Agentic AI für CTEM & Vulnerability Management (IT/OT)

Für wen ist dieser Beitrag gedacht?

• CISOs, Security-Leads und SOC-Verantwortliche, die von reaktivem Schwachstellenmanagement zu risikobasiertem Exposure Management wechseln wollen.
• Vulnerability-Management-Owner, die CVSS-Listen, Patch-SLAs und tatsächliche Ausnutzbarkeit besser zusammenbringen müssen.
• OT-Security-, Industrie- und KRITIS-Verantwortliche, die Risiken reduzieren müssen, ohne Produktionsprozesse unnötig zu gefährden.
• IT-/Security-Architekt:innen, die Agentic AI nicht als Tool, sondern als workflowfähige Schicht über vorhandenen Datenquellen, SIEM/XDR/MDR und ITSM verstehen wollen.

Das Wichtigste im Überblick

• CTEM ist kein weiterer Scanner, sondern ein Management-Zyklus: entdecken, bewerten, validieren, mobilisieren und nachjustieren.
• Agentic AI liefert den größten Hebel dort, wo viele Datenquellen zusammengeführt und Entscheidungen nachvollziehbar begründet werden müssen.
• Für IT/OT zählt nicht nur der CVSS-Score, sondern die Kombination aus Erreichbarkeit, Exploit-Lage, Asset-Kritikalität, Business Impact und möglichen Kompensationsmaßnahmen.
• Der Einstieg sollte messbar sein: klare Use Cases, definierte Guardrails, Owner, SLAs, KPIs und Audit-Trails vor der Skalierung.

Was ist CTEM in einem Satz?

Continuous Threat Exposure Management ist ein wiederkehrender Zyklus, der Angriffsflächen identifiziert, Risiken nach realer Ausnutzbarkeit priorisiert, Maßnahmen validiert und kontinuierlich nachjustiert, mit dem Ziel, das tatsächlich ausnutzbare Risiko zu senken.

Für den Übergang von periodischen Schwachstellenlisten zu kontinuierlichem, risikobasiertem Management bieten wir die Leistungen Vulnerability Management und Managed Vulnerability Intelligence [identify] an.

Was unterscheidet CTEM von klassischem Vulnerability Management?

Klassisches Vulnerability Management beginnt häufig bei Scanner-Ergebnissen und CVE-Scores. CTEM beginnt bei der Frage, welche Exposures für die eigene Organisation tatsächlich relevant sind. Der Unterschied liegt damit weniger im Datenbestand als in der Entscheidungskette: Kontext vor Masse, Wirkung vor Vollständigkeit, Validierung vor Reporting.

• Erreichbarkeit: Ist die Schwachstelle aus dem Internet, aus Partnernetzen oder aus kompromittierten Identitäten erreichbar?
• Kritikalität: Gehört das Asset zu einem geschäftskritischen Prozess, einer Produktionslinie oder einer regulierten Umgebung?
• Threat-Kontext: Wird die Schwachstelle aktiv ausgenutzt, passt sie zu bekannten TTPs relevanter Angreifergruppen oder ist sie Teil aktueller Kampagnen?
• Maßnahmenwirkung: Senkt ein Patch, eine Konfigurationsänderung, Segmentierung oder Monitoring-Regel das Risiko am schnellsten?

Wie operationalisiert Agentic AI CTEM?

Agentic AI operationalisiert CTEM, indem sie definierte Schritte als nachvollziehbare Workflows ausführt. Wichtig ist: Der Agent ersetzt kein Risikomanagement und keine Governance. Er verbindet innerhalb klarer Guardrails Daten, priorisiert, dokumentiert Begründungen und stößt Übergaben an.

• Discovery: Assets, Identitäten, Cloud-Komponenten, externe Angriffsflächen und OT-Devices zusammenführen.
• Scoping: Geschäftskritikalität, Datenklassifizierung, Owner, Netzwerkzone und Compliance-Sphäre anreichern.
• Prioritization: CVEs mit Exploit-Telemetrie, Threat Intelligence, Exposure-Pfad und Asset-Kontext gewichten.
• Validation: Maßnahmen simulieren, technische Wirksamkeit prüfen und Restrisiken dokumentieren.
• Mobilization: Tickets, Owner, SLA, Eskalation und Status-Reporting automatisiert vorbereiten.

Wie Agentic AI von einzelnen Use Cases in belastbare Security-Workflows überführt wird, erklärt der Artikel Agentic AI operationalisieren.

Welche Use Cases liefern den größten Hebel?

Der größte Nutzen entsteht dort, wo Sicherheits- und Fachbereiche heute viel Zeit mit Abstimmung, Kontextsuche und Priorisierung verlieren. Für den Start eignen sich Use Cases, die ein klares Vorher/Nachher liefern und messbar auf Risiko, Aufwand oder Reaktionszeit einzahlen.

• Exploit-basierte Priorisierung für internetnahe und geschäftskritische Assets.
• OT-spezifische Risikobewertung mit kompensierenden Kontrollen statt pauschaler Patch-Empfehlungen.
• Owner- und SLA-Zuordnung inklusive ITSM-Ticketing und Eskalationspfad.
• Validierung von Maßnahmen: Ist das Risiko nach Patch, Segmentierung oder Konfigurationsänderung wirklich reduziert?
• Executive Reporting: weniger CVE-Volumen, mehr Risikoentwicklung, Business Impact und Maßnahmenfortschritt.

Für Kontextanreicherung, Angreiferperspektive und operative Priorisierung lohnt der Blick auf die Services Managed Threat Intelligence [detect] und das Orange Cyberdefense CERT.

Wie priorisiert Agentic AI Schwachstellen nach realer Ausnutzbarkeit?

Statt eine Liste mit 5.000 CVEs an Fachbereiche weiterzureichen, verdichtet ein gut gesteuerter Agent die Lage auf die Schwachstellen, die mit hoher Wahrscheinlichkeit relevant sind. Die Priorisierung sollte dabei transparent bleiben: Jede Empfehlung braucht eine Begründung, eine Datenbasis und einen Owner.

• Ausnutzbarkeit: bekannte Exploits, aktive Ausnutzung, Exploit-Reife und Angriffspfad.
• Exponierung: Internetnähe, Zugriff über Identitäten, Lateralmovement-Pfade und Netzwerkzone.
• Kritikalität: Business-Service, Produktionsrelevanz, Datenklassifizierung, regulatorische Relevanz.
• Gegenmaßnahmen: Patchbarkeit, Wartungsfenster, Workaround, Segmentierung, Detection-Rule oder Monitoring.

Für eine intelligente, analystengestützte Priorisierung bietet Orange Cyberdefense den Service Managed Vulnerability Intelligence [identify].

Wie lassen sich OT-Schwachstellen mit Asset-Kontext bewerten?

Im OT-Umfeld sind klassische Patches häufig nur eingeschränkt möglich. Produktionsfenster, Herstellerfreigaben, Safety-Anforderungen und Legacy-Systeme begrenzen direkte Maßnahmen. CTEM hilft hier, Risiken nicht nur zu finden, sondern realistisch zu behandeln: mit Asset-Kontext, Prozesskritikalität und kompensierenden Kontrollen.

• Segmentierung und Mikrosegmentierung, wenn Patches kurzfristig nicht möglich sind.
• Monitoring und Anomalie-Erkennung für kritische Anlagen und Kommunikationspfade.
• Restrisiko-Dokumentation für Wartungsfenster, Audit und Management-Entscheidungen.
• Abstimmung zwischen IT Security, OT Engineering, Betrieb und Compliance, damit Maßnahmen nicht an der Realität der Anlage vorbeigehen.

Für Ihre Industrie- und KRITIS-Umgebungen liefern OT Security und Industrial Cybersecurity den passenden Service.

Welche Architektur und Datenflüsse braucht ein belastbares CTEM-Programm?

Eine belastbare CTEM-Architektur entsteht nicht durch ein einzelnes Tool. Entscheidend ist die Datenkette von Asset-Sichtbarkeit über Vulnerability- und Threat-Kontext bis zur validierten Maßnahme. Agentic AI liegt dabei als orchestrierende Schicht über bestehenden Systemen.

• Asset-Inventory: CMDB, Cloud-Assets, externe Angriffsfläche, Identitäten und OT-Inventar.
• Vulnerability-Quellen: Scanner, EDR/XDR-Posture, Hersteller-Advisories und CVE-/NVD-Daten.
• Threat Intelligence: geo-, branchen- und akteursspezifische Feeds sowie Hinweise auf aktive Ausnutzung.
• Business-Kontext: Kritikalität, Owner, Datenklasse, Produktionsbezug, regulatorische Zuordnung.
• Workflow-Schicht: Agentic-AI-Layer, ITSM, SOAR, SIEM/Data Lake und Audit-Trails.

Mehr zur Einordnung von Datenebene, Agent-Layer und Governance-Layer finden Sie in unserem Beitrag Agentic AI im SOC: Architektur, Reifegrade & Roadmap.

Welche Governance-, Trust- und KPI-Faktoren sind wichtig?

• Governance: festlegen, was Agenten empfehlen, vorbereiten oder automatisch ausführen dürfen, inklusive der Freigabestufen.
• Nachvollziehbarkeit: Reasoning-Logs, Datenquellen, Zeitstempel und Begründungen für jede Priorisierung dokumentieren.
• Human-in-the-loop: menschliche Freigabe bei kritischen Assets, OT-Anlagen, regulatorisch relevanten Systemen und Response-Maßnahmen.
• KPIs: Time-to-Prioritize, Time-to-Remediate, Anteil validierter Maßnahmen, SLA-Erfüllung, Wiedereröffnungsrate und Entwicklung des ausnutzbaren Risikos.
• Qualitätssicherung: regelmäßige Stichproben durch Analyst:innen, Modell-/Regel-Reviews und Rollback-Mechanismen.

Welche Fragen Anbieter zu Trainingsdaten, Update-Zyklen, Reasoning-Logs und Rollback beantworten sollten, zeigt der Fragenkatalog für Vendor-Due-Diligence.

Fazit: CTEM wird mit Agentic AI zur Routine

CTEM scheitert in vielen Programmen nicht an der Idee, sondern an manueller Datenkonsolidierung, fehlendem Kontext und unklaren Übergaben. Agentic AI adressiert genau diese Reibungspunkte: Sie verbindet Datenquellen, priorisiert nach realer Ausnutzbarkeit, dokumentiert Entscheidungen und stößt Maßnahmen an. Der Nutzen entsteht jedoch nur mit sauberer Governance, klaren KPIs und einer Architektur, die Mensch, Prozess und Technologie zusammenführt.

Orange Cyberdefense bringt CTEM-Erfahrung aus IT- und OT-Programmen ein, inklusive Vulnerability-Management-Service, Managed Vulnerability Intelligence, MDR-Anbindung, Threat Intelligence und Industrial Cybersecurity.