FRAGE 01
Was wurde konkret gemeldet?
Beginnen Sie mit der Originalinformation – noch ohne vorschnelle Bewertung.
Erfassen Sie
- Datum und Uhrzeit des Eingangs
- Absender und Quelle
- Lieferant oder Anbieter
- Art der Meldung
- Advisory-ID, Ticket oder CVE
- genannte Dringlichkeit
- Originalmeldung bzw. Link
Leitfrage: Handelt es sich um eine Schwachstelle, einen bestätigten Vorfall, eine vorsorgliche Warnung, einen Patch-Hinweis oder eine allgemeine Information?
Ziel: Später nachvollziehen können, was tatsächlich eingegangen ist – und was erst intern daraus abgeleitet wurde.
FRAGE 02
Welcher Service, welches Produkt oder welche Komponente ist gemeint?
Eine allgemeine Anbieterwarnung wird erst handhabbar, wenn sie einem konkreten technischen oder vertraglichen Bezug zugeordnet werden kann.
Klären Sie soweit verfügbar
- Produkt, Dienst oder Plattform
- betroffene Komponente
- Version, Build oder Firmware
- Hosting- oder Servicevariante
- betroffene Region, Umgebung oder Mandant
Leitfrage: Ist genau die von uns genutzte Variante betroffen – oder betrifft die Meldung einen anderen Produkt- oder Versionsstand?
FRAGE 03
Wo nutzen wir das selbst?
Jetzt wird aus der externen Meldung eine interne Betroffenheitsfrage.
Prüfen Sie
- betroffene Anwendung oder Geschäftsprozess
- eigenes Produkt oder technische Lösung
- Standort, Bereich oder Kunde
- relevante Daten oder Schnittstellen
- abhängige Systeme
- kritische betriebliche Funktion
Leitfrage: Welche konkrete eigene Abhängigkeit könnte betroffen sein, wenn die Meldung zutrifft?
Ziel: Nicht nur wissen, dass der Anbieter betroffen ist, sondern verstehen, welche eigene Nutzung dahintersteht.
FRAGE 04
Was ist bestätigt – und was ist noch unklar?
Bestätigte Fakten
- betroffene Version ist bekannt
- Patch wurde bereitgestellt
- bestimmter Service war betroffen
- Nicht-Betroffenheit einer konkreten Variante bestätigt
Annahmen
- „Wir nutzen vermutlich eine andere Version.“
- „Unsere Daten dürften nicht betroffen sein.“
Offene Informationen
- keine eindeutige Versionsangabe
- unklare technische Ausnutzbarkeit
- keine Aussage zu Unterauftragnehmern
- keine Aussage zu Daten oder Zeitraum
- kein nächster Update-Termin
- noch keine Abschlussinformation
Grundregel: Fehlende Information ist kein positiver Sicherheitsnachweis.
FRAGE 05
Welche Informationen brauchen wir noch vom Anbieter?
Nicht jede Situation benötigt dieselbe Prüftiefe. Je nach Nutzung und Kritikalität können insbesondere relevant sein:
- genaue betroffene Produkte, Services oder Versionen
- technische Beschreibung der Schwachstelle oder des Vorfalls
- Zeitpunkt und Zeitraum
- bekannte Ausnutzung
- verfügbare Patches oder Risikominderungsmaßnahmen
- mögliche Auswirkungen
- betroffene Daten oder Services
- Unterauftragnehmer- oder Komponentenbezug
- SBOM-/VEX-Informationen
- nächstes Provider-Update
- Abschluss- oder Root-Cause-Information, soweit verfügbar und vereinbart
Leitfrage: Welche fehlende Information benötigen wir für unsere eigene Bewertung oder Entscheidung?
FRAGE 06
Wer muss intern übernehmen?
Eine Provider-Mail darf nicht zwischen Postfächern verloren gehen.
Mögliche Beteiligte
- IT / Informationssicherheit
- Product Security / Entwicklung
- Einkauf / Supplier Management
- Datenschutz
- Qualität / Compliance
- Incident Management
- Produktverantwortliche
- Management oder Freigabestelle
Leitfrage: Wer besitzt die benötigten fachlichen Informationen – und wer darf über Maßnahmen, Risiko, Freigabe oder Eskalation entscheiden?
Ziel: Einen eindeutigen Owner festlegen, statt die Meldung nur weiterzuleiten.
FRAGE 07
Was müssen wir dokumentieren – und wann prüfen wir erneut?
Ein Vorgang ist nicht erledigt, nur weil die erste E-Mail beantwortet wurde.
- Eingangssignal
- Anbieter, Service oder Komponente
- eigener Bezug
- bestätigte Fakten
- offene Fragen
- angeforderte Informationen
- verantwortlicher Owner
- Sofortmaßnahmen
- Entscheidung oder Eskalation
- nächster Review-Termin
- Abschlussinformation, sobald vorhanden
Leitfrage: Woran erkennen wir später, warum wir so entschieden haben – und ob neue Informationen eine Neubewertung auslösen?
