Zuletzt aktualisiert: 6. August 2026

EASM im CTEM-Prozess: Welche Aufgabe übernimmt die externe Angriffserkennung?

Das Wichtigste in Kürze

• Continuous Threat Exposure Management (CTEM) ist ein kontinuierlicher Managementansatz, kein einzelnes Produkt.
• Gartner gliedert CTEM in Scoping, Discovery, Priorisierung, Validierung und Mobilisierung.
• External Attack Surface Management (EASM) kann vor allem externe Assets und Expositionen für Scoping und Discovery sichtbar machen.
• EASM allein validiert nicht automatisch einen realistischen Angriffspfad und organisiert auch keine bereichsübergreifende Behebung.
• Ein wirksamer CTEM-Prozess führt Erkenntnisse aus Behebung und Validierung wieder in Scope, Priorisierung und Messgrößen zurück.

CTEM ist ein Programm für kontinuierliche Expositionssteuerung

Continuous Threat Exposure Management beschreibt einen wiederkehrenden Prozess, mit dem Organisationen relevante Cyberexpositionen identifizieren, bewerten und reduzieren. Gartner bezeichnet CTEM als integrierten, iterativen Ansatz zur Priorisierung und fortlaufenden Verbesserung der Sicherheitslage. Der Begriff richtet den Blick über einzelne Schwachstellen hinaus auf die Frage, welche Expositionen für das Unternehmen tatsächlich handlungsrelevant sind.

Eine Exposition kann eine technische Schwachstelle sein, aber auch eine Fehlkonfiguration, ein ungeschützter Zugang, eine unklare Asset-Zuordnung oder eine Lücke in einer Sicherheitskontrolle. CTEM verknüpft diese technischen Informationen mit Geschäftskritikalität, Bedrohungskontext und Umsetzbarkeit. Das Programm soll nicht möglichst viele Befunde produzieren. Es soll Teams helfen, begrenzte Ressourcen auf nachvollziehbar priorisierte Risiken zu konzentrieren.

Gartner ordnet den Ablauf in fünf Phasen: Scoping, Discovery, Priorisierung, Validierung und Mobilisierung. Diese Einteilung ist ein Analystenmodell und keine technische Norm. Organisationen können ihre bestehenden Prozesse daran ausrichten, ohne jede Bezeichnung wörtlich zu übernehmen. Wichtig ist der Kreislauf: Erkenntnisse aus einer Runde verändern den nächsten Scope und die nächste Priorisierung.

EASM ist in diesem Modell eine mögliche Daten- und Discovery-Komponente. Es betrachtet die externe Angriffsfläche aus einer Outside-in-Perspektive. Eine Einführung in diese Arbeitsweise bietet der Wissen-Beitrag Was ist EASM?. EASM bildet jedoch nicht automatisch alle CTEM-Phasen ab.

Scoping und Discovery: Wo EASM besonders nützlich ist

Scoping grenzt ein, welche Bereiche untersucht werden und welche Folgen für das Geschäft relevant sind. Ein zu weiter Scope erzeugt viele Befunde ohne klare Zuständigkeit. Ein zu enger Scope kann wichtige Abhängigkeiten übersehen. Der Startpunkt sollte daher eine Geschäftsfunktion sein, etwa ein Kundenportal, ein Produktionsstandort oder ein kritischer Dienstleister. Daraus lassen sich digitale Assets und verantwortliche Teams ableiten.

EASM unterstützt diese Phase, indem es die öffentlich sichtbaren technischen Beziehungen rund um bekannte Ausgangspunkte untersucht. Microsoft nennt Domains, IP-Bereiche, Hosts, autonome Systemnummern und Organisationsinformationen als mögliche Discovery-Seeds. Aus beobachteten Verbindungen entstehen Kandidaten für die weitere Zuordnung. Solche Kandidaten dürfen nicht ungeprüft als Eigentum der Organisation behandelt werden.

In der Discovery-Phase werden Expositionen innerhalb des gewählten Scopes ermittelt. EASM kann unbekannte Hosts, offene Dienste, Zertifikatsbeziehungen und beobachtbare Konfigurationsmerkmale liefern. Es eignet sich besonders für Internetexpositionen, die eine interne Inventarliste nicht erfasst. Der Ansatz benötigt in der Regel keine Agenten auf den betrachteten Systemen.

Die externe Sicht bleibt ein Teilbild. Interne Angriffspfade, Identitätsberechtigungen, lokale Softwarestände und nicht erreichbare Systeme benötigen andere Datenquellen. CTEM verbindet deshalb häufig EASM mit Vulnerability Scannern, Cloud Security Posture Management, Identitätsdaten, Asset-Inventaren und manuellen Prüfungen. Welche Quellen erforderlich sind, folgt aus dem Scope.

Priorisierung: Von der Liste zur begründeten Reihenfolge

Discovery kann mehr Befunde erzeugen, als ein Team gleichzeitig bearbeiten kann. Gartner nennt für die Priorisierung unter anderem Dringlichkeit, Schwere, Behebbarkeit und das Risiko für die Organisation. Ein CVSS-Wert allein reicht dafür nicht aus. Er beschreibt Merkmale und Schwere einer Schwachstelle, aber nicht automatisch die Bedeutung eines konkreten Assets für einen Geschäftsprozess.

EASM kann die Priorisierung mit Kontext unterstützen. Ein aus dem Internet erreichbares Administrationsportal verdient eine andere Aufmerksamkeit als ein interner Testdienst. Ein öffentlich sichtbarer veralteter Dienst kann relevant sein, wenn er einem kritischen Geschäftsprozess zugeordnet ist. Die externe Beobachtung kann außerdem zeigen, ob ein Befund neu aufgetreten ist, wiederkehrt oder nach einer Änderung weiterhin sichtbar bleibt.

Eine belastbare Reihenfolge kombiniert mindestens vier Perspektiven: technische Schwere, reale Exposition, Geschäftskritikalität und aktuelle Bedrohung. Für die technische Einordnung kann ein Security Rating wiederkehrende Messwerte bereitstellen. Das Rating ist ein Entscheidungssignal, keine alleinige Freigabe für Maßnahmen.

LocateRisk gleicht bei passenden Schwachstellenthemen Hinweise aus mehreren Quellen mit der beobachteten Angriffsfläche ab, auch wenn noch keine abschließende NVD-Bewertung vorliegt. Diese Preemptive Intelligence kann die Aktualität der Priorisierung unterstützen. Sie beweist jedoch nicht in jedem Fall eine konkret verwundbare Softwareversion. Hinweise müssen mit Herstellerinformationen, internen Versionsdaten und gegebenenfalls einem kontrollierten Test validiert werden.

Validierung: Annahmen und Maßnahmen gezielt prüfen

Gartner beschreibt Validierung als kontrollierte Simulation oder Emulation eines Angriffs, um zu verstehen, wie ein Angreifer eine Exposition nutzen könnte. Manuelle Penetrationstests, Red-Team-Übungen oder automatisierte Breach-and-Attack-Simulationen können dafür eingesetzt werden. Die Auswahl hängt von Risiko, Scope und zulässiger Prüftiefe ab.

EASM kann eine Vorstufe und eine Nachkontrolle liefern. Es zeigt, welche öffentlich sichtbaren Merkmale eine Validierung verdienen. Nach einer Konfigurationsänderung kann eine erneute externe Beobachtung prüfen, ob der Dienst weiterhin erreichbar ist oder das beanstandete Merkmal noch erscheint. Das ist keine Exploit-Bestätigung und ersetzt keinen autorisierten Sicherheitstest.

Validierung betrifft auch die geplante Behandlung. Eine technische Maßnahme kann wirksam sein, aber einen Geschäftsprozess beeinträchtigen. Umgekehrt kann eine organisatorisch einfache Änderung das Risiko nur gering reduzieren. Der CTEM-Prozess sollte daher vor der Umsetzung klären, welche Wirkung erwartet wird und wie sie gemessen werden kann. Geeignete Messpunkte sind etwa der Wegfall einer öffentlichen Erreichbarkeit, die Aktivierung einer Sicherheitskontrolle oder die dokumentierte Risikoakzeptanz.

Bei Drittdienstleistern ist die Prüftiefe begrenzt. Externe Evidenz kann eine Nachfrage und eine Priorisierung auslösen, aber der Lieferant muss interne Ursachen und Maßnahmen bestätigen. Die Seite Third-Party Risk Management zeigt, wie technische Beobachtungen mit einem Lieferantenprozess verbunden werden können.

Mobilisierung: Befunde in verantwortete Maßnahmen überführen

Mobilisierung verbindet die priorisierte Erkenntnis mit einer umsetzbaren Behandlung. Gartner betont dabei die Zusammenarbeit zwischen Security, IT und Geschäftsbereichen. Ein Befund benötigt einen Owner, einen nachvollziehbaren Risikokontext, eine Entscheidung und einen Termin. Ohne diese Elemente bleibt selbst eine gute technische Analyse folgenlos.

Ein praktikabler Datensatz umfasst das betroffene Asset, die externe Evidenz, mögliche Auswirkungen, empfohlene nächste Prüfungen, den zuständigen Bereich und den Status. Schnittstellen zu Ticketing- oder Workflow-Systemen verringern Medienbrüche. Automatisierung sollte jedoch keine ungeprüften Asset-Zuordnungen oder Maßnahmen erzwingen. Besonders bei produktiven Systemen bleibt eine verantwortliche Freigabe nötig.

EASM unterstützt die Kommunikation, weil Screenshots, Zeitpunkte und beobachtbare Merkmale eine gemeinsame Faktenbasis liefern können. Ein Management-Dashboard sollte nicht nur offene Befunde zählen. Hilfreicher sind Kennzahlen zur Bearbeitungsdauer, Wiederholungsrate, Exposition kritischer Dienste und nachgewiesenen Risikoreduktion.

Für eine erste strukturierte Außenperspektive kann eine IT-Risikoanalyse relevante Expositionen und Zuständigkeiten sichtbar machen. Der anschließende Workflow entscheidet, ob daraus eine CTEM-Fähigkeit entsteht. Die Verantwortung bleibt dennoch im Programm.

Die Feedbackschleife macht CTEM kontinuierlich

CTEM endet nicht mit dem Schließen eines Tickets. Die Ergebnisse einer Runde liefern Daten für die nächste. Wenn häufig unbekannte Cloud-Hosts auftauchen, sollte der neue Scope den Bereitstellungsprozess einbeziehen. Wenn Befunde wiederkehren, kann eine zentrale Konfigurationsvorgabe wirksamer sein als einzelne Korrekturen. Wenn eine Validierung die angenommene Auswirkung widerlegt, muss das Priorisierungsmodell angepasst werden.

Die Feedbackschleife umfasst drei Ebenen. Auf Asset-Ebene wird geprüft, ob die Exposition beseitigt oder akzeptiert wurde. Auf Prozessebene wird bewertet, warum sie entstehen konnte und ob Kontrollen greifen. Auf Programmebene wird untersucht, ob Scope, Datenquellen und Kennzahlen die relevanten Risiken abbilden. EASM liefert dafür wiederkehrende Outside-in-Beobachtungen und macht Veränderungen über die Zeit messbar.

Ein sinnvoller Start ist ein begrenzter, geschäftsnaher Scope mit klaren Verantwortlichen. Dokumentieren Sie die fünf Phasen, legen Sie Ein- und Ausgangskriterien fest und messen Sie die Zeit von Discovery bis zur verifizierten Behandlung. Nach einigen Zyklen zeigt sich, welche zusätzlichen Datenquellen oder Validierungsverfahren tatsächlich benötigt werden.

Definieren Sie außerdem eine feste Taktung. Kritische externe Veränderungen können eine unmittelbare Prüfung auslösen, während die Programmebene beispielsweise monatlich oder quartalsweise bewertet wird. Ein Regeltermin sollte offene Ausnahmen, wiederkehrende Befunde, überfällige Maßnahmen und Veränderungen des Scopes behandeln. Die Frequenz folgt dem Risiko und der Veränderungsgeschwindigkeit der Umgebung. Ein statischer Jahresbericht erfüllt den kontinuierlichen Anspruch nicht, auch wenn die zugrunde liegende Datenerhebung automatisiert erfolgt.

Zur Erfolgsmessung eignen sich wenige klare Kennzahlen: Zeit bis zur Zuordnung eines Owners, Zeit bis zur Validierung, Anteil fristgerecht behandelter priorisierter Expositionen und Wiederholungsrate. Eine sinkende Befundzahl allein belegt keinen Erfolg, weil auch ein engerer Scope oder eine ausgefallene Datenquelle die Zahl reduzieren kann. Kennzahlen brauchen daher immer Scope, Datenstand und fachlichen Kontext.

Häufige Fragen

---

Ist CTEM ein Produkt oder eine Softwarekategorie?

CTEM ist ein kontinuierlicher Managementansatz. Werkzeuge wie EASM, Vulnerability Scanner, CAASM oder Validierungslösungen können einzelne Phasen unterstützen. Verantwortlichkeiten, Priorisierungsregeln und die Behandlung von Risiken bleiben organisatorische Aufgaben.

---

Welche CTEM-Phasen unterstützt EASM?

EASM ist besonders für Scoping und Discovery der externen Angriffsfläche nützlich. Es kann zudem Expositionsdaten für die Priorisierung und eine externe Nachkontrolle nach Maßnahmen liefern. Validierung und Mobilisierung benötigen weitere Verfahren und klare Verantwortliche.

---

Ersetzt EASM Penetrationstests im CTEM-Prozess?

Nein. EASM beobachtet externe Assets und technische Merkmale. Ein Penetrationstest kann mit entsprechender Autorisierung konkrete Angriffsmöglichkeiten tiefer prüfen. CTEM kann beide Verfahren gezielt für unterschiedliche Fragen einsetzen.

---

Wie beginnt ein mittelständisches Unternehmen mit CTEM?

Geeignet ist ein begrenzter Scope rund um einen kritischen Geschäftsprozess. Definieren Sie Assets, Verantwortliche, Priorisierungskriterien, ein Validierungsverfahren und einen verbindlichen Behebungsworkflow. Die Ergebnisse der ersten Runde verbessern den nächsten Durchlauf.

Sie möchten die externe Discovery als Baustein Ihres Exposure-Management-Prozesses erproben? Vereinbaren Sie eine IT-Risikoanalyse mit LocateRisk und definieren Sie gemeinsam mit uns einen klaren Scope.