, werden in den Ergebnissen vier sehr unterschiedliche Arten von Unternehmen in einen Topf geworfen. Einige verkaufen Software, die Ihr Team selbst betreibt. Andere betreiben das Programm für Sie. Wieder andere bewerten Ihre bestehende Infrastruktur und helfen beim Neuaufbau, und einige wenige stellen die Korrekturen selbst bereit.

Die folgenden fünf Anbieter wurden nicht anhand einer einzigen Bewertungsliste ausgewählt. Jeder von ihnen steht für eine andere Art, einen Teil der Arbeit auszulagern. Ein sinnvoller Vergleich ergibt sich daher innerhalb des Modells, das genau den Anforderungen entspricht, die Ihr Team nicht bewältigen kann. Zu jedem Anbieter erfahren Sie, welche Leistungen er erbringt, wo seine Grenzen liegen und wie die Preisgestaltung aussieht.

Was ein Anbieter von Schwachstellenmanagement-Dienstleistungen leistet

Ein Anbieter von Schwachstellenmanagement-Dienstleistungen übernimmt einen Teil der Arbeit, die mit dem Aufspüren, der Priorisierung und der Behebung von Sicherheitslücken verbunden ist. Inwieweit Ihnen dadurch tatsächlich Arbeit abgenommen wird, hängt vom gewählten Modell ab. Die folgende Tabelle zeigt, welche Aufgaben bei den einzelnen Modellen an Ihr Team übergeben werden.

Modell	Wer scannt?	Wer führt die Triage durch?	Wer führt die Korrekturen durch?	Typischer Vertrag	Beispiele
Werkzeughersteller	Ihr Team	Ihr Team	Ihr Team	Software-Abonnement, dessen Preis häufig pro Asset berechnet wird	Qualys, Tenable (hier nicht vorgestellt)
Managed Provider (VMaaS)	Anbieter	Anbieter	Normalerweise dein Team, es sei denn, du fügst eine Patching-Option hinzu	Abonnement, das nach IP-Adressen, Ressourcen oder Servern abgegrenzt ist	Arctic Wolf, Rapid7, Critical Start
Ein auf Bewertungen spezialisiertes Unternehmen	Je nach Auftrag unterschiedlich	Berater, die mit Ihrem Team zusammenarbeiten	Ihr Team oder Berater auf höheren Ebenen	Projekt oder Rahmenvertrag	Optiv
Sanierungspartner	Ihr Scanner	Ihr Team	Der Anbieter stellt die Patches bereit, und Ihr Team oder ein Mitarbeiter führt die Installation durch	Abonnement pro System	TuxCare

Tool-Anbieter wie Qualys und Tenable vertreiben Plattformen, die Ihr Team nutzt. Einige Anbieter bündeln diese Plattformen in einem Managed Service – genau das tut Critical Start mit Qualys VMDR.

Unternehmen, die sich auf Schwachstellenanalysen spezialisieren, wie beispielsweise Optiv, arbeiten etwas anders als die anderen drei Modelle. Sie prüfen Ihr Programm, erstellen einen Plan zur Behebung der Schwachstellen und stellen in höheren Leistungsstufen Berater für die praktische Umsetzung zur Verfügung. Wenn Sie nach Anbietern für Schwachstellenanalysen gesucht haben, ist dies wahrscheinlich die Kategorie, die Sie im Sinn hatten.

Lesen Sie die Leistungsbeschreibung: Ein Managed Service umfasst nicht automatisch das Patchen. Bei den hier vorgestellten Dienstleistungen konzentriert sich der Kernumfang auf das Scannen, die Priorisierung und die Beratung, während die Anwendung von Korrekturen weiterhin Aufgabe Ihres Teams bleibt, es sei denn, Sie erwerben ein höheres Service-Level oder ein Add-on. Fragen Sie nach, wer die einzelnen Patches anwendet und wer überprüft, ob sie funktionieren. Für eine umfassendere Unterscheidung lesen Sie unseren Leitfaden zu Patch-Management im Vergleich zum Schwachstellenmanagement.

Die fünf Anbieter im Vergleich auf einen Blick

In der Tabelle sind die Anbieter nach ihrem Versorgungsmodell gruppiert. Die Zellen mit den Preisen zeigen, welche Preise die einzelnen Anbieter veröffentlichen – wie Sie feststellen werden, sind das nicht viele.

Anbieter	Modell	Am besten geeignet für	Wer führt die Korrekturen durch?	Preise
TuxCare	Sanierungspartner	Auslaufende Software und Linux-Hosts, die sich nicht ohne Weiteres neu starten lassen	Ihr Team oder ein Mitarbeiter installiert die von TuxCare bereitgestellten Patches	Abonnement pro System
Optiv	Ein auf Bewertungen spezialisiertes Unternehmen	Organisationen, die über Scanner verfügen, deren Abhilfeprogramm jedoch ins Stocken geraten ist	Ihr Team oder Optiv-Berater der höchsten Stufe	Nach Engagement gegliedert
Arctic Wolf Aurora – Schwachstellenmanagement	Managed Provider	Teams, die eine einheitliche Bezeichnung für die Bereiche Erkennung und Exposition wünschen	Unterstützung für Ihr Team oder automatisierte Patches für unterstützte Software über das Resolve-Add-on	Auf einem Angebot basierend
Service zum Management kritischer Startschwachstellen	Managed Provider auf der Plattform eines Tool-Anbieters	Käufer, die möchten, dass Qualys VMDR für sie betrieben wird	Ihr Team, das anhand der Patch-Listen von Critical Start arbeitet	Angebotsbasiert, dreistufig
Rapid7 Managed Vulnerability Management	Managed Provider	Teams, die möchten, dass Scan-Vorgänge und eine monatliche Überprüfung für sie übernommen werden	Ihr Team – mit einer auf Prioritäten ausgerichteten Anleitung	Auf einem Angebot basierend

TuxCare

TuxCare gehört zu einer anderen Kategorie als die anderen vier, also sollten Sie dies bei Ihrer Bewertung berücksichtigen. Es führt kein Scan- und Triage-Programm für Sie durch. Was es bereitstellt, sind Patches und Sicherheitsupdates für Software, die über die üblichen Kanäle nur schwer zu beheben ist – entweder, weil die Supportfrist des Anbieters abgelaufen ist oder weil der Host keinen Neustart verträgt. Damit ist es ein Partner bei der Fehlerbehebung, und Ihr Team oder ein Beauftragter übernimmt weiterhin die Installation.

Was Sie erhalten

Sicherheitsupdates über das Ende des Supportzeitraums hinaus mit „Endless Lifecycle Support“

Endless Lifecycle Support (ELS) bietet Sicherheitsupdates für Betriebssysteme auch nach Ablauf des standardmäßigen Support-Lebenszyklus des Herstellers. Das gleiche Modell gilt für Sprachökosysteme, Laufzeitumgebungensowie Anwendungen nach Ablauf ihrer offiziellen Lebensdauer weiter, was wichtig ist, da sich viele EOL-Risiken eher in den Abhängigkeiten als im Betriebssystem verbergen. Updates werden über ein Paket-Repository bereitgestellt, sodass Ihr Team oder dessen Konfigurationstools sie wie jedes andere Update installieren.

Open-Source-Pakete mit SecureChain geprüft

Für Code, der sich noch in der aktiven Entwicklung befindet, ersetzt SecureChain ersetzt öffentliche Registries durch von TuxCare verwaltete Registries, die verifizierte, signierte und kontinuierlich gepatchte Open-Source-Pakete für JavaScript, Python, Java, Go, Rust und PHP bereitstellen. Ihre Paketmanager verweisen auf die TuxCare-Registry statt auf die öffentliche, und Abhängigkeiten werden wie gewohnt installiert.

Live-Kernel-Patching mit KernelCare

KernelCare wendet Sicherheitspatches auf laufende Linux-Kernel ohne Neustart an, sodass Wartungsfenster nicht mehr darüber entscheiden, wann Korrekturen installiert werden. Das LibCare erweitert das Live-Patching auf gemeinsam genutzte Bibliotheken wie OpenSSL und glibc. KernelCare deckt über 70 Linux-Distributionsversionen der wichtigsten Enterprise-Linux-Distributionen, darunter RHEL, CentOS, Ubuntu, CloudLinux, Proxmox VE, Oracle Linux, Amazon Linux und Debian. Die Liste der unterstützten Distributionen nach Ihren genauen Kernel-Versionen.

Preise

TuxCare berechnet die Preise für seine Patching-Produkte pro System. Achten Sie beim Vergleich von Angeboten auf die Einheit, die Laufzeit und eventuelle SLA-Zusatzleistungen und vergewissern Sie sich, die aktuellen Preise beim TuxCare-Team.

Produkt	Preismodell	Aktueller Preis
KernelCare Enterprise	Pro System	Bitte bei TuxCare nachfragen
Endless Lifecycle Support	Je nach Linie unterschiedlich	Bitte bei TuxCare nachfragen

Wo TuxCare seine Stärken ausspielt

Die Korrekturen müssen nicht mehr auf ein Wartungsfenster warten, da Live-Patching Sicherheitslücken auf Hosts behebt, die keinen Neustart vertragen. Nicht unterstützte Software erhält eine echte Quelle für Sicherheitsupdates, während die Migration auf Hardware, Budget oder eine erneute Zertifizierung wartet. Und da die Patching-Produkte unabhängig von dem Scanner funktionieren, den Sie bereits einsetzen, bedeutet ihre Einführung nicht, dass Sie irgendetwas entfernen müssen.

Wo TuxCare Schwächen aufweist

TuxCare übernimmt kein Eigentum an Ihrem Programm. Das Scannen und die Triage bleiben in der Verantwortung Ihres Teams oder eines anderen Anbieters, und es gibt kein Analystenteam, das diese Aufgaben in Ihrem Auftrag übernimmt. Der Schwerpunkt der Abdeckung liegt zudem stark auf Linux und Open-Source-Laufzeitumgebungen, -Sprachen und -Anwendungen. Unter Windows beschränkt sich die Abdeckung auf ausgewählte Laufzeitumgebungen wie .NET und PHP, sodass eine stark auf Windows ausgerichtete Infrastruktur einen weiteren Anbieter für eine umfassendere Abdeckung benötigt.

Für wen eignet sich TuxCare am besten?

Plattform-Leads, deren Ergebnisse offen bleiben, weil es kaum Zeitfenster für Änderungen gibt, erzielen am schnellsten einen Mehrwert. Eigentümer von Auslaufmodellen sind die andere naheliegende Zielgruppe, unabhängig davon, ob es sich um eine Flotte handelt, die noch auf CentOS 7 läuft, weil eine hartnäckige Anwendung die Migration blockiert, oder ein Dienst, der an eine Laufzeitumgebung gebunden ist, deren Support bereits vor Jahren ausgelaufen ist. Es eignet sich auch für Teams, die die Probleme bereits identifiziert haben, für die es jedoch einfach keine unterstützte Lösung gibt.

Optiv

Optiv bietet Managed Vulnerability Scanning als eigenständigen Service an, doch die hier behandelten Behebungsdienste betrachten das Schwachstellenmanagement als ein Programm, das es aufzubauen oder zu reparieren gilt. Die Berater von Optiv ermitteln den Ausgangszustand Ihres Unternehmens, priorisieren die Maßnahmen und begleiten die Behebung durch vier Phasen: Erkennen, Priorisieren, Beheben und Validieren. Der Umfang ist anpassbar. Eine einmalige Bestandsaufnahme ist die einfachste Option, während bei der umfassendsten Variante Optiv-Berater direkt in Ihr Team integriert werden.

Was Sie erhalten

Die vier Phasen

Im Rahmen der Erfassung werden Ihre Schwachstellen sowie die Verantwortlichen für die betroffenen Ressourcen ermittelt, wodurch Sie eine Ausgangsbasis erhalten. Bei der Priorisierung werden die Ergebnisse nach ihrem Risiko eingestuft und in einen Triage-Prozess sowie einen Maßnahmenplan umgesetzt. In der Behebungsphase wählen Sie aus, welche Dienste Optiv für Sie ausführen soll. Im Rahmen der Validierung werden die Ergebnisse anschließend überprüft und mit Ihren eigenen Kennzahlen und KPIs verknüpft.

Stufen der beratenden Unterstützung

Auf der Seite „Sanierungsmaßnahmen“ von Optiv werden drei Stufen aufgeführt. Die Bewertung und Planung (VMAP) umfasst einen ersten Workshop, einen Sanierungsplan und eine zeitpunktbezogene Priorisierung. Die Sanierungsberatung (VRAS) ergänzt dies um regelmäßige Planaktualisierungen, fortlaufende Priorisierung und Nachverfolgung, Programmberatung sowie KPI-Berichterstattung – alles im Rahmen wöchentlicher Kundengespräche. Die Sanierungsberatung Plus (VRAS Plus) bietet zusätzlich praktischen technischen Support und zusätzliches Personal, um die Arbeit zu beschleunigen, wobei die Berater als Erweiterung Ihres Teams fungieren.

Hilfe bei der Bereitstellung und Migration von Plattformen

Optiv kümmert sich außerdem um die Bereitstellung, Konfiguration und Optimierung von Plattformen zum Schwachstellenmanagement und hat Anleitungen zur Migration zwischen diesen Plattformen veröffentlicht. Sollte ein Toolwechsel bereits auf Ihrer Roadmap stehen, können diese Arbeiten im Rahmen desselben Projekts durchgeführt werden.

Preise

Optiv passt den Umfang der Leistungen an den jeweiligen Arbeitsaufwand an, sodass Ihr Preis von der Leistungsstufe und dem erforderlichen Aufwand abhängt. Erkundigen Sie sich, welche Annahmen hinsichtlich der Anzahl der Anlagen, der Anzahl der Geschäftsbereiche und der Dauer im Angebot zugrunde liegen, und klären Sie die aktuellen Konditionen mit Optiv ab.

Angebot	Preismodell	Aktueller Preis
Bewertung und Planung (VMAP)	Nach Engagement gegliedert	Bitte bei Optiv bestätigen
Sanierungsberatung (VRAS)	Nach Engagement gegliedert	Bitte bei Optiv bestätigen
Sanierungsberatung Plus (VRAS Plus)	Nach Engagement gegliedert	Bitte bei Optiv bestätigen

Wo Optiv seine Stärken ausspielt

Die schrittweise Vorgehensweise liefert Ihnen ein klares Vorher-Nachher-Bild. In der Discovery-Phase wird die Ausgangsbasis festgelegt, in der Validierungsphase erfolgt ein Abgleich daran, und die Lücke zwischen beiden lässt sich der Führungsebene leicht vermitteln. Sie können zudem klein anfangen – mit einer Bestandsaufnahme – und im Laufe der Programmentwicklung Beratungsleistungen oder praktische Unterstützung hinzufügen, während die Arbeiten zur Bereitstellung, Feinabstimmung und Migration den plattformbezogenen Teil abdecken.

Wo Optiv Schwächen aufweist

Beratung steht an erster Stelle. Zwei der drei Stufen konzentrieren sich auf Planung, Priorisierung und Beratung, während praktische Arbeit erst auf der obersten Stufe zum Tragen kommt. Diese Korrekturmaßnahmen umfassen nicht die tägliche Durchführung Ihrer Scans. Optiv bietet verwaltete Schwachstellenscans separat an; fragen Sie daher nach, ob beide Leistungen gemeinsam in den Leistungsumfang aufgenommen werden können. Käufer aus regulierten Branchen sollten sich direkt an Optiv wenden, um zu erfahren, welche Bestätigungsberichte und Zertifizierungen ihr Beschaffungsprozess erfordert.

Für wen eignet sich Optiv am besten?

Sicherheitsverantwortliche, die bereits über Scanner verfügen und mit einem Rückstand zu kämpfen haben, der sich einfach nicht verringern lässt, sind die ideale Zielgruppe. Teams, die eine Plattformmigration planen, erhalten einen Partner, der die Bereitstellung der Tools parallel zu den Programmänderungen durchführen kann. Führungskräfte, die der Geschäftsleitung Rechenschaft ablegen müssen, werden es zu schätzen wissen, dass sie am Ende eine Ausgangsbasis, KPIs und validierte Ergebnisse erhalten, die zeigen, was sich verändert hat.

Arctic Wolf Aurora – Schwachstellenmanagement

Arctic Wolf führte im Mai 2026 „Aurora Vulnerability Management“ als Weiterentwicklung seines „Managed Risk“-Dienstes ein; ältere Berichte, die unter dem Namen „Managed Risk“ verfasst wurden, beschreiben daher eine frühere Version. Aurora VM scannt interne und externe Ressourcen, bewertet die Ergebnisse anhand des Bedrohungs- und Ausnutzbarkeitskontexts und koordiniert all dies mit dem „Concierge Security Team“ (CST) von Arctic Wolf. Arctic Wolf bietet außerdem Managed Detection and Response an, wobei beide Dienste eine gemeinsame Plattform nutzen können.

Was Sie erhalten

Ein eigens dafür benanntes Concierge-Sicherheitsteam

Das CST ist Ihr zentraler Ansprechpartner für diesen Service. Es erfasst Ihre Risikorichtlinien, die Kritikalität Ihrer Systeme, Ihre Patch-Zyklen und Ihre Service-Level-Ziele und hilft Ihnen anschließend dabei, Prioritäten für die Behebung von Problemen zu setzen. Wenn ein kritisches Risiko auftritt, gibt das Team Ihnen Anleitungen und unterstützt Sie bei der Behebung.

Über Netzwerke, Endgeräte und die Cloud hinweg scannen

Aurora VM umfasst interne und externe Schwachstellenscans, Bestandsaufnahmen von Systemressourcen sowie Überprüfungen auf fehlerhafte Softwarekonfigurationen. Auf Endgeräten führt der Arctic Wolf Agent zusätzlich hostbasierte Überprüfungen durch, darunter CIS-Benchmark-Scans und OVAL-basierte Schwachstellenscans, und unterstützt Linux. Der Umfang der Cloud-Sicherheitsüberprüfung hängt davon ab, welche Cloud-Angebote von Arctic Wolf Sie hinzufügen. Erkundigen Sie sich daher, was für Ihre Konten im Leistungsumfang enthalten ist.

Leitfaden zur Sanierung und „Resolve“

Die Ergebnisse werden Ihnen über ein Portal mit Dashboards und On-Demand-Berichten bereitgestellt. Die Unterstützung bei der Fehlerbehebung umfasst KI-gestützte Anleitungen, anpassbare SLAs für die Fehlerbehebung, ITSM-Integrationen sowie erneute Scans zur Überprüfung, ob eine Korrektur Bestand hat. Die automatisierte Patch-Bereitstellung erfolgt über das Add-on „Resolve“, mit dem Teams Patches für unterstützte Drittanbietersoftware auf Hosts, auf denen der Arctic Wolf Agent läuft, planen und anwenden können. Die Liste der unterstützten Software umfasst rund 200 Einträge, darunter fast ausschließlich Desktop-Anwendungen wie Browser, PDF-Reader und Office. Die meisten davon sind Windows-Anwendungen, und die rund ein Dutzend Linux-Einträge umfassen Programme wie Chrome, Firefox, LibreOffice und Zoom.

Preise

Arctic Wolf berechnet den Preis für Aurora VM entsprechend dem Umfang Ihrer Umgebung und den von Ihnen gewählten Diensten. Erkundigen Sie sich, für welche Einheiten das Angebot gilt, ob „Resolve“ enthalten ist und wie es mit etwaigen Erkennungsdiensten gebündelt wird, und lassen Sie sich dann die aktuellen Zahlen von Arctic Wolf bestätigen.

Plan	Preismodell	Aktueller Preis
Aurora-Schwachstellenmanagement	Auf Ihre Umgebung zugeschnitten	Bitte bei Arctic Wolf nachfragen
Entschlossenheit	Erweiterung für Aurora Vulnerability Management	Bitte bei Arctic Wolf nachfragen
Aurora-Schwachstellenmanagement mit verwalteter Erkennung und Reaktion	Im Lieferumfang des Erkennungsdienstes enthalten	Bitte bei Arctic Wolf nachfragen

Wo Arctic Wolf glänzt

Der größte Mehrwert liegt beim CST, das Ihre Richtlinien und Patch-Zyklen erlernt, sodass Sie mit Mitarbeitern zusammenarbeiten, die Ihre Umgebung bereits kennen. Die Abdeckung ist für einen einzelnen Dienst sehr umfassend, und es ist der einzige Managed-Service-Anbieter hier, der über einen dokumentierten Weg zur automatisierten Patch-Bereitstellung verfügt – und zwar über Resolve. Wenn Sie auch Managed Detection in Betracht ziehen, kann Aurora VM die Plattform und das Team gemeinsam nutzen.

Wo Arctic Wolf Schwächen zeigt

Ohne Resolve erhalten Sie zwar Unterstützung und Workflow-Hilfe, doch die Installation der Patches erfolgt weiterhin durch Ihr Team. Selbst mit Resolve ist die Lösung auf Desktop-Software ausgerichtet, sodass Serverpakete und Kernel-Updates weiterhin in Ihrem Verantwortungsbereich liegen. Die frühzeitige Budgetplanung ist schwierig, da auf den öffentlichen Aurora-VM-Seiten von Arctic Wolf keine Preise angegeben sind. Auch zu Linux-Details ist eine direkte Anfrage erforderlich: Fragen Sie, welche Distributionen der Agent unterstützt und welche Prüfungen er auf diesen durchführt.

Für wen ist Arctic Wolf am besten geeignet?

IT-Leiter ohne eigenes Sicherheitsteam beauftragen externe Analysten, die Scans durchführen und ihnen mitteilen, welche Probleme zuerst behoben werden sollten. Kunden, die bereits nach Managed-Detection-Lösungen suchen, können beide Anforderungen mit einem einzigen Anbieter und einem einzigen Portal abdecken, und Teams mit hybriden Infrastrukturen erhalten einen zentralen Ansprechpartner für Netzwerk, Endgeräte und Cloud.

Service zum Management kritischer Startschwachstellen

Critical Start beginnt mit dem Scanner. Der Vulnerability Management Service läuft auf Qualys VMDR, und Critical Start kann entweder die Qualys-Lizenz bereitstellen oder den Dienst im Rahmen eines bereits bestehenden Abonnements ausführen. In beiden Fällen muss Ihr Team die Plattform weder konfigurieren noch überwachen. Critical Start hat im August 2024 die allgemeine Verfügbarkeit angekündigt.

Was Sie erhalten

Verwaltetes Scannen auf Qualys VMDR

Die Analysten von Critical Start übernehmen die operative Überwachung, planmäßige Scans und die Analyse. Die Scans umfassen externe und interne Ziele, wobei je nach Umgebung entweder ressourcenschonende Agenten oder Remote-Scanner zum Einsatz kommen. Sie können sich für vollständig verwaltete Scans entscheiden oder diese weiterhin selbst durchführen.

Priorisierung und Patch-Listen

Der Dienst ordnet die Ergebnisse nach ihrem Risikograd und wandelt sie in verbindliche Patch-Listen um, die sowohl herstellerspezifische als auch Patches von Drittanbietern enthalten, sodass Ihr Team weiß, was wo bereitgestellt werden muss. Individuell anpassbare Berichte zu Schwachstellen und deren Behebung sind Teil des Pakets.

Eine gemeinsame Konsole und Verknüpfungen zum Ticketmanagement

Die Ergebnisse werden auf der eigenen Plattform von Critical Start neben den von Critical Start verwalteten Erkennungswarnungen, dem Bestandsverzeichnis der Ressourcen und den Lücken bei den Sicherheitskontrollen angezeigt. Der Dienst lässt sich zudem mit Ihrem Ticket-System verknüpfen, um die Behebung von Problemen bis zum Abschluss zu verfolgen.

Preise

Auf der aktuellen Serviceseite von Critical Start wird VMS in derselben dreistufigen Struktur wie die MDR-Dienste des Unternehmens dargestellt. Die Stufen heißen „Essentials“, „Enterprise“ und „Signature“, wobei jede höhere Stufe benannte Ansprechpartner, häufigere Überprüfungen und strengere SLA-Verpflichtungen beinhaltet. Wenn Critical Start die Qualys-Lizenz bereitstellt, umfasst das Angebot sowohl den Scanner als auch den Service. Erkundigen Sie sich, nach welcher Einheit sich der Preis richtet, und lassen Sie sich die aktuellen Zahlen von Critical Start bestätigen.

Plan	Preismodell	Aktueller Preis
Das Wichtigste	Teamorientierter Service, auf der Grundlage von Angeboten	Mit „Critical Start“ bestätigen
Unternehmen	Bezeichnet als CSM und TAM, auf der Grundlage von Kursnotierungen	Mit „Critical Start“ bestätigen
Unterschrift	Concierge-Service mit einem leitenden Ansprechpartner, auf Angebotsbasis	Mit „Critical Start“ bestätigen

Wo „Critical Start“ seine Stärken ausspielt

Wenn Sie beide Komponenten benötigen, erhalten Sie Qualys VMDR und die Analysten, die das System betreiben, im Rahmen eines einzigen Vertrags, wodurch ein separater Lizenzierungsschritt entfällt. Sie nutzen Qualys bereits? Dann kann der Dienst stattdessen über Ihr bestehendes Abonnement genutzt werden. Teams können sich für vollständig verwaltete Scans entscheiden oder weiterhin ihre eigenen Scans planen, und alle, die zusätzlich den Managed-Detection-Service von Critical Start erwerben, sehen die Ergebnisse der Schwachstellenanalyse in derselben Konsole wie ihre Warnmeldungen.

Wo „Critical Start“ Schwächen aufweist

Der Scanner ist fest vorgegeben. Da der Dienst auf Qualys VMDR basiert, muss ein Team, das einen anderen Scanner standardmäßig einsetzt, einen anderen Weg einschlagen. In den öffentlich zugänglichen Unterlagen von Critical Start werden Patch-Listen beschrieben, an denen sich Ihr Team orientieren kann; zur Bereitstellung dieser Patches wird jedoch nichts gesagt. Die veröffentlichten SLA-Bedingungen von Critical Start beziehen sich zudem größtenteils auf Reaktionszeiten bei Warnmeldungen. Erkundigen Sie sich daher vor der Unterzeichnung, inwiefern sich diese auf die Arbeit im Bereich der Schwachstellenbehebung auswirken.

Für wen eignet sich „Critical Start“ am besten?

Unternehmen, die bereits auf Qualys setzen und dessen Abdeckung und Bewertung nutzen möchten, ohne die Plattform selbst zu betreiben, sind die ideale Zielgruppe. Bestehende Kunden von Critical Start erhalten ein einziges Portal für Warnmeldungen und Sicherheitslücken. Auch schlanke IT-Abteilungen, die selbst für das Patchen zuständig sind, passen gut ins Konzept, solange sie gerne direkt anhand der Listen arbeiten und die Planung sowie Analyse der Scans anderen überlassen möchten.

Rapid7 Managed Vulnerability Management

Im Rahmen des Managed Vulnerability Management (MVM) von Rapid7 übernimmt das Rapid7-Team die Überprüfung der in Ihrem Bestellformular angegebenen IP-Adressen und bespricht die Ergebnisse jeden Monat mit Ihnen. Der dokumentierte Umfang konzentriert sich auf Priorisierung und Beratung. In der Standard-MVM-Stufe kann Ihr Team die Ergebnisse zudem in der InsightVM-Konsole einsehen.

Was Sie erhalten

Monatliche Überprüfung und Berichterstattung

Rapid7 scannt Ihre vertraglich vereinbarten IP-Adressen monatlich und liefert einen monatlichen Servicebericht. Sobald Sie sich mit Ihrem Berater auf einen Zeitplan geeinigt haben, übernimmt das Managed Operations-Team von Rapid7 die Konfiguration der Scans, die Überwachung, die Überprüfung und die Fehlerbehebung. Die Einstiegsstufe „MVM Basic“ umfasst bis zu 2.500 IP-Adressen und läuft auf der Nexpose-Engine von Rapid7.

Ein zugewiesener Berater für Cybersicherheit

Sie treffen sich jeden Monat mit Ihrem Berater, um Berichte und Kennzahlen zu besprechen, und im Rahmen regelmäßiger Geschäftsbesprechungen werden Programmtrends und Empfehlungen erörtert. Der Berater liefert außerdem monatlich eine Prioritätenliste für Korrekturmaßnahmen sowie Anleitungen, die Ihrem Team zeigen, wo es in jedem Zyklus ansetzen soll.

Zugriff auf die Konsole

Im Standard-MVM-Tarif kann Ihr Team die InsightVM-Konsole öffnen, um zwischen den Besprechungen Ergebnisse und Berichte einzusehen. MVM Basic umfasst keinen Kundenzugang zur von Rapid7 gehosteten Konsole.

Preise

Rapid7 berechnet die MVM-Kosten anhand der IP-Adressen auf Ihrem Bestellformular, daher hängt Ihr Angebot davon ab, wie viele Sie vertraglich vereinbaren. Die aktuellen Preise erfahren Sie bei Rapid7 über die MVM-Seite.

Plan	Preismodell	Aktueller Preis
MVM Basic	Begrenzt auf vertraglich vereinbarte IP-Adressen, bis zu 2.500	Bitte bei Rapid7 nachfragen
MVM	Eingeschränkt auf vertraglich vereinbarte IP-Adressen	Bitte bei Rapid7 nachfragen

Wo Rapid7 seine Stärken ausspielt

Rapid7 legt den Leistungsumfang schriftlich fest, sodass Sie ein Angebot anhand einer konkreten Liste von Leistungen überprüfen können. Das monatliche Beratermeeting bietet Ihrem Team einen festen Termin, um Kennzahlen zu besprechen und Prioritäten festzulegen. Je nach Zugangsstufe zur Konsole können Ihre Mitarbeiter die Ergebnisse eingehend analysieren, ohne auf den nächsten Bericht warten zu müssen.

Wo Rapid7 Schwächen aufweist

Das Installieren von Patches fällt nicht in den dokumentierten Umfang. Die aufgeführten Leistungen umfassen Priorisierung und Beratung, während die Bereitstellung von Patches nirgends erwähnt wird. Die dokumentierte Scan-Häufigkeit beträgt einmal pro Monat, was für sich schnell verändernde Umgebungen ein zu langer Zeitraum ist. Fragen Sie daher nach, ob der Vertrag häufigere Scans zulässt. Auch für Netzwerkausnahmen sind Sie selbst verantwortlich. Falls Intrusion-Prevention-Systeme oder eine Web-Application-Firewall die Scans beeinträchtigen könnten, müssen Sie die Quell-IP der Scan-Engine auf die Whitelist setzen oder die Scans von einem Netzwerkstandort aus durchführen, der nicht hinter diesen Kontrollen liegt; Rapid7 betrachtet die Überprüfung dieser Kontrollen als außerhalb des Leistungsumfangs liegend.

Für wen eignet sich Rapid7 am besten?

Sicherheitsverantwortliche mit einem kleinen Team sind hier am besten aufgehoben, insbesondere wenn sie Scans nach einem festen Zeitplan durchführen und auswerten lassen möchten und über Mitarbeiter verfügen, die die Korrekturen umsetzen. IT-Manager, die bereits für das Patching zuständig sind, können die vom Berater erstellte Prioritätenliste direkt in den von ihnen etablierten Prozess integrieren. Für Teams, die InsightVM bereits nutzen, wird die Konsole auf den Ebenen, die Zugriffsrechte beinhalten, vertraut wirken.

Auswahl eines Anbieters für Schwachstellenmanagement

Die Wahl des richtigen Anbieters hängt davon ab, welchen Teil der Arbeit Ihr Team nicht selbst bewältigen kann. Wenn niemand Zeit hat, Scans durchzuführen und die Ergebnisse zu bewerten, übernimmt dies ein Managed-Service-Anbieter wie Arctic Wolf, Rapid7 oder Critical Start – und das Add-on „Resolve“ von Arctic Wolf geht noch einen Schritt weiter und ermöglicht die automatisierte Bereitstellung von Patches für unterstützte Software. Wenn Sie zwar über Scanner verfügen, sich die Befunde aber immer weiter anhäufen, kann Ihnen ein auf Assessments spezialisiertes Unternehmen wie Optiv dabei helfen, das Programm neu aufzubauen. Und wenn Ihre offenen Befunde auf Software betreffen, deren Lebenszyklus abgelaufen ist, oder auf Linux-Hosts, die Sie nicht neu starten können, kann ein Partner für die Behebung von Sicherheitslücken wie TuxCare die Korrekturen bereitstellen.

Wenn Sie Fragen zur Unterstützung nach Ablauf der Supportlaufzeit oder zu Live-Patches für Ihre Umgebung haben, wenden Sie sich bitte an das TuxCare-Team.

FAQs