Funktionen inklusive ab Professional: Vulnerability-Management, Pakete vergleichen
Vulnerability-Management
Bekannte Schwachstellen Ihrer Assets finden, im Kontext Ihrer Anlagen priorisieren und nachvollziehbar abarbeiten.
Jedes Jahr werden Zehntausende Schwachstellen veröffentlicht. Entscheidend ist, welche Ihre Anlagen betreffen und was zuerst zu tun ist.
So hilft Complass
Abgleich ohne Datenabfluss
Software und Firmware Ihres Asset-Inventars werden mit öffentlichen Schwachstellendaten (NVD, CISA KEV, EPSS, ENISA EUVD) abgeglichen. Die Daten sind auf dem Server gespiegelt, Ihre Angaben verlassen das Portal nicht.
Importe aus Scannern, SBOM und VEX
Ergebnisse gängiger Scanner, Software-Stücklisten (CycloneDX, SPDX) und VEX-Dokumente übernehmen, mit Vorschau und Rückgängig.
Priorität im Kontext
P1 bis P4 aus Schweregrad, Exposition und Kritikalität des Assets, aktiver Ausnutzung (KEV) und EPSS, jeweils mit Begründung und Frist.
Empfohlene Maßnahmen mit Quelle
Herstellerhinweise und Updates aus den Referenzdaten, mit einem Klick als Aufgabe in den Maßnahmenplan übernehmen.
Sicherheitshinweise der Hersteller (CSAF)
CSAF-Hinweise der Hersteller hochladen oder aus ausgewählten öffentlichen Feeds laden lassen: Signatur und Prüfsumme werden geprüft, Treffer an Modell und Firmware-Version werden Funde mit den Maßnahmen des Herstellers, ohne doppelte Funde zur selben CVE.
Benachrichtigung und CRA-Meldeablauf
E-Mail ab einem Schwellwert, aktiv ausgenutzte Schwachstellen immer. Betrifft eine solche Schwachstelle ein eigenes Produkt, legen Sie den Vorfall nach Art. 14 CRA vorbelegt an.
Gesetzlicher und normativer Bezug
- § 30 Abs. 2 Nr. 5 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Original öffnen (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAnhang I Teil II CRA Anforderungen an die Behandlung von SchwachstellenDie Hersteller von Produkten mit digitalen Elementen müssen (1) Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen; (2) im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- Art. 14 CRAArtikel 14 CRA Meldepflichten der Hersteller(1) Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA. Der Hersteller meldet diese aktiv ausgenutzte Schwachstelle über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform. (2) Für die Zwecke der Mitteilung gemäß Absatz 1 legt der …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- ISO/IEC 27001:2022, A.8.8
Priorisieren, entscheiden, nachweisen
Nicht jede kritische Schwachstelle ist bei Ihnen dringend. Complass begründet die Reihenfolge und hält Entscheidungen fest.
Entscheidung nach SSVC
Ausnutzung, Exposition und Auswirkung führen zu einer Entscheidung wie „sofort handeln“ oder „planmäßig beheben“; die EU-Liste aktiv ausgenutzter Schwachstellen fließt ein.
Ausnahmen mit Vier-Augen-Freigabe
Regeln für begründete Ausnahmen, freigegeben von einer zweiten Person und mit Ablaufdatum.
Software-Katalog
Einmal festlegen, wie ein Programm oder Gerätetyp heißt; jedes neue Asset wird danach automatisch richtig abgeglichen, auch ohne CPE.
Fristen mit Eskalation
Erinnerung vor Fälligkeit und Eskalation bei Überschreitung.
Sicherheitshinweise der Linux-Distributionen
Debian, Ubuntu, Alpine, AlmaLinux und Rocky Linux werden mit dem Versionsvergleich des Paketmanagers abgeglichen. Ist ein Fix zurückportiert, schließt Complass den Fund selbst.
Härtung und Erkennung
Prüfer wollen sehen, dass Systeme gehärtet sind und Angriffe auffallen würden. Beides belegen Sie mit Daten aus Ihren Werkzeugen.
Härtungsabgleich inklusive ab Professional: Härtungsabgleich, Pakete vergleichen
Ergebnisse aus SCAP (XCCDF, ARF), Wazuh SCA oder CSV importieren: Erfüllung je Asset und Vorgabe, genehmigte Abweichungen mit Begründung.
Protokollquellen inklusive ab Professional: Protokollquellen, Pakete vergleichen
Welche Systeme wohin protokollieren und wie lange, als Register mit Abdeckung je Asset.
Erkennungsabdeckung nach MITRE ATT&CK inklusive ab Professional: Erkennungsabdeckung, Pakete vergleichen
Ihre Erkennungsregeln je Technik als Heatmap: Sie sehen, wo ein Angriff unbemerkt bliebe.
Härtungsabgleich und Protokollquellen gehören zum Baustein Asset-Management, die Erkennungsabdeckung zum Baustein Vulnerability-Management.
Gesetzlicher und normativer Bezug
- Art. 21 Abs. 2 lit. b und e NIS2-RichtlinieArtikel 21 NIS2-Richtlinie Risikomanagementmaßnahmen im Bereich der Cybersicherheit(1) Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger …Original öffnen (EUR-Lex) ↗
- ISO/IEC 27001:2022, A.8.9, A.8.15, A.8.16
- IEC 62443-3-3, SR 6.2, SR 7.6
Häufige Fragen
Werden meine Asset-Daten an die NVD oder andere Dienste geschickt?
Nein. Das Portal lädt die öffentlichen Daten auf den eigenen Server und gleicht dort ab. Nach außen gehen keine Angaben aus Ihrem Inventar.
Brauche ich dafür das Asset-Management?
Ja, der Abgleich bezieht sich auf die Software und Firmware der Assets. Scanner-Importe ordnen Funde ebenfalls Assets zu.
Wie gehe ich mit Funden um, die nicht zutreffen?
Sie setzen den Status mit Begründung, z. B. „nicht betroffen“. Aussagen des Herstellers übernehmen Sie per VEX-Import mit Begründung.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.