Befunde verstehen
Typen, Einstufungen, Lebenszyklus – und was du mit einem Befund tun kannst.
Ein Befund ist eine konkrete Feststellung an einem konkreten Gerät: „SSH erlaubt die Anmeldung als root", „openssl hat eine bekannte Schwachstelle", „/etc/hosts hat sich verändert".
Die sechs Typen #
| Typ | Was er bedeutet |
|---|---|
| Schwachstelle (CVE) | Ein installiertes Paket ist von einer bekannten Sicherheitslücke betroffen |
| Update verfügbar | Eine neuere Version existiert, ohne bekannte Lücke |
| Härtung | Eine Einstellung macht das System angreifbarer als nötig |
| Empfehlung | Kein akutes Risiko, aber besser gelöst – Updates, Zeitsynchronisation, Platz |
| Integrität | Eine überwachte Datei hat sich verändert |
| Änderung | Am System hat sich etwas verschoben: neue Pakete, neue Ports, neue Konten – oder ein Log-Signal ist sprunghaft gestiegen |
Die fünf Einstufungen #
Kritisch – etwas ist offen und wird aktiv ausgenutzt oder ist trivial ausnutzbar. Hoch – ernst, sollte diese Woche erledigt werden. Mittel – sollte auf die Liste. Niedrig – Feinschliff. Info – eine Feststellung ohne Handlungsbedarf.
Die Einstufung ist nicht fix. Derselbe offene Datenbank-Port wiegt schwerer, wenn du bestätigt hast, dass das System aus dem Internet erreichbar ist – und leichter, wenn eine Firewall davor steht. Genau dafür sind die Rückfragen am Gerät da.
Warum es keine Gesamtnote gibt #
Bis Mitte 2026 stand hier ein Score: 100 Punkte, Abzug je Befund, eine Zahl je Gerät. Er ist abgeschafft.
Der Grund ist einfach: Die Zahl war frei erfunden. Warum ein kritischer Befund 40 Punkte kostet und ein hoher 20 – und nicht 50 und 10 – liess sich nicht begründen, nur festlegen. Eine erfundene Gewichtung sieht aus wie eine Messung, und genau das ist das Problem: Zwei Geräte mit derselben Zahl konnten in völlig verschiedenem Zustand sein, und ein Gerät, das von 70 auf 75 stieg, hatte nichts gewonnen ausser fünf Punkten.
Was stattdessen dasteht, ist zählbar: wie viele Befunde offen sind, in welcher Einstufung, seit wann, und was sich seit dem letzten Lauf geändert hat. Das lässt sich nachrechnen und widerlegen – eine Note nicht.
Akzeptierte und vertagte Befunde stehen weiterhin für sich, mit Begründung und Frist – dazu unten mehr.
Der Lebenszyklus #
Ein Befund entsteht, wenn eine Bedingung zutrifft, und verschwindet, wenn sie nicht mehr zutrifft. Dazwischen liegen ein paar Zustände:
| Status | Bedeutung |
|---|---|
| Offen | trifft zu, nichts entschieden |
| Behoben | beim letzten Lauf nicht mehr festgestellt |
| Wieder offen | war behoben, ist zurück (eine Regression) |
| Risiko akzeptiert | du weisst davon und lässt es so |
| Später | vertagt, kommt zum Stichtag zurück |
Der Scan ist die Wahrheit, nicht der Klick. Du musst nichts als „erledigt" markieren. Setz den Fix um, und der nächste Lauf schliesst den Befund von selbst – mit Zeitstempel. Kommt er wieder, wird er wieder geöffnet.
Und wenn Daten fehlen? Dann gilt der Befund nicht als behoben. Konnte eine Prüfung mangels Daten nicht laufen – etwa weil eine angeforderte Konfigurations-Ausgabe fehlte –, bleibt ihr Befund offen. Ein Befund, der verschwindet, weil Daten fehlen, sähe aus wie Erfolg.
Was du mit einem Befund tun kannst #
Beheben. Die Befehle stehen dabei. Bei mehreren sinnvollen Wegen stehen alle da, einer ist als empfohlen markiert. Siehe Beheben.
Vertagen. „Nicht jetzt." Du wählst eine Frist zwischen einer Woche und einem halben Jahr. So lange ruht der Befund, zählt nicht als offen und löst keinen Alarm aus. Danach steht er wieder da – ohne Erinnerung wäre es eine Löschung mit besserem Namen.
Risiko akzeptieren. „Ich weiss davon und lasse es so." Das geht nur mit Begründung. Nicht aus Förmlichkeit: In drei Monaten kann sonst niemand mehr sagen, ob die Entscheidung vernünftig war – auch du nicht. Gespeichert werden Grund, Name und Zeitpunkt.
Beides ist jederzeit widerrufbar. Und beides hält nicht gegen eine neue Lage: Steigt die Einstufung desselben Befunds auf hoch oder kritisch, wird er wieder geöffnet und will neu entschieden werden. Wer ein niedriges Risiko akzeptiert hat, hat kein hohes akzeptiert.
Bei Integritäts-Befunden: als gewollt bestätigen. War die Änderung deine, wird der neue Stand zum Ausgangspunkt. Siehe Integrität und Änderungen.