Die Angriffsoberfläche eines Unternehmens ist nie statisch. Hybrid-Cloud, Remote-Arbeit, SaaS-Anwendungen, Drittpartei-Zugriffe und digitale Lieferketten vergrößern sie täglich — während sich die Angriffstechniken in einem Tempo weiterentwickeln, das herkömmliche Assessment-Zyklen kaum mithalten können.
Ein Vulnerability Assessment ein- oder zweimal im Jahr durchzuführen — oder sich auf periodische Penetration Tests zu verlassen — liefert eine Risikoaufnahme, die im Moment der Übergabe bereits teilweise überholt ist. Das CTEM, Continuous Threat Exposure Management (Kontinuierliches Bedrohungsexpositions-Management), wurde entwickelt, um diesem strukturellen Missverhältnis zu begegnen: Es verlagert das Exposure-Management von einer punktuellen Logik hin zu einem kontinuierlichen, risikoorientierten Zyklus.
Was ist CTEM (Continuous Threat Exposure Management)?
Das CTEM ist ein kontinuierliches Framework zur Identifikation, Analyse, Priorisierung und Reduzierung von Bedrohungsexpositionen. Der Begriff wurde von Gartner eingeführt und formalisiert; Gartner zählte ihn ab 2022 zu den wichtigsten Technologietrends im Bereich Informationssicherheit — als einen der Ansätze, die das Cyber-Risikomanagement in den kommenden Jahren neu definieren werden.
Im Unterschied zu Einzeltools kombiniert CTEM technische Daten — Schwachstellen, Fehlkonfigurationen, exponierte Assets, kompromittierte Zugangsdaten — mit Geschäftskontext und Threat Intelligence, um sich auf die Expositionen zu konzentrieren, die wirklich zählen: jene, die ein Angreifer konkret ausnutzen könnte, um kritische Systeme zu erreichen. Das Schlüsselwort ist Priorisierung auf Basis des realen Risikos, nicht der theoretischen Severity eines CVE.
Wichtig: CTEM ist kein einzelnes Produkt und lässt sich nicht als solches kaufen. Es ist ein Ansatz, der Prozesse, Kompetenzen und Technologien — wie Security Operations Center (SOC), Exposure-Management-Tools, MXDR (Managed Extended Detection and Response), Attack Surface Management (ASM) und Threat Intelligence — in einem kontinuierlichen operativen Zyklus integriert.
Vom Vulnerability Management zum CTEM: Was sich wirklich ändert
Das traditionelle Vulnerability Management basiert auf periodischen Scans, Remediation-Berichten und oft langsamen Patching-Prozessen, die durch die Masse an Befunden und fehlende klare Prioritäten erschwert werden. Das typische Ergebnis ist ein wachsender Backlog an Schwachstellen, in dem operative Teams kaum unterscheiden können, was dringend ist und was theoretisch schwerwiegend, aber operativ irrelevant ist.
CTEM bringt einen Paradigmenwechsel: von Compliance-getrieben zu risiko- und bedrohungsgesteuert. Statt CVE-Listen nach CVSS-Score zu produzieren, fragt das Framework: Welchen realen Weg könnte ein Angreifer einschlagen? Welche Assets sind tatsächlich von außen oder von einem internen Kompromittierungspunkt aus erreichbar? Wo hätte eine Korrektur den größten Einfluss auf die Risikoreduktion?
Ein konkretes Beispiel: Eine kritisch eingestufte Schwachstelle auf einem isolierten System ohne externe Konnektivität und mit eingeschränktem, überwachtem Zugriff kann eine geringere effektive Priorität haben als eine moderate Schwachstelle auf einem Internet-exponierten Server, der mit dem CRM integriert und über gemeinsam genutzte Zugangsdaten erreichbar ist. CTEM ermöglicht es, diesen Unterschied systematisch zu erkennen.
Die Phasen des CTEM-Zyklus und die beteiligten Akteure
Das CTEM-Framework gliedert sich in einen kontinuierlichen Zyklus aus fünf Hauptphasen. Jede Phase umfasst spezifische Akteure und Technologien.
1. Scoping: Die relevanten Perimeter definieren
Die erste Phase besteht darin, die für das Geschäft relevantesten Perimeter zu identifizieren: kritische Infrastrukturen, exponierte Anwendungen, Assets mit privilegiertem Zugriff, digitale Lieferkette. CISO und Risikomanagement definieren die Geschäftsprioritäten, die den gesamten nachfolgenden Zyklus ausrichten.
2. Discovery: Kontinuierliches Asset- und Exposure-Mapping
Tools für Attack Surface Management und erweitertes Vulnerability Scanning inventarisieren kontinuierlich Assets — darunter Shadow IT, nicht-inventarisierte Cloud-Assets und Drittpartei-Zugriffe — und erkennen Fehlkonfigurationen, bekannte Schwachstellen und exponierte Zugangsdaten. Das Security-Engineering-Team und IT Operations sind die zentralen Akteure.
3. Priorisierung: Vom technischen Befund zum realen Risiko
Die erhobenen Daten werden mit Cyber Threat Intelligence (CTI), Informationen zu den TTP der aktivsten Angreifer im jeweiligen Sektor sowie mit dem Mapping der Geschäftsabhängigkeiten kontextualisiert. SOC und CTI-Team arbeiten zusammen, um eine Liste priorisierter Expositionen zu produzieren, auf die konkret reagiert wird — keine endlose CVE-Liste.
4. Validation: Prüfen, ob Expositionen tatsächlich ausnutzbar sind
Vor der Remediation sieht CTEM eine Validierungsphase vor, die prüft, ob die identifizierten Expositionen in einem realen Angriffskontext tatsächlich ausnutzbar sind. Angriffssimulationen, Breach and Attack Simulation (BAS) und Continuous Penetration Testing (CPT) übernehmen diese Funktion und reduzieren das Risiko, Ressourcen für Schwachstellen einzusetzen, die in der Praxis nicht erreichbar wären.
5. Mobilization: Remediation, Reporting und kontinuierlicher Zyklus
Die validierten Prioritäten werden in konkrete Maßnahmen für IT Operations und Security Engineering übersetzt: Patches, Hardening von Konfigurationen, Überarbeitung von Zugriffsrichtlinien. Die Ergebnisse werden über risikoorientierte KPIs an das Management kommuniziert. Der Zyklus beginnt unmittelbar von vorn — ohne auf das nächste jährliche Assessment zu warten.
Konkreter Nutzen für CISO und Security Manager in komplexen Unternehmen
Für einen CISO oder Cybersecurity Manager eines Unternehmens mit hybrider Infrastruktur, digitaler Lieferkette und wachsenden regulatorischen Anforderungen bietet CTEM konkrete Vorteile auf mehreren Ebenen:
- Kontinuierliche Sichtbarkeit der realen Exposition: keine Abhängigkeit von periodischen Aufnahmen, die schnell veralten.
- Rauschreduktion: Statt Tausende von Befunden zu verwalten, arbeitet das Team an einer begrenzten, priorisierten Menge von Expositionen mit tatsächlich hohem Einfluss.
- Abstimmung mit Geschäftsprioritäten: Die Priorisierung orientiert sich am Wert der Assets für die Organisation, nicht nur an der technischen Severity.
- Kommunikation mit dem Board: KPIs wie die Reduktion der mittleren Expositionszeit oder die Anzahl offener kritischer Expositionen übersetzen technisches Risiko in eine für das Management verständliche Sprache.
- Unterstützung bei der Compliance: NIS2 fordert ein kontinuierliches Risikomanagement und nachweisbare Fähigkeiten zur Erkennung und Reaktion auf Vorfälle. DORA verlangt messbare operative Resilienz. ISO 27001 erfordert ein ISMS mit kontinuierlicher Risikoprüfung. CTEM ist strukturell kompatibel mit diesen Anforderungen und liefert die kontinuierliche Dokumentation, die regulatorische Frameworks verlangen — gültig für Unternehmen, die in Italien tätig sind.
CTEM in Kombination mit SOC, MXDR und Exposure Management
Ein wirksames CTEM-Programm benötigt mehr als Technologie: Es braucht operative Kompetenzen, aktuelle Threat Intelligence und Reaktionsfähigkeiten. Genau hier leisten ein rund um die Uhr aktives Security Operations Center und MXDR-Services einen entscheidenden Beitrag.
Das SOC speist die Priorisierungsphase mit Echtzeit-Detection-Daten: täglich erkannte Alerts und Indikatoren für Kompromittierungen aktualisieren das Expositionsprofil der Organisation. MXDR (Managed Extended Detection and Response) erweitert die EDR-Abdeckung auf Endpoints, Netzwerk, Cloud und Identitäten und liefert die Cross-Layer-Sichtbarkeit, die notwendig ist, um Expositionen mit tatsächlich beobachteten Angriffsverhaltensweisen zu korrelieren.
Operative Cyber Threat Intelligence (CTI) trägt dazu bei, Schwachstellen im Kontext der Taktiken, Techniken und Vorgehensweisen (TTP) der aktivsten Angreifergruppen im jeweiligen Sektor zu bewerten: Eine Schwachstelle, die von APT-Gruppen aktiv gegen Fertigungsunternehmen in Norditalien ausgenutzt wird, hat eine andere Priorität als eine theoretisch kritische Schwachstelle, die nicht in den Playbooks relevanter Angreifer auftaucht.
Continuous Penetration Testing (CPT) und erweiterte Security Assessments übernehmen die Validierungsfunktion im CTEM-Zyklus: Sie prüfen, ob identifizierte Expositionen tatsächlich ausnutzbar sind, und reduzieren das Risiko fehlerhafter oder unvollständiger Remediations.
Ein Competence Center mit eigenem 24/7-SOC bringt in den CTEM-Zyklus etwas ein, das Tools allein nicht liefern: die Fähigkeit, Daten zu interpretieren, kontextualisierte Prioritäten zu setzen und einzugreifen, wenn eine Validierung eine konkret ausnutzbare Exposition aufdeckt.
Wie ein CTEM-Programm im Unternehmen gestartet werden kann: praktische Schritte
Den Aufbau eines CTEM-Programms müssen Sie nicht mit dem Austausch aller bestehenden Tools von heute auf morgen beginnen. Der effektivste Ansatz ist schrittweise und startet mit einer ehrlichen Bewertung des aktuellen Reifegrads:
- Kritische Assets und relevante Expositionen erfassen: Internet-exponierte Systeme, nicht überwachte privilegierte Zugriffe und Integrationen mit Drittparteien identifizieren. Ein Security Assessment oder erweitertes Vulnerability Assessment liefert die Baseline.
- Metriken und Verantwortlichkeiten definieren: Festlegen, wer für jede Phase des CTEM-Zyklus verantwortlich ist, welche KPIs gemessen werden und in welcher Häufigkeit sie überprüft werden.
- Daten in einem einzigen Sichtbarkeits-Punkt konsolidieren: Feeds aus Vulnerability Scanning, Threat Intelligence und Detection in einer einheitlichen operativen Sicht zusammenführen, um Informationssilos zu vermeiden, die eine sinnvolle Priorisierung unmöglich machen.
- CISO-Unterstützung und Abstimmung mit IT Operations sicherstellen: CTEM funktioniert nur, wenn die Remediation tatsächlich umgesetzt wird. Es braucht eine klare Ownership zwischen Security und IT sowie einen Change-Management-Prozess, der CTEM-Prioritäten integriert.
- Einbindung eines Competence Centers prüfen: Für Unternehmen, die intern nicht über alle notwendigen Kompetenzen verfügen — CTI, 24/7-SOC, Continuous Penetration Testing, MXDR — ist es sinnvoll, den Einstieg mit der Unterstützung eines spezialisierten Partners anzugehen, der bei Discovery, Priorisierung und Validierung mitwirkt.
CTEM als Enabler kontinuierlicher Resilienz
CTEM ist kein neues Vulnerability-Management-Tool, sondern ein Paradigmenwechsel im Cyber-Risikomanagement. Sein Wert bemisst sich an der Fähigkeit, signifikante Expositionen kontinuierlich zu reduzieren — nicht an der Anzahl gefundener Schwachstellen oder erzeugter Berichte.
Für Unternehmen, die in einem durch NIS2, DORA oder ISO 27001 regulierten Umfeld operieren, gibt CTEM strukturell Antwort auf die Anforderung, den Risikograd kontinuierlich und nachweisbar unter Kontrolle zu halten.
Der konkrete Ausgangspunkt ist das Verständnis des eigenen Stands: Welche Expositionen sind bereits sichtbar, welche bleiben blinde Flecken, und welche Tools und Kompetenzen fehlen, um den Zyklus zu schließen. Der Austausch mit einem Competence Center, das operative Erfahrung in SOC, Assessment und Detection mitbringt, ist oft der effektivste Weg, diese Baseline aufzubauen.
Ihr Unternehmen möchte verstehen, welche Expositionen bereits sichtbar sind und wo die Hauptrisiken liegen?
Cyberlys unterstützt Unternehmen in Norditalien, darunter in Trentino-Südtirol und Venetien, beim Aufbau eines praxisnahen IT-Sicherheitskonzepts: von der initialen Expositionserfassung bis zur Integration von SOC, MXDR und Continuous Penetration Testing in einem strukturierten CTEM-Ansatz. Kontaktieren Sie uns für ein unverbindliches Erstgespräch.
Häufig gestellte Fragen zu CTEM
Was bedeutet CTEM in der Cybersicherheit?
CTEM steht für Continuous Threat Exposure Management — kontinuierliches Bedrohungsexpositions-Management. Es ist ein operatives Framework, das Organisationen ermöglicht, ihre Cyberrisiko-Expositionen zyklisch und kontinuierlich zu identifizieren, zu analysieren, zu priorisieren und zu reduzieren, anstatt sich auf periodische Assessments zu stützen, die lediglich Momentaufnahmen des Risikos liefern. Der Begriff wurde von Gartner eingeführt und hat sich als Referenz für modernes Risikomanagement in komplexen Umgebungen etabliert.
Was ist der Unterschied zwischen CTEM und herkömmlichem Vulnerability Management?
Herkömmliches Vulnerability Management basiert auf periodischen Scans und Remediation-Berichten, geordnet nach technischer Severity (CVSS). Das Ergebnis sind oft nicht handhabbare Backlogs, die sich kaum in operative Prioritäten übersetzen lassen. CTEM führt einen kontinuierlichen Zyklus ein, der Schwachstellen mit Threat Intelligence, Mapping kritischer Assets und Validierung der tatsächlichen Ausnutzbarkeit kontextualisiert — das Ergebnis: eine begrenzte Menge priorisierter Expositionen mit tatsächlich hohem Einfluss auf das Geschäftsrisiko.
Ist CTEM ein Produkt oder ein Prozess-Framework?
CTEM ist ein Prozess-Framework, kein einzeln kaufbares Produkt. Es wird durch Integration bestehender Technologien — Vulnerability Scanning, ASM, CTI, SIEM, EDR, MXDR — in einem kontinuierlichen, von Personen mit definierten Rollen (SOC, Security Engineering, CISO, IT Operations) gesteuerten operativen Zyklus implementiert. Es gibt Tools, die spezifische Phasen des CTEM-Zyklus unterstützen, aber keines davon deckt alle autonom ab.
Wie hängen CTEM, SOC und MXDR-Services zusammen?
Das SOC speist die Discovery- und Priorisierungsphasen des CTEM mit Echtzeit-Detection-Daten: Alerts, Kompromittierungsindikatoren und anomale Verhaltensweisen aktualisieren das Expositionsprofil kontinuierlich. MXDR erweitert die Abdeckung auf Endpoints, Netzwerk, Cloud und Identitäten und liefert die Cross-Layer-Sichtbarkeit für die Korrelation von Expositionen und tatsächlichem Angriffsverhalten. Ohne aktiven SOC und kontinuierliche Detection-Services bleibt der CTEM-Zyklus unvollständig.
Ist CTEM durch NIS2 oder andere Vorschriften vorgeschrieben?
NIS2 — in der für in Italien tätige Unternehmen geltenden Fassung — verlangt ein kontinuierliches Risikomanagement, proportionale technische und organisatorische Maßnahmen sowie nachweisbare Fähigkeiten zur Erkennung und Reaktion auf Vorfälle. DORA schreibt messbare operative Resilienz und regelmäßige Tests kritischer Systeme vor. ISO 27001 erfordert ein ISMS mit kontinuierlicher Risikoprüfung. CTEM ist strukturell mit all diesen Anforderungen kompatibel und erzeugt die kontinuierliche Dokumentation, die regulatorische Frameworks einfordern — ohne explizit von einem dieser Standards genannt zu werden.
Wie kann ein Unternehmen mit der Implementierung von CTEM beginnen?
Der Ausgangspunkt ist eine Erfassung der kritischen Assets und der relevantesten Expositionen, erreichbar über ein Security Assessment oder ein erweitertes Vulnerability Assessment. Danach werden Metriken, Verantwortlichkeiten und Integration zwischen bestehenden Technologien definiert. Für Unternehmen, die intern nicht über alle notwendigen Kompetenzen verfügen — CTI, 24/7-SOC, Continuous Penetration Testing, MXDR — ermöglicht die Unterstützung eines spezialisierten Competence Centers, den CTEM-Zyklus aufzubauen und zu strukturieren, ohne alle Fähigkeiten von Grund auf neu entwickeln zu müssen.
AUCH INTERESSANT: Malware-Evasion im Unternehmen: 6 reale Szenarien, in denen ein SOC den Unterschied macht
