CTEM kurz erklärt CTEM (Continuous Threat Exposure Management) ist ein 2022 von Gartner definiertes Framework mit fünf wiederkehrenden Phasen, mit denen Unternehmen ihre tatsächliche Angriffsfläche bewerten und reduzieren. Dabei werden nicht nur Schwachstellen betrachtet, sondern vor allem Angriffspfade, Identitäten, Geschäftsrisiken und die tatsächliche Ausnutzbarkeit von Bedrohungen. Der Kerngedanke von CTEM lautet: Nicht jede Schwachstelle stellt ein relevantes Risiko dar. Entscheidend ist, ob ein Angreifer daraus einen realistischen Weg zu geschäftskritischen Systemen aufbauen kann. Woher kommt CTEM? Das Gartner-Framework Der Begriff Continuous Threat Exposure Management, kurz CTEM, wurde 2022 von Gartner als Framework für die kontinuierliche Identifikation, Bewertung und Reduzierung von Cyberrisiken vorgestellt. Dabei handelt es sich nicht um ein Produkt, keine Software und auch nicht um eine einzelne Sicherheitsmaßnahme. CTEM beschreibt vielmehr einen kontinuierlichen Prozess, mit dem Unternehmen ihre Sicherheitsmaßnahmen an realen Bedrohungen und Geschäftsrisiken ausrichten können. Das Framework entstand aus der Beobachtung, dass klassische Cyber-Security-Ansätze zunehmend an ihre Grenzen stoßen. Unternehmen verwalten heute tausende Schwachstellen, Warnmeldungen und Sicherheitsereignisse. Gleichzeitig ändern sich Angriffsflächen kontinuierlich durch Cloud-Dienste, neue Anwendungen, Identitäten, APIs oder Lieferantenanbindungen. Die Herausforderung besteht deshalb nicht mehr darin, möglichst viele Schwachstellen zu identifizieren, sondern die tatsächlich relevanten Risiken zu priorisieren. CTEM adressiert genau dieses Problem. Das Framework verbindet Sichtbarkeit, Priorisierung, Validierung und kontinuierliche Verbesserung zu einem wiederkehrenden Zyklus. Ziel ist es, reale Risiken nach ihrem tatsächlichen Business Impact zu bewerten und Ressourcen dort einzusetzen, wo sie die größte Risikoreduzierung bewirken. Die 5 Phasen: Scoping, Discovery, Prioritization, Validation, Mobilization Gartner beschreibt CTEM als einen fortlaufenden Kreislauf aus fünf Phasen. Diese werden nicht einmalig durchlaufen, sondern kontinuierlich wiederholt. Scoping In der Scoping-Phase werden die geschäftskritischen Systeme, Prozesse und sogenannten Kronjuwelen eines Unternehmens identifiziert. Der Fokus liegt darauf zu definieren, welche Assets, Anwendungen oder Funktionen für das Unternehmen besonders schützenswert sind. Ohne eine klare Definition der kritischen Geschäftsprozesse ist eine sinnvolle Priorisierung von Risiken kaum möglich. Deshalb bildet Scoping die Grundlage für alle weiteren CTEM-Phasen. 2 Discovery Die Discovery-Phase dient dazu, Angriffsflächen, Exposures, Schwachstellen und potenzielle Angriffspfade sichtbar zu machen. Dazu gehören beispielsweise externe Systeme, Cloud-Ressourcen, Benutzerkonten, Identitäten oder bekannte Sicherheitslücken. Das Ziel dieser Phase besteht darin, Transparenz über die tatsächliche Angriffsfläche zu schaffen und Veränderungen frühzeitig zu erkennen. 3 Prioritization Nicht jedes gefundene Problem stellt automatisch ein relevantes Risiko dar. In der Prioritization-Phase werden die erkannten Risiken daher anhand ihres potenziellen Geschäftsschadens bewertet. Neben technischen Faktoren werden dabei auch Bedrohungsinformationen, Angriffspfade, Kritikalität der betroffenen Systeme und der mögliche Business Impact berücksichtigt. Dadurch entsteht eine aussagekräftigere Priorisierung als durch die reine Betrachtung technischer Schwachstellenwerte. 4 Validation Die Validation-Phase prüft, ob identifizierte Risiken tatsächlich ausnutzbar sind und ob bestehende Sicherheitsmaßnahmen wirksam funktionieren. Typische Maßnahmen sind Scenario-Based Pentests, Red Teaming, Purple Teaming oder Security-Control-Validierungen. Der Fokus liegt auf realistischen Angriffsszenarien anstelle theoretischer Annahmen. Unternehmen erhalten dadurch belastbare Aussagen darüber, welche Risiken tatsächlich bestehen. 5 Mobilization In der letzten Phase werden Maßnahmen umgesetzt, Verantwortlichkeiten definiert und Fortschritte nachverfolgt. Ziel ist es, identifizierte Risiken nachhaltig zu reduzieren und Verbesserungen messbar zu machen. Nach Abschluss dieser Phase beginnt der Zyklus erneut. Dadurch entsteht ein kontinuierlicher Verbesserungsprozess statt einer einmaligen Sicherheitsbewertung. Was CTEM nicht ist CTEM ist kein Tool Eine häufige Fehlannahme besteht darin, CTEM als Softwareprodukt zu betrachten. Tatsächlich ist CTEM ein Framework, das Prozesse, Verantwortlichkeiten und Maßnahmen beschreibt. Softwarelösungen können CTEM unterstützen, stellen jedoch nicht das Framework selbst dar. CTEM ersetzt keinen Pentest Pentests bleiben ein wichtiger Bestandteil moderner Sicherheitsprogramme. CTEM ersetzt Pentests nicht, sondern macht sie zielgerichteter. Statt einzelne Systeme zu prüfen, werden szenarien- und bedrohungsbasierte Pentests auf Grundlage identifizierter Risiken, Bedrohungen und Angriffspfade geplant. CTEM ist kein autonomes Pentesting Automatisierte Pentesting- und Attack-Path-Plattformen können wertvolle Erkenntnisse in der Discovery Phase liefern. Sie können daher Teil von CTEM sein, decken jedoch primär technische und vordefinierte Techniken ab. CTEM berücksichtigt dagegen die individuelle Bedrohungslage und die kritischen Geschäftsprozesse des Unternehmens und leitet daraus eine zielgerichtete Teststrategie ab. CTEM ist nicht gleich Vulnerability Management Vulnerability Management konzentriert sich auf bekannte Schwachstellen und Fehlkonfigurationen. CTEM geht weiter und berücksichtigt zusätzlich Angriffspfade, Identitäten, Bedrohungsakteure, externe Zugriffe und den geschäftlichen Kontext. Vulnerability Management ist lediglich ein Teil von CTEM in der Discovery Phase. CTEM befähigt damit nicht nur zu einer präzisen Priorisierung der Schwachstellen aus dem Vulnerability Management, sondern deckt darüber hinaus weitere Angriffstechniken ab, die eine akute Bedrohung für das Unternehmen darstellen. Warum CTEM gerade jetzt relevant ist Sicherheitsverantwortliche stehen heute vor einer schwierigen Situation. Die Anzahl neuer Schwachstellen steigt kontinuierlich an. 2026 wird es ca. 100.000 veröffentliche CVEs geben, was etwa 265 Schwachstellen pro Tag ergibt. Gleichzeitig verkürzt sich die Zeit zwischen der Bekanntmachung einer Schwachstelle und ihrer aktiven Ausnutzung durch Angreifer. 2026 wurden etwa 28% aller nachweislich von Angreiferakteuren ausgenutzten Schwachstellen bereits vor der Veröffentlichung der CVE aktiv ausgenutzt. Dieser Trend wird beschleunigt durch AI und deren Patch-to-Exploit-Fähigkeiten, über Reverse Engineering eines veröffentlichten Patches, einen funktionsfähigen Exploit abzuleiten. Da Patches üblicherweise vor der CVE veröffentlicht werden, erhöht dies die Bedrohungslage. Hinzu kommt, dass die Anzahl der potentiellen Angreifer durch AI drastisch steigt und die Automatisierung der Angriffe zunimmt. Quelle: Zero Day Clock Observatory Sicherheitsverantwortliche müssen sich daher zentralen Fragen stellen: 1. Welche Maßnahmen müssen priorisiert werden? 2. Wie erkenne ich neue Bedrohungen möglichst schnell? 3. Wie setze ich Assume Breach und Zero Trust konsequent um? Zur Priorisierung der richtigen Maßnahmen muss vorab allerdings eine andere Frage beantwortet werden: Welche Schwachstellen sind heute tatsächlich ausnutzbar? Und welche sind für mein Unternehmen kritisch? Zu Beantwortung dieser Frage, ist es wichtig zu wissen, dass moderne Angreifer selten eine einzelne Schwachstelle ausnutzen, sondern mehrere Schwachstellen, Identitäten, Fehlkonfigurationen und Vertrauensbeziehungen zu vollständigen Angriffspfaden kombinieren. Dabei spielen kompromittierten Identitäten eine wesentliche Rolle. Oft loggen sich Angreifer einfach ein, statt eine komplexe technische Schwachstelle auszunutzen. Hinzu kommt, dass sich die Angriffsfläche vieler Unternehmen ständig verändert. Cloud-Dienste, SaaS-Plattformen, APIs, Homeoffice-Strukturen und externe Dienstleister schaffen neue potenzielle Eintrittspunkte. Traditionelle Sicherheitsbewertungen stellen deshalb häufig nur eine Momentaufnahme dar. CTEM adressiert diese Herausforderungen durch einen kontinuierlichen Ansatz: Fokus auf ausnutzbare Angriffspfade statt einzelne theoretische Schwachstellen Fortlaufende Bewertung von Risiken und Bedrohungen Regelmäßige Validierung von Sicherheitsmaßnahmen Konzentration der Ressourcen auf die relevantesten Risiken Dadurch unterstützt CTEM Unternehmen dabei, ihre Sicherheitsinvestitionen effektiver einzusetzen und sich auf die Risiken zu fokussieren, die tatsächlich geschäftskritisch sind. Fazit CTEM ist deutlich mehr als ein neues Schlagwort im Cyber-Security-Umfeld. Das von Gartner 2022 definierte Framework hilft Unternehmen dabei, ihre tatsächliche Angriffsfläche zu verstehen, Risiken nach ihrer geschäftlichen Relevanz zu priorisieren und die Wirksamkeit von Sicherheitsmaßnahmen fortlaufend zu validieren. Statt möglichst viele Schwachstellen zu verwalten, richtet CTEM den Fokus auf reale Angriffspfade und messbare Risikoreduzierung. FAQ zu CTEM Ist CTEM ein Tool? Nein. CTEM ist ein Framework und kein Softwareprodukt. Unterschiedliche Tools können einzelne Phasen unterstützen, ersetzen aber nicht den zugrundeliegenden Prozess. Wer braucht CTEM? CTEM eignet sich insbesondere für Unternehmen mit komplexen IT-Landschaften, hohen Compliance-Anforderungen oder einer großen externen und internen Angriffsfläche. Besonders relevant ist CTEM für CISOs, IT-Leitungen und Security-Teams, die Risiken priorisieren und Sicherheitsmaßnahmen kontinuierlich validieren möchten. Wie lange dauert die Einführung? Die Dauer hängt von Unternehmensgröße, Angriffsfläche und Reifegrad der bestehenden Sicherheitsprozesse ab. CTEM ist jedoch kein klassisches Projekt mit festem Endpunkt, sondern ein kontinuierlicher Prozess zur fortlaufenden Verbesserung der Sicherheitslage. Was kostet CTEM? Die Kosten hängen vom Scope, der Unternehmensgröße und dem gewünschten Leistungsumfang ab. Da CTEM unterschiedliche Aktivitäten wie Discovery, Angriffspfadanalysen, Sicherheitsvalidierung und Reporting umfassen kann, wird der Aufwand üblicherweise individuell festgelegt. Wer hat CTEM erfunden? Das Framework Continuous Threat Exposure Management wurde 2022 von Gartner vorgestellt und definiert. Gartner beschreibt CTEM als einen kontinuierlichen Prozess zur Bewertung und Reduzierung von Cyberrisiken über fünf wiederkehrende Phasen. Quellen:Zero Day Clock Observatory: Vulnerability Exploitation, Measuredhttps://zerodayclock.com/ Cloud Security Alliance (CSA), AI Safety Initiative: The Exploit-Before-Patch Gap, Mai 2026https://labs.cloudsecurityalliance.org/research/ai-exploit-before-patch-structural-defense-gap-v1-csa-styled/ VulnCheck: State of Exploitation 2026: How Attackers Moved in 2025 and Where Defenders Lost Timehttps://wwv.vulncheck.com/state-of-exploitation-2026-report < Zurück zur Übersicht
CTEM ist kein Tool Eine häufige Fehlannahme besteht darin, CTEM als Softwareprodukt zu betrachten. Tatsächlich ist CTEM ein Framework, das Prozesse, Verantwortlichkeiten und Maßnahmen beschreibt. Softwarelösungen können CTEM unterstützen, stellen jedoch nicht das Framework selbst dar.
CTEM ersetzt keinen Pentest Pentests bleiben ein wichtiger Bestandteil moderner Sicherheitsprogramme. CTEM ersetzt Pentests nicht, sondern macht sie zielgerichteter. Statt einzelne Systeme zu prüfen, werden szenarien- und bedrohungsbasierte Pentests auf Grundlage identifizierter Risiken, Bedrohungen und Angriffspfade geplant.
CTEM ist kein autonomes Pentesting Automatisierte Pentesting- und Attack-Path-Plattformen können wertvolle Erkenntnisse in der Discovery Phase liefern. Sie können daher Teil von CTEM sein, decken jedoch primär technische und vordefinierte Techniken ab. CTEM berücksichtigt dagegen die individuelle Bedrohungslage und die kritischen Geschäftsprozesse des Unternehmens und leitet daraus eine zielgerichtete Teststrategie ab.
CTEM ist nicht gleich Vulnerability Management Vulnerability Management konzentriert sich auf bekannte Schwachstellen und Fehlkonfigurationen. CTEM geht weiter und berücksichtigt zusätzlich Angriffspfade, Identitäten, Bedrohungsakteure, externe Zugriffe und den geschäftlichen Kontext. Vulnerability Management ist lediglich ein Teil von CTEM in der Discovery Phase. CTEM befähigt damit nicht nur zu einer präzisen Priorisierung der Schwachstellen aus dem Vulnerability Management, sondern deckt darüber hinaus weitere Angriffstechniken ab, die eine akute Bedrohung für das Unternehmen darstellen.