Interviewer: Herzlich willkommen, lieber Manuel, zum heutigen Interview. Ich freue mich sehr darüber, dass wir die Zeit gefunden haben, hier zu sprechen. Erzähl doch einmal ein bisschen den Zuschauern und Zuhörern etwas über dich und für welchen Bereich du bei der esko-systems zuständig bist.

Manuel Köbler: Vielen Dank, lieber Ingo. Mein Name ist Manuel Köbler. Bin 39 Jahre alt und Geschäftsführer und Gründer der esko-systems GmbH & Co. KG. Wir sind ein IT-Systemhaus mit Schwerpunkt auf IT-Security und dort bin ich verantwortlich für den kaufmännischen Bereich und eben auch Vertrieb und Marketing, der darunter fällt.

Interviewer: Im heutigen Thema geht es ja vor allen Dingen um das Thema Schwachstellen-Management und wie man das mit der Lösung von Greenbone gut lösen könnte. Gerade das Patchmanagement ist ja stark verbreitet bei vielen Unternehmen schon. Mich würde natürlich oder auch die Zuschauer natürlich interessieren, was steckt denn dahinter? Wo grenzt sich das eine zum anderen ab? Und wie hängen diese Dinge denn miteinander zusammen?

Manuel Köbler: Ja, also ein professionelles Patchmanagement finden wir heute tatsächlich schon in ganz vielen Unternehmen. Das ist so. Meistens, sage ich mal, ist es aber so, dass die Standardlösungen, die eingesetzt werden, nur betrachtet werden. Das heißt, wir betrachten vor allem die Software, wir betrachten die Microsoft Software, wir betrachten Adobe Software. Diese Dinge, die sind meistens, sage ich mal, sehr gut dokumentiert in den Unternehmen. Auch, weil die jeweiligen Hersteller regelmäßig Audits ankündigen bei größeren und mittelständischen Unternehmen. Deswegen sind die sehr gut dokumentiert. Da weiß der Kunde, was er hat. Da weiß er, welche Version er hat, da weiß er, welche Updatezyklen es gibt und wie er es zu patchen hat. Gefährlich wird es immer dann, wenn wir über diese Standardlösungen hinausschauen. Das heißt, wir haben DMS Systeme, wir haben ERP Systeme, wir haben Buchhaltungssysteme, wir haben ganz viele Branchensoftwaren.

Manuel Köbler: Wir haben, ich glaube, also sobald eine Firma größer als 100 Mitarbeiter ist, haben wir, glaube ich, in jedem Unternehmen eine Marketingabteilung, die immer Software hat, von der die EDV einfach gar nichts weiß. Ja? Das ist tatsächlich völlig normal. Also da muss sich auch niemand wundern und auf den Schlips getreten fühlen, sondern es ist tatsächlich überall so. Und genau diese Dinge machen es dann gefährlich, weil ich eben als IT-Verantwortlicher für die Sicherheit gar nicht weiß, welche Software ist tatsächlich im Unternehmen, in welcher Ausbaustufe und in welcher Aktualität. Und wenn ich das nicht weiß, kann ich natürlich auch keine Sicherheitslücken schließen. Das ist natürlich. Ich kann natürlich nur verhindern, von dem ich auch weiß.

Interviewer: Und diese Schwachstellenmanagement von Greenbone über das wir gerade sprechen, wie muss ich mir das vorstellen? Das scannt regelmäßig, stoße ich das manuell an, wie arbeitet das? Oder vor allen Dingen auch, wie aktuell ist das? Also, wenn neue Gefahren herauskommen, wie wird damit umgegangen? Wie zeitnah wird das Ganze entdeckt?

Manuel Köbler: Ja, im Endeffekt alles, was du gerade angesprochen hast. Also man kann so eine Appliance oder so einen Dienst so einrichten, dass er regelmäßig scannt. Ich sage mal jede Woche, jeden Monat oder auch händisch einfach starten. Wenn jetzt eine besonders kritische Sicherheitslücke bekannt wird und ich einfach nicht auf den nächsten Scanzyklus warten möchte, dann kann ich das natürlich auch händisch starten. Da habe ich alle Möglichkeiten. Das ist liegt einfach daran, wie groß ist das Netzwerk. Wie lang würde so ein Scan dauern? Das ist natürlich auch abhängig von der Anzahl der IP-Adressen und so weiter. Muss man sich vorstellen, welche Ressourcen man dafür aufwenden kann. Und wie schnell geht so etwas. Wenn heute eine Sicherheitslücke, also eine CVE, bekannt wird, können wir davon ausgehen, dass die großen Anbieter wie Greenbone oder Nessus wäre so ein adäquater Ersatz da dafür, dass die innerhalb von 24 Stunden für über 90 Prozent der bekannten Geräte tatsächlich schon den passenden Scan zu dieser Sicherheitslücke haben.

Manuel Köbler: Das heißt, wenn ich jetzt hergehe und sage okay, heute wird die Sicherheitslücke Log4j zum Beispiel, im letzten Jahr ganz groß, bekannt, dann kann ich sicher sein, dass 24 Stunden später, also am Mittwoch, der passende Scan zur Verfügung steht. Und noch mal 24 Stunden später habe ich dann eben das fertige Scan Ergebnis. Und dann weiß ich tatsächlich, wie oft habe ich eine Log4j Sicherheitslücke bei mir im Unternehmen. Und da wird es wieder gefährlich, weil ich sage mal, ich sagte vorher schon Software, die wir nicht kennen oder die wir nicht auf dem Schirm haben, wenn wir uns ERP Systeme anschauen. Ganz oft haben Unternehmen ein altes ERP System, was einfach noch da ist, damit man auch bestimmte Daten noch zugreifen kann. Aber wer aktualisiert denn so ein altes ERP System? Oder gibt es überhaupt noch die Möglichkeit so einen alten ERP Client zu aktualisieren? Oft gibt es den gar nicht so. Und deswegen wird es auch im Patchmanagementplan nicht betrachtet.

Manuel Köbler: Und dann muss ich eben aber trotzdem wissen, auch, selbst wenn ich es nicht mehr schließen kann, ist jetzt dieser alte ERP Client zufällig auch mit Log4j anfällig? Ja oder nein? Und dann muss ich eben anders agieren. Dann muss ich zum Beispiel diese Clients entweder in ein separates Netz schieben, die dann noch darauf Zugriff brauchen auf das alte ERP System. Oder muss es in dem Zug dann vielleicht tatsächlich mal abschalten, weil ich es einfach nur noch nicht gemacht habe, weil… Alle diese Möglichkeiten gibt es ja. Da muss man einfach, muss man einfach gucken. Also Schwachstellen scannen und professionelles Patchmanagement bedeutet eben nicht nur die Software, die ich kenne, regelmäßig zu patchen, sondern eben immer die Software im Unternehmen zu finden, die ich nicht kenne oder für die es zum Beispiel gar keine Patches mehr gibt. Die sind noch viel wichtiger zu betrachten und die werden meistens vergessen.

Interviewer: Gibt es eine besondere Herausforderungen, warum Unternehmen auf euch zukommen? Also mit welchem Grund kommen Unternehmen bezüglich dieses Themas auf euch zu?

Manuel Köbler: Ja, da gibt es zwei Treiber, die man definitiv herausheben kann. Das eine ist das Thema Cyberversicherung. Das heißt, wenn heute ein Unternehmen eine Cyberversicherung abschließen will, dann verlangen die Cyberversicherungen ein professionelles Patchmanagement. Und dann, wenn eben die Frage aufkommt, wie machen wir das? Wie machen wir ein professionelles Patchmanagement? Dann gehört bei uns eben nicht nur die Softwareverteilung mit dazu oder die Software Inventarisierung, sondern dann gehört bei uns ganz klar ein Schwachstellen-Scan wie Greenbone eben zum Beispiel gehört mit dazu, damit ich eben alles finde und nicht nur das, von dem ich weiß. Und der zweite Treiber ist der BSI Grundschutz. Auch dort ist es mit verankert. Und wenn ein Kunde mit uns zusammenarbeitet, dann orientieren wir uns immer sehr nah am BSI Grundschutz und versuchen alle Punkte, die dort gefordert werden, eben abzudecken.

Manuel Köbler: Und dann gehört dieses Thema auch mit dazu. Spannend an der Stelle ist dann eben auch, dass die Firma Greenbone ein Deutscher Hersteller ist. Der sogar in Verbindung mit dem BSI gegründet wurde und im Moment der einzige akkreditierte Schwachstellen-Scanner vom BSI ist.

Interviewer: Bezüglich der Bereitstellungsvarianten von dieser Lösung. Welche Optionen gibt es da? Was kann der Kunde da auswählen? Was macht Sinn?

Manuel Köbler: Da gibt es im Endeffekt alles, was das Herz begehrt. Ja, jede Einstellung des Kunden kann getroffen werden. Es gibt die Möglichkeit, das aus der Cloud heraus zu beziehen, so ein Scan. Es gibt die Möglichkeit, eine VM in der eigenen Umgebung laufen zu lassen. Es gibt die Möglichkeit einer On-Premise Hardware Installation, die das Ganze macht. Und es gibt natürlich auch die Möglichkeit, das als Managed-Service über uns zu beziehen, sodass wir einfach wirklich regelmäßig das Netz scannen, den Kunden dann über die Reports informieren. Entweder automatisch dann bestimmte Schwachstellen schließen oder mit dem Kunden ins Gespräch gehen, um eben zu schauen, welche Möglichkeiten haben wir, diese Schwachstellen für die Zukunft zu vermeiden. Also da ist alles möglich. Das kommt auch immer eben darauf an, wie anspruchsvoll ist das Netz des Kunden. Es passt nicht immer jede Variante auf jeden Kunden. Je größer ein Netz wird, desto schwieriger wird es mit der Cloudvariante, weil wir dann einfach bei der Ressourcenverbrauch dann einfach enorm ist.

Interviewer: Okay. Wenn Unternehmen Interesse an dieser wertvollen Lösung haben, an wen sollten sich am besten bei euch wenden?

Manuel Köbler: Am besten ist tatsächlich der Kontakt über die E-Mail-Adresse vertrieb@esko-systems.de. Dort ist tatsächlich gewährleistet, dass wir innerhalb kürzester Zeit reagieren können und dort wird es immer von einem echten Expertenteam eben gelesen, wo auch fundiert direkt Fragen beantworten kann.

Interviewer: Super. Vielen Dank, lieber Manuel, für das heutige Interview. Jetzt wissen wir deutlich mehr über Greenbone und das Schwachstellen-Management und ja freue mich schon auf das nächste Interview. Und bis bald. Tschüss!

Manuel Köbler: Vielen Dank, Ingo. Bis dahin. Ciao.