Computer-Security durch die Cloud

Stand: Oktober 2026

Hamburger KMU stehen unter wachsendem Druck, ihre IT-Sicherheit messbar zu verbessern. Steigende Cyberbedrohungen und regulatorische Vorgaben machen Vulnerability Management zur Pflichtübung.

Einleitung

Kleine und mittlere Unternehmen in Hamburg können Sicherheitslücken nicht mehr reaktiv schließen. Angreifer automatisieren ihre Scans, während Datenschutzbehörden konsequent Bußgelder bei Nachweisbarkeit verhängen. Ein strukturiertes Vulnerability Management (VM) schließt diese Lücke, ohne dass Betriebe eigene Security-Teams aufbauen müssen. Entscheidend sind 2026 vier Kriterien: lückenlose Agent- und Agentless-Coverage für heterogene Umgebungen, risikobasierte Priorisierung via EPSS und CISA KEV statt reiner CVSS-Werte, tiefe Automatisierung in SIEM, SOAR und ITSM für schnelle Verifikation und Ticket-Erstellung sowie Managed-Service-Optionen, die Tool-Lizenz und Betrieb aus einer Hand liefern.

Der Hamburger Markt bietet dafür zwei starke Säulen. Regionale IT-Systemhäuser wie hagel-it, IT-TEC oder Dreamix kombinieren ISO-27001-zertifizierte Prozesse mit vCISO-Leistungen und regelmäßigen Pen-Tests. Ergänzend decken externe Datenschutzbeauftragte mit KI-gestützten Scannern die DSGVO-Seite ab – oft schon ab 49 Euro monatlich. Einen unabhängigen Tool-Vergleich liefert die Computerwoche-Übersicht der sechs führenden VM-Lösungen, die wir im Folgenden auf Hamburg-Bezug und KMU-Tauglichkeit prüfen.

1. Tenable

USP: Tenable liefert mit Nessus und Tenable.vm eine Plattform, die Agent‑ und Agentless-Scans vereint und Priorisierung über EPSS sowie CISA-KEV-Feeds direkt im Workflow abbildet.

Stärken:

• Umfassende Schwachstellenerkennung durch hybride Scan-Architektur (Agent + Agentless via SSH/WinRM/API).
• Native Anbindung an SIEM-Systeme wie Splunk und IBM QRadar sowie automatisierte Ticket-Erstellung in ITSM-Tools (Jira, ServiceNow).
• Deutsches Support-Netzwerk und Managed-Service-Option über Hamburger Systemhäuser wie hagel-it und IT-TEC.
• Kontinuierliche Aktualisierung der Exploit-Intelligence durch integrierte Threat-Feeds.
• Skalierbare Architektur, die heterogene KMU-Umgebungen (On-Prem, Cloud, Container) abdeckt.

Schwächen / wann nicht passend:

• Hohe Komplexität erfordert dedizierte Security-Ressourcen oder externen Betrieb.
• Lizenzmodell oft auf Enterprise-Volumen ausgelegt, für sehr kleine Teams kostenintensiv.
• Weniger Fokus auf Endpoint-Management-Integration im Vergleich zu Unified-Platform-Anbietern.

Preisspanne: auf Anfrage

Zielgruppe: KMU ab ein erfahrenes Team an Mitarbeitenden mit eigener Security-Verantwortung oder Managed-Service-Bedarf, die tiefe Schwachstellenanalyse und Compliance-Nachweise benötigen.

Website: ninjaone.com

2. Qualys VMDR

USP: Qualys VMDR vereint kontinuierliches Schwachstellenmanagement, Patch-Management und Threat-Intelligence in einer einzigen Cloud-Plattform, die On-Prem‑ und Cloud-Assets ohne Agentenpflicht erfasst.

Stärken:

• Einheitliche Konsole für Asset-Discovery, Vulnerability-Assessment und Remediation-Tracking
• Priorisierung via EPSS-Scores und CISA-KEV-Listen statt reiner CVSS-Bewertung
• Agent‑ und agentless-Scans über SSH, WinRM und Cloud-APIs für heterogene KMU-Umgebungen
• Native API-Anbindung an ServiceNow, Jira und gängige SIEM/SOAR-Plattformen
• Integriertes Patch-Management für Windows, Linux und Drittanbieter-Software

Schwächen / wann nicht passend:

• Lizenzmodell richtet sich nach Asset-Anzahl; bei sehr kleinen Netzwerken oft überdimensioniert
• Ersteinrichtung und Policy-Tuning erfordern initiale Security-Expertise
• Kein deutscher Support-Standort; Kommunikation läuft über internationale Channels

Preisspanne: auf Anfrage

Zielgruppe: KMU ab 100 Endpoints mit hybrider Infrastruktur, die eine zentrale Plattform für Discovery, Priorisierung und Remediation suchen und ITSM-Workflows automatisieren wollen.

Website: getapp.de · capterra.com.de

3. Rapid7 InsightVM

USP: Die Plattform verknüpft Live-Bedrohungsdaten aus Project Sonar mit EPSS- und CISA-KEV-Scoring, um Schwachstellen dort zu priorisieren, wo Angreifer tatsächlich aktiv werden.

Stärken:

• Hybrides Scanning: Agenten liefern tiefe Systemsicht, agentless-Checks per SSH/WinRM/API erfassen Netzwerkgeräte und Cloud-Instanzen ohne Installationsaufwand.
• Native SIEM/SOAR-Kopplung: InsightIDR korreliert Funde mit Log-Daten, InsightConnect orchestriert Patching-Playbooks direkt in Jira, ServiceNow oder GitHub.
• Dynamische Risikobewertung: EPSS-Wahrscheinlichkeiten und CISA-KEV-Listen ersetzen statische CVSS-Basiswerte und verkürzen die mittlere Zeit bis zur Behebung messbar.
• Projekt Sonar als Datenfundament: Tägliche Internetweite Scans speisen die Engine mit aktuellen Exploit-Beobachtungen, bevor Signaturen in Feeds erscheinen.

Schwächen / wann nicht passend:

• Lizenzmodell und Konfigurationstiefe erfordern dedizierte Security-Ressourcen; für reine IT-Generalisten ohne SOC-Anbindung oft überdimensioniert.
• Reporting-Oberfläche wirkt gegenüber modernen Cloud-nativen Dashboards teils starr; Anpassungen verlangen SQL-Kenntnisse.
• Preisstruktur liegt oberhalb reiner Scanner-Lösungen — KMU ohne Compliance-Zwang prüfen Alternativen mit flacherem Einstieg.

Preisspanne: auf Anfrage

Zielgruppe: Mittelständler ab ein erfahrenes Team an Mitarbeitenden mit eigenem SecOps-Team, die Vulnerability Management in SIEM/SOAR-Workflows einbetten wollen.

Website: tuxcare.com | sprinto.com

4. Microsoft Defender VM

USP: Vulnerability Management liegt ohne Zusatzlizenz in Microsoft 365 E5 und Business Premium vor und nutzt das bestehende Endpoint-Signal-Framework.

Stärken:

• Deckung von Windows, macOS und Linux über einen einheitlichen Sensor
• Priorisierung via EPSS und CISA KEV aus Microsoft Threat Intelligence
• Automatisierte Behebung durch Intune und Configuration Manager
• Keine separate Agenten-Rollout-Phase bei vorhandener M365-Lizenz
• Integration in Defender XDR für korrelierte Sicht auf Bedrohungen

Schwächen / wann nicht passend:

• Funktionsumfang bleibt hinter spezialisierten VM-Plattformen wie Tenable oder Qualys zurück
• Reporting und Compliance-Nachweise sind weniger granular aussteuerbar
• Für heterogene Umgebungen ohne Microsoft-Stack wirtschaftlich unattraktiv

Preisspanne: In M365 E5 (auf Anfrage/Nutzer/Monat) und Business Premium (auf Anfrage/Nutzer/Monat) enthalten; separater Erwerb nicht vorgesehen.

Zielgruppe: Hamburger KMU ab ein erfahrenes Team an Mitarbeitenden mit bestehender Microsoft-365-E5- oder Business-Premium-Lizenz, die VM ohne zusätzlichen Tool-Zoo betreiben wollen.

Website: thectoclub.com · Weiterer Marktüberblick bei Orca Security

5. Greenbone/GVM

USP: Open-Source-VM-Plattform ohne Lizenzkosten, entwickelt in Osnabrück, mit DACH-Support und Managed-Service-Option über regionale Systemhäuser.

Stärken:

• Basiert auf OpenVAS, dem etablierten Open-Source-Scanner, und nutzt den Greenbone Security Feed für tagesaktuelle Schwachstellen-Daten
• Unterstützt agentenbasierte und agentless Scans via SSH, WinRM oder API – flexibel für heterogene KMU-Umgebungen
• Exportiert detaillierte Berichte in Formate, die sich direkt in SIEM-Systeme wie Splunk oder Elastic importieren lassen
• Lokaler Support aus Osnabrück und Partnerschaften mit Hamburger IT-Systemhäusern ermöglichen Managed-Service-Bezug aus einer Hand
• Keine laufenden Lizenzgebühren; Kosten entstehen nur für optionale Appliances, Feed-Subscriptions oder Service-Verträge

Schwächen / wann nicht passend:

• Hoher Konfigurations- und Wartungsaufwand ohne eigenes Security-Know-how oder externen Managed Service
• Fehlende native Priorisierung via EPSS oder CISA KEV – Risikobewertung bleibt weitgehend manuell
• Keine integrierte Ticket-Automation oder SOAR-Playbooks; Anbindung an ITSM erfordert Eigenentwicklung

Preisspanne: Community-Edition kostenlos; Enterprise-Appliances und Feed-Subscriptions auf Anfrage. Managed-Service-Pakete über Partner wie hagel-it oder IT-TEC individuell kalkuliert.

Zielgruppe: KMU 50–500 MA mit interner IT-Kompetenz oder Budget für Managed Service, die Datensouveränität und DACH-Support priorisieren – besonders Architektur- und Ingenieurbüros mit sensiblen Projektdaten.

Website: omr.com · tuxcare.com

6. NinjaOne

USP: NinjaOne bündelt Endpoint-Management, Patch-Management und Vulnerability Management in einer Cloud-Konsole, sodass kleine IT-Teams alle Aufgaben an einem Ort steuern.

Stärken:

• Agentbasierte Scans liefern Schwachstellendaten direkt in das integrierte Ticket-System.
• Priorisierung nutzt EPSS-Werte und die CISA-KEV-Liste statt reiner CVSS-Scores.
• Schnelles Onboarding durch vorkonfigurierte Policies und automatisierte Agent-Rollout.
• Transparentes Preismodell pro Endpoint ohne versteckte Modul-Zuschläge.
• Konsolidiert RMM‑ und VM-Funktionen, reduziert Tool-Sprawl nachweislich.

Schwächen / wann nicht passend:

• Kein agentless Scanning für Netzwerkgeräte oder IoT-Assets ohne Agent-Installation.
• Reporting-Tiefe bei Compliance-Nachweisen (ISO 27001, Sicherheits-Standards) begrenzt.
• Für reine Vulnerability-Management-Teams ohne RMM-Bedarf oft überdimensioniert.

Preisspanne: auf Anfrage

Zielgruppe: Hamburger KMU mit 20–250 Mitarbeitenden, die ein RMM-Tool suchen und VM nahtlos integrieren wollen.

Website: practical-devsecops.com

Vergleichstabelle

Die folgende Übersicht stellt die sechs Tools nebeneinander, damit Entscheider auf einen Blick erkennen, welche Lösung zur eigenen IT-Landschaft und zum Budget passt. Ergänzende Marktübersichten finden sich bei Capterra und PDQ.

Anbieter	USP	Preisspanne	Zielgruppe	Standort
Tenable	Tenable liefert mit Nessus und Tenable.vm eine Plattform, die Agent‑ und Agentle	auf Anfrage	KMU ab ein erfahrenes Team an Mitarbeitenden mit eigener Security-Verantwortung oder Managed-Service	—
Qualys VMDR	Qualys VMDR vereint kontinuierliches Schwachstellenmanagement, Patch-Management	auf Anfrage	KMU ab 100 Endpoints mit hybrider Infrastruktur, die eine zentrale Plattform für	—
Rapid7 InsightVM	Die Plattform verknüpft Live-Bedrohungsdaten aus Project Sonar mit EPSS- und CIS	auf Anfrage	Mittelständler ab ein erfahrenes Team an Mitarbeitenden mit eigenem SecOps-Team, die Vulnerability	—
Microsoft Defender VM	Vulnerability Management liegt ohne Zusatzlizenz in Microsoft 365 E5 und Busines	In M365 E5 (auf Anfrage/Nutzer/Monat) und Business Premium (auf Anfrage/Nutzer/Monat) enthalten; separater Erwerb nicht vorgesehen.	Hamburger KMU ab ein erfahrenes Team an Mitarbeitenden mit bestehender Microsoft-365-E5- oder Busine	—
Greenbone/GVM	Open-Source-VM-Plattform ohne Lizenzkosten, entwickelt in Osnabrück, mit DACH-Su	Community-Edition kostenlos; Enterprise-Appliances und Feed-Subscriptions auf Anfrage. Managed-Service-Pakete über Partner wie hagel-it oder IT-TEC individuell kalkuliert.	KMU 50–500 MA mit interner IT-Kompetenz oder Budget für Managed Service, die Dat	Osnabrück
NinjaOne	NinjaOne bündelt Endpoint-Management, Patch-Management und Vulnerability Managem	auf Anfrage	Hamburger KMU mit 20–250 Mitarbeitenden, die ein RMM-Tool suchen und VM nahtlos	—

FAQ

Wie unterscheiden sich agentbasierte und agentless Scans in der Praxis?

Agentbasierte Scanner installieren Software auf jedem Endpunkt und liefern tiefe Einblicke in installierte Anwendungen, Konfigurationen und laufende Prozesse – auch offline. Agentless Scans nutzen SSH, WinRM oder Cloud-APIs und erfassen Netzwerkgeräte, Server und Container ohne Rollout-Aufwand. Hybride Ansätze kombinieren beide Methoden: Agenten für kritische Workstations, agentless für Infrastruktur und Cloud. Marktübersichten zeigen, dass KMU oft hybrid starten, um Abdeckung und Betriebsaufwand in Balance zu halten.

Welche Rolle spielen EPSS und CISA KEV bei der Priorisierung von Schwachstellen?

EPSS (Exploit Prediction Scoring System) berechnet die Wahrscheinlichkeit, dass eine CVE innerhalb von 30 Tagen ausgenutzt wird. CISA KEV listet aktiv ausgenutzte Lücken, die sofort gepatcht werden müssen. Moderne VM-Tools korrelieren beide Metriken mit Asset-Kritikalität und Netzwerkexposition. So entstehen handlungsreife Prio-Listen statt reiner CVSS-Rangfolgen. Vergleichsportale bewerten diese Priorisierungslogik mittlerweile als Kernkaufkriterium.

Ist ein Managed Service über ein Hamburger IT-Systemhaus kosteneffizienter als ein reiner Lizenzkauf?

Managed Services bündeln Lizenz, Betrieb, Triage und Patch-Koordination in einer monatlichen Pauschale. KMU sparen Personalzeit für Scanner-Konfiguration, False-Positive-Bereinigung und Report-Erstellung. Hamburger Systemhäuser wie hagel-it oder IT-TEC kennen lokale Compliance-Anforderungen und bieten vCISO-Leistungen on top. Bei fehlendem internem Security-Team rechnet sich der Managed Ansatz oft ab 50 Endpunkten – reine Lizenzkosten täuschen über Total Cost of Ownership hinweg.

Wie lässt sich die gewählte VM-Lösung in bestehende SIEM- bzw. ITSM-Umgebungen integrieren?

Standard sind REST-APIs, Webhooks und vorgefertigte Konnektoren für Splunk, Elastic, Sentinel, ServiceNow oder Jira. Findings fließen als Events in das SIEM zur Korrelation; Tickets entstehen automatisiert im ITSM mit Asset-Zuordnung, Schweregrad und SLA. Wichtig: bidirektionaler Sync – Patch-Status aus dem ITSM zurück in das VM-Dashboard. Proof-of-Concept-Phasen mit echten Ticket-Flows decken Integrationslücken früh auf.

Welche Datenschutz-Aspekte müssen bei Cloud-VM-Tools beachtet werden?

Cloud-Scanner übertragen Asset-Daten, Software-Inventare und teils Konfigurationsdetails in externe Rechenzentren. Prüfen: Serverstandort (EU/DE), Auftragsverarbeitungsvertrag (AVV), Verschlüsselung im Transit und at Rest, Zugriffskontrollen des Anbieters. Bei sensiblen Systemen (KRITIS, Gesundheitsdaten) oft On-Premise- oder Private-Cloud-Varianten vorgeschrieben. Externe DSB-Dienstleister in Hamburg unterstützen bei der Risikobewertung und AVV-Gestaltung.

Fazit

Für Hamburger KMU entscheidet 2026 weniger der reine Funktionsumfang, sondern die Passgenauigkeit des Vulnerability-Management-Tools zu bestehenden IT-Prozessen, die Anbindbarkeit an SIEM‑ und SOAR-Umgebungen sowie der Zugang zu lokalem Support oder Managed-Service-Modellen. Open-Source-Lösungen wie Greenbone/GVM punkten mit fehlenden Lizenzkosten, erfordern aber mehr internen Betriebsaufwand. Kommerzielle Plattformen von Tenable, Qualys oder Microsoft Defender VM liefern umfassende Automatisierung, vorgefertigte Playbooks und professionellen Support. Wesentlich ist, dass das gewählte Werkzeug Risikopriorisierung via EPSS und CISA KEV ermöglicht, kontinuierliche Verifikation bietet und sich nahtlos in die vorhandene Sicherheitsarchitektur einfügt. Regionale Systemhäuser wie hagel-it, IT-TEC oder Dreamix können Tool-Lizenz und Betrieb als Managed Service bündeln. Ein Vergleich aktueller Marktübersichten wie bei Heimdal Security hilft, die individuelle Shortlist zu validieren.