Eine KEV-Frist ist noch kein Wiederherstellungsplan.
Themenstand: 02.11.2026 · Für den Blog aufbereitet am 06.11.2026. Auf Basis vorhandener Postingtexte neu ausgearbeitet. Die im Original genannten konkreten historischen KEV-Fristen und die teils widersprüchliche Versionsmatrix konnten nicht unmittelbar anhand eines erreichbaren aktuellen Hersteller-/Katalogeintrags bestätigt werden. Sie werden in dieser Websitefassung deshalb nicht als Fakten wiederholt.
Der ältere Ivanti-Post stellt die operative Frage: Was bedeutet eine ausgenutzte Schwachstelle für Zuständigkeiten, erreichbare Identitäten und den Abschluss der Maßnahmen?
Der Katalog verändert die Priorität.
Der ursprüngliche Beitrag vom 2. November nimmt Ivanti Connect Secure als Anlass, über Priorisierung zu sprechen. Volexitys Analyse von UTA0576 beschreibt eine tatsächlich ausgenutzte Angriffskette. Für den Betrieb ist das ein anderer Ausgangspunkt als eine ausschließlich theoretische Schwachstelle mit hoher Bewertung.
CISAs KEV-Katalog sammelt nachgewiesen ausgenutzte Schwachstellen. Die verbindlichen Bearbeitungsfristen richten sich an die vom US-Bundesauftrag erfassten Behörden. Für andere Organisationen ist der Katalog ein wichtiges Priorisierungssignal; aus ihm entsteht keine pauschale gesetzliche Frist für jedes deutsche Unternehmen.
Aus einem Eintrag muss eine erreichbare Aufgabe werden.
Meine erste Arbeitseinheit wäre keine Rundmail mit einer CVE. Es wäre eine vollständige Liste der tatsächlich eingesetzten Gateways: öffentliche Erreichbarkeit, genaue Softwarelinie, zuständiges Team, Wartungszugang und Rolle im Verbund. Ein abgeschaltetes Testgerät und ein produktiver Internetzugang brauchen unterschiedliche Entscheidungen.
Zur Liste gehören auch Standby-Geräte und Ausweichstandorte. Der Abschluss muss sich auf die vorhandenen Geräte beziehen, nicht auf die Zahl erfolgreich abgeschlossener Änderungstickets. Der aktuelle Herstellerhinweis bestimmt den passenden Upgradepfad; eine Versionsnummer aus einem älteren Social-Post ist dafür keine dauerhafte Quelle.
Drei Ergebnisse müssen getrennt sichtbar sein.
Ich würde drei Fragen im selben Vorgang beantworten: Ist der bekannte Einstieg geschlossen? Welche Hinweise auf vorherigen Zugriff wurden geprüft? Und welche erreichbaren Zugänge müssen anschließend behandelt werden? Ein Upgrade kann die erste Frage beantworten, während die beiden anderen noch offen sind.
Dafür braucht es eine kleine Berechtigungskarte. Welche Verzeichnisidentität benutzt das Gateway? Welche Systeme erreicht es? Welche Geheimnisse liegen in seiner Konfiguration? Aus diesen konkreten Zugriffswegen ergibt sich der Untersuchungs- und Änderungsumfang. Eine pauschale Rotation ohne Abhängigkeiten kann Dienste ausfallen lassen und trotzdem einen relevanten Weg übersehen.
Der Abschluss braucht eine überprüfbare Aussage.
Bei einem Verdacht müssen Eindämmung, Sicherung relevanter Spuren und Wiederherstellung abgestimmt werden. Zuständigkeiten für Gateway, Verzeichnisdienst und Forensik gehören deshalb vorher an einen Tisch. Wer nur den Softwarestand beauftragt, erhält am Ende genau diesen Nachweis.
Mein gewünschtes Ergebnis wäre ein kurzer Befund pro Gerät: Version und Zeitpunkt, geprüfte Zugriffswege, umgesetzte Maßnahmen, verbleibende Unsicherheit und nächste Kontrolle. Damit lässt sich auch erklären, warum ein System wieder freigegeben wird. Die relevante Frage lautet nicht nur, ob die Frist eingehalten wurde, sondern worauf sich die Entwarnung stützt.