Schwachstellenmanagement mit Open Source: Was Sie vor einem Audit nach SOC 2 oder ISO 27001 selbst betreiben können

Was ist Open-Source-Schwachstellenmanagement?

Schwachstellenmanagement ist der Kreislauf nach der Erkennung: Befunde aus jedem Scanner sammeln, Duplikate entfernen, priorisieren, jedem Befund einen Verantwortlichen und eine Frist zuweisen, ihn beheben oder akzeptieren und den Nachweis aufbewahren. Beim Open-Source-Schwachstellenmanagement bauen Sie diesen Kreislauf aus kostenlosen Tools, die Sie selbst hosten, statt aus einer kommerziellen Plattform.

Die Scanner sind der einfache Teil, und wir haben sie getestet: Open-Source-SCA-Tools an einem Repository und Open-Source-Secret-Scanner im direkten Vergleich. Was sie Ihnen nicht geben, ist ein Gedächtnis. Am 3. November 2026 haben wir für unseren SOC-2-Leitfaden zum Scannen Trivy, Gitleaks und Opengrep auf OWASP Juice Shop laufen lassen: 383 Befunde in vier JSON-Dateien, und kein einziger enthielt einen Commit, einen Verantwortlichen, eine Frist oder einen Status. Genau diese Lücke füllt die Management-Ebene.

Was verlangen SOC 2 und ISO 27001?

Keines der beiden Frameworks nennt ein Tool. Das SOC-2-Kriterium CC7.1 verlangt, dass Sie neue Schwachstellen erkennen, ebenso wie Ihre Anfälligkeit für neu entdeckte. Maßnahme A.8.8 der ISO 27001:2022 verlangt, dass Sie Informationen über technische Schwachstellen einholen, Ihre Gefährdung bewerten und handeln. Beide überlassen die Fristen Ihrer eigenen Richtlinie und prüfen dann, ob Sie sie eingehalten haben.

Der SOC-2-Wortlaut, so wie Prüfungsgesellschaften ihn wiedergeben, fordert Erkennungs- und Überwachungsverfahren, die zum einen Konfigurationsänderungen aufdecken, durch die neue Schwachstellen entstehen, und zum anderen die Anfälligkeit für neu entdeckte Schwachstellen. ISO 27001 Anhang A 8.8, Handhabung von technischen Schwachstellen, beginnt mit dem Satz, dass Informationen über technische Schwachstellen der genutzten Informationssysteme eingeholt werden sollten. Danach verlangt die Maßnahme, die Gefährdung zu bewerten und geeignete Schritte zu ergreifen. HighTable, ein Beratungsunternehmen für ISO 27001, weist darauf hin, dass die Norm keine bestimmte Stundenzahl vorschreibt: Die Fristen für die Behebung ergeben sich aus einem Service Level Agreement, das Sie selbst nach Schweregrad festlegen.

Der Auditor liest also zuerst Ihre Richtlinie, zieht dann Stichproben von Befunden und prüft jeden davon gegen diese Richtlinie. Unser Leitfaden dazu, worauf Auditoren nach ISO 27001 und SOC 2 schauen, wenn KI-Agenten den Code schreiben, behandelt die Maßnahmen zur sicheren Entwicklung rund um dieses Thema, A.8.25 bis A.8.29.

Welches Open-Source-Tool deckt welchen Teil ab?

Jedes der folgenden Tools deckt einen Teil des Kreislaufs ab, und das Register in der Mitte ist der Teil, der am leichtesten wegfällt.

Dependency-Track beantwortet die Frage, welche Ihrer Anwendungen eine Komponente ausliefern, die gerade verwundbar geworden ist, und ein Register die Frage, wo jeder Befund aus jedem Tool steht und ob er noch in seiner Frist liegt. DefectDojo ist ein Register, das Sie mit dem Export jedes Scanners füttern, während CybeDefend Open Source die Scanner selbst startet und seine Liste bei jedem Lauf füllt, ohne Export und Import dazwischen.

DefectDojo scannt nicht selbst: Es importiert, was andere Tools exportieren, entfernt Duplikate und verfolgt den Status jedes Befunds. Es gibt eine kostenlose Community Edition zum Selbsthosten unter der BSD-3-Clause-Lizenz und eine kostenpflichtige Pro-Edition, und sein Repository enthält Parser für Trivy, Grype, OSV-Scanner, Gitleaks, Semgrep, SARIF und Dependency-Track, neben anderen.

OWASP Dependency-Track beschreibt sich als intelligente Plattform für Component Analysis. Sie überwacht die Nutzung von Komponenten über alle Versionen jeder Anwendung in ihrem Portfolio, liest und erzeugt CycloneDX-SBOMs und VEX und bezieht Schwachstellendaten aus der NVD, den GitHub Advisories, OSV und weiteren Quellen. Version 5.2.1 erschien am 25. Oktober 2026.

OpenCVE schließt eine Lücke, die die anderen Tools offen lassen. Damit überwachen Sie Ihre Hersteller und Produkte und erhalten die passenden CVE-Warnungen, per E-Mail, Slack oder Webhook nach Regeln, die Sie selbst festlegen, mit CVSS-, EPSS- und KEV-Kontext, der zu klaren Risikosignalen zusammengeführt wird. OpenCVE ist kein SCA-Scanner und liest Ihre Lockfiles nicht. Sein Platz ist die Überwachung zwischen zwei Scans und bei Software außerhalb Ihrer Repositorys: die Datenbank-Engine, das VPN, der CI-Runner. OpenCVE läuft als Cloud-Dienst mit einem kostenlosen Tarif oder auf Ihren eigenen Servern nach seinen Lizenzbedingungen, die für den kommerziellen On-Premise-Einsatz eine kommerzielle Lizenz verlangen.

Welche Stichproben zieht ein Auditor?

Ein Auditor wählt Befunde aus dem Prüfzeitraum aus und verfolgt jeden einzelnen: wann er gefunden wurde, auf welchem Commit oder Asset, wer verantwortlich war, welche Frist Ihre Richtlinie für seinen Schweregrad vorsah und wie er abgeschlossen wurde. Eine Behebung braucht die Änderung, mit der sie umgesetzt wurde. Ein akzeptiertes Risiko braucht eine Begründung, eine freigebende Person und ein Ablaufdatum.

Über einen Type-II-Zeitraum bei SOC 2 oder zwischen zwei Überwachungsaudits nach ISO 27001 muss diese Spur über Monate bestehen, nicht nur in der Woche vor dem Audit. Drei Aufzeichnungen tragen diese Spur:

• Die Richtlinie: Schweregrade, Fristen je Schweregrad, wer ein Risiko akzeptieren darf und für wie lange.
• Das Register: jeder Befund mit seinen Daten, dem Verantwortlichen, dem Status und dem Link zum Scan, der ihn erzeugt hat.
• Die Ausnahmen: jedes akzeptierte Risiko mit Geltungsbereich, Begründung, freigebender Person und Ablaufdatum.

Was kostet der Eigenbetrieb wirklich?

Die Tools sind kostenlos. Die Arbeit nicht: das Register hosten und aktualisieren, die Parser mit der Ausgabe der Scanner synchron halten, Schweregrade auf Ihre Fristen abbilden und jede Woche triagieren, damit das Register stimmt. Jeder Scanner und das Register veröffentlichen eigene Releases, und jemand in Ihrem Team muss diese Updates einspielen.

Für ein Team mit einem Platform Engineer und wenigen Repositorys geht diese Rechnung oft auf. Schwieriger wird es, wenn die Zahl der Repositorys und das Tempo der Änderungen steigen, denn das Register ist nur so gut wie die letzte Triage.

Was ändert sich, wenn KI-Agenten den Code schreiben?

Coding-Agenten wie Claude Code, Cursor, GitHub Copilot und OpenAI Codex erhöhen die Zahl der Änderungen pro Woche. Befunde kommen also schneller herein, und das Register muss Schritt halten. Zwei Aufzeichnungen gewinnen an Gewicht: der Scan jeder Änderung vor dem Merge und der Mensch, der die von einem Agenten geschriebene Änderung freigegeben hat.

Der Agent, der den Code schreibt, kann auch das Audit fahren. Mit CybeDefend Open Source startet /cybedefend die AppSec-Scanner bei jeder Änderung aus dem Coding-Agenten heraus, schickt dann denselben Agenten auf die Suche nach den Lücken, die die Scanner nicht sehen, und lässt ihn jede mit einem als Test geschriebenen Exploit belegen. Jeder Befund landet mit dem Scan, der ihn erzeugt hat, in der Liste, und das Register hält mit dem Tempo der Agenten Schritt. Der Agent kann auch den Fix vorschlagen, und das Register sollte trotzdem zeigen, wer ihn geprüft und gemergt hat, denn der Auditor prüft in seiner Stichprobe die Freigabe, nicht den Patch. Unser SOC-2-Leitfaden zu Scans und Penetrationstests zeigt, wie ein Befund vom Scan einer Änderung bis in den Bericht für den Zeitraum wandert.

Wo passt CybeDefend hinein?

CybeDefend Open Source startet bald und ist für genau den Kreislauf gebaut, den dieser Leitfaden beschreibt. Ein Befehl in Ihrem Coding-Agenten, /cybedefend, fährt ein vollständiges Audit in zwei Ebenen. Zuerst die AppSec-Scanner, Open Source, mit einem docker compose up, darunter Opengrep, Trivy, Gitleaks und zizmor, für Code, Abhängigkeiten, Secrets, Infrastructure as Code, CI/CD und Container. Sie behalten die, die Sie wollen, und fügen Ihre eigenen hinzu. Danach der KI-Scanner, den Ihr Coding-Agent ausführt. Scanner suchen nach Mustern. Der KI-Scanner liest, was Ihr Code tun soll, und findet, wo er bricht, in der Geschäftslogik, bei Zugriffsrechten und bei Lücken, die erst zur Laufzeit sichtbar werden, und er belegt jede Lücke mit einem als Test geschriebenen Exploit.

Unter beiden Ebenen liegt unsere ganze Plattform, ein agentisches ASPM, dieselbe, die wir schon heute als CybeDefend Cloud hosten. Sie führt das Register: die Befunde aller Scanner in einer einzigen Liste ohne Duplikate, und eine als Code geschriebene Sicherheitsrichtlinie, die den Merge bei einem kritischen Befund blockiert, wobei jede Ausnahme eingegrenzt, datiert, begründet und namentlich freigegeben ist. Sicherheitsberichte ordnen Befunde den OWASP Top 10 und den CWE Top 25 zu, als PDF für den Auditor oder als JSON für ein GRC-Tool. Wir gehen denselben Weg selbst: Unser Audit nach SOC 2 Type II läuft derzeit. Wenn Sie Ihres vorbereiten, gehen wir es gern mit Ihnen durch. Um das Audit zum Start auf Ihrem eigenen Code zu fahren, tragen Sie sich in die Warteliste von CybeDefend Open Source ein.

Häufige Fragen

Ist DefectDojo kostenlos?

Die Community Edition von DefectDojo ist Open Source unter der BSD-3-Clause-Lizenz und lässt sich kostenlos selbst hosten. DefectDojo verkauft außerdem eine Pro-Edition, in der Cloud oder on premises. Die Community Edition importiert Befunde, entfernt Duplikate und verfolgt den Status. Prüfen Sie auf der Seite zu den Editionen, ob die Funktionen dabei sind, die Sie brauchen, bevor Sie fest damit planen.

Welches Open-Source-Tool eignet sich am besten für Schwachstellenmanagement?

Das hängt von der Aufgabe ab. Dependency-Track überwacht Komponenten über SBOMs. DefectDojo führt ein Register der Befunde, die aus vielen Scannern importiert werden. OpenVAS scannt Hosts und Netzwerke. CybeDefend Open Source verbindet die AppSec-Scanner mit einem KI-Scanner, den Ihr Coding-Agent ausführt, und führt eine einzige Liste unter Ihren Richtlinien. Für ein Audit ist ein gängiger Aufbau: mehrere Scanner und dazu ein Register.

Schreibt ISO 27001 Schwachstellenscans vor?

Maßnahme A.8.8 nennt das Scannen nicht. Sie verlangt, Informationen über technische Schwachstellen einzuholen, die eigene Gefährdung zu bewerten und angemessene Maßnahmen zu ergreifen. Regelmäßige Scans sind der übliche Weg, die ersten beiden Punkte zu belegen, und wie oft gescannt wird, legt Ihre Richtlinie fest.

Welche Fristen zur Behebung von Schwachstellen gelten bei ISO 27001?

Die Norm legt keine fest. Sie definieren die Fristen in Ihrer Richtlinie nach Schweregrad, und der Auditor prüft, ob Sie sie eingehalten haben. Laut HighTable akzeptieren Auditoren weithin diesen Zeitplan: 48 Stunden für kritische, 7 Tage für hohe, 30 Tage für mittlere und 90 Tage für niedrige Schwachstellen.

Ist OpenCVE ein Schwachstellenscanner?

Nein. OpenCVE überwacht CVE-Veröffentlichungen zu den Herstellern und Produkten, denen Sie folgen, und warnt Sie per E-Mail, Slack oder Webhook, mit CVSS-, EPSS- und KEV-Kontext. Es liest weder Ihren Code noch Ihre Lockfiles, arbeitet also neben einem SCA-Scanner und ersetzt ihn nicht.

Gibt es CybeDefend als Open Source?

Die Open-Source-Edition, CybeDefend Open Source, startet bald: unsere ganze Plattform, ein agentisches ASPM, kostenlos auf Ihren eigenen Servern. Der Befehl /cybedefend verbindet die Open-Source-AppSec-Scanner mit einem KI-Scanner, den Ihr Coding-Agent ausführt, und führt jeden Befund in einer einzigen Liste unter Ihren Richtlinien. Bis dahin ist CybeDefend Cloud dieselbe Plattform, von uns gehostet. Tragen Sie sich in die Warteliste von CybeDefend Open Source ein.