Was ist im „Kaspersky ICS Threat Data Feeds Vulnerability Feed“ enthalten?

ICS-Sicherheitslücken-Einträge – Schwachstellen in industriellen Steuerungssystemen und verbundener IT-Software.
CVE- und Patch-Kontext – CVE-Kennungen, Zeitstempel und verfügbare Patch-Informationen pro Eintrag.
Datei- und Exploit-Hashes – Hashes betroffener Dateien und zugehöriger Exploit-Beispiele.
Empfehlungen zur Abhilfe – Empfohlene Maßnahmen, wenn kein Hersteller-Patch verfügbar ist.
Maschinenlesbare Bereitstellung – JSON, CSV, STIX und OpenIoC für die automatisierte Erfassung.
Wichtig – Keine Konsole, kein Agent und keine Scan-Engine enthalten.

Was sind die wichtigsten Vorteile des „Kaspersky ICS Threat Data Feeds Vulnerability Feed“?

Es handelt sich um einen Threat-Intelligence-Datenfeed aus dem Kaspersky Threat-Intelligence-Portfolio, der in der Kaspersky-Dokumentation unter dem Namen „ICS Vulnerability Data Feed“ aufgeführt ist. Er verfügt über keine eigene Verwaltungskonsole: Die Daten werden von einem SIEM, einer Threat-Intelligence-Plattform oder Kaspersky CyberTrace erfasst, und der Abgleich mit Ihren eigenen Asset- und Ereignisdaten erfolgt dort.

Abgleich von Assets – Gleicht Ihre OT-Asset-Liste mit bekannten Schwachstellen ab.
Priorisierung von Patches – Schweregrad- und Exploit-Daten helfen bei der Planung von Wartungsfenstern.
Abdeckung von OT-Anbietern – Umfasst Produkte von Siemens, Schneider Electric, Yokogawa und Emerson.
Kaspersky ICS CERT-Quellen – Forschungsteam, das MITRE, NVD und Herstellerhinweise überwacht.
Wiederverwendung bestehender Tools – Funktioniert mit QRadar, Splunk, MISP, Sentinel und anderen.
Zugriff über die REST-API – Abruf über die Kaspersky Threat Intelligence REST-API.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
– Erläutert, warum der integrierte Schutz durch zusätzliche Sicherheitsebenen ergänzt werden muss.

Für welche Unternehmensgrösse eignet sich der Kaspersky ICS Threat Data Feeds Vulnerability Feed?

Die Unternehmensgröße ist hier nicht der entscheidende Faktor. Ausschlaggebend ist, ob Sie industrielle Steuerungssysteme betreiben und ob Sie bereits eine SIEM- oder Threat-Intelligence-Plattform nutzen, die einen Feed verarbeiten kann. Ein kleiner kommunaler Wasserversorger kann unter die schweizerische Meldepflicht fallen, während ein großer Einzelhändler davon ausgenommen ist – daher ist die Branche wichtiger als die Mitarbeiterzahl.

Erfüllt der „Kaspersky ICS Threat Data Feeds Vulnerability Feed“ die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäß dem revidierten Informationssicherheitsgesetz gilt seit dem 1. April 2025 und betrifft Betreiber kritischer Infrastrukturen, darunter Energie- und Wasserversorger, Verkehrsbetreiber sowie kantonale und kommunale Verwaltungen. Die Meldepflicht sieht vor, dass dem Bundesamt für Cybersicherheit (BACS) innerhalb von 24 Stunden nach Entdeckung eine Erstmeldung und innerhalb von 14 Tagen ein vollständiger Bericht vorgelegt werden muss. Dieser Feed unterstützt die vorbereitende Seite dieser Verpflichtung: Er bietet Ihnen eine dokumentierte, datierte Quelle für bekannte Schwachstellen in Ihrem ICS und der damit verbundenen IT-Software, wodurch sich die Frage verkürzt, ob ein Vorfall mit einer Ihnen bereits bekannten Schwachstelle zusammenhängt. Er erkennt den Angriff nicht, erstellt keinen Bericht und überwacht nicht die 24-Stunden-Frist; daher müssen die Erkennung und die Bearbeitung des Vorfalls über Ihr SIEM, Ihre OT-Überwachung und Ihr eigenes Runbook erfolgen. Er leistet auch keinen Beitrag zum 14-tägigen Folgebericht, für den Daten zur Zeitachse des Vorfalls und zu dessen Auswirkungen benötigt werden, die der Feed niemals erfasst. Dieser Text beschreibt Produktfunktionen und stellt keine Rechtsberatung dar; ob Ihre Organisation in den Geltungsbereich der Meldepflicht fällt, sollten Sie mit Ihrer eigenen Rechts- oder Compliance-Abteilung klären.

Erfüllt der „Kaspersky ICS Threat Data Feeds Vulnerability Feed“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein gewährleistet die NIS-2-Konformität, da sich die Richtlinie auf organisatorische Risikomanagementmaßnahmen und nicht auf ein bestimmtes Tool bezieht. NIS 2 schreibt Maßnahmenkategorien vor, darunter Risikoanalyse und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität, Sicherheit der Lieferkette, Sicherheit bei der Beschaffung, Entwicklung und Wartung von Systemen einschließlich des Umgangs mit Schwachstellen und deren Offenlegung, Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Dieser Feed trägt zu genau einer dieser Kategorien bei, nämlich zum Umgang mit Sicherheitslücken, indem er eine kontinuierlich aktualisierte und maschinenlesbare Auflistung bekannter ICS-Schwachstellen mit CVE-Referenzen und Patch-Status bereitstellt. Er leistet keinen Beitrag zur Vorfallbearbeitung, Geschäftskontinuität, Zugriffskontrolle, Kryptografie, Schulung oder Lieferantenbewertung und erstellt von sich aus keinen auditfähigen Bericht, da jegliche Nachweise von dem SIEM oder der Plattform generiert werden müssen, die die Daten verarbeiten.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Zwei offizielle Maßnahmen bezüglich des Anbieters sind relevant und beide sind nach wie vor in Kraft. Im März 2022 gab das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine öffentliche Warnung vor der Antivirensoftware von Kaspersky heraus – die einzige öffentliche Produktwarnung dieser Art, die die Behörde jemals ausgesprochen hat; sie unterliegt nun § 13 BSIG, und das BSI bestätigte im Jahr 2026, dass sie aufrechterhalten wird. Kaspersky weist die Begründung zurück, hat formell die Rücknahme der Warnung gefordert und sich das Recht auf rechtliche Schritte vorbehalten. Unabhängig davon erließ das Bureau of Industry and Security des US-Handelsministeriums im Juni 2024 eine endgültige Entscheidung, die Kaspersky-Cybersicherheits- und Antivirenprodukte in den Vereinigten Staaten verbietet, wobei das vollständige Verbot ab dem 29. September 2024 in Kraft tritt; Diese Entscheidung gilt ausdrücklich nicht für die „Threat Intelligence“-Produkte und -Dienstleistungen von Kaspersky, zu deren Portfolio dieser Feed gehört. In der Schweiz hat die BACS weder eine Warnung noch eine Einschränkung herausgegeben, erklärt, dass ihr kein Missbrauch gemeldet wurde, und verweist Organisationen auf ihre eigene Risikoanalyse. In der Praxis betrifft dies Käufer mit deutschen Aufträgen im öffentlichen Sektor, Käufer, deren Kunden den Lieferanten Herkunftslandvorschriften auferlegen, sowie Konzerne mit US-Tochtergesellschaften, die unter die Entscheidung des US-Handelsministeriums fallen; für einen rein schweizerischen Industrieunternehmen ohne solche vertraglichen Verpflichtungen gilt derzeit keine gesetzliche Einschränkung.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein Vergleich der beiden Anbieter hinsichtlich Erkennungsleistung und praktischer Unterschiede.

Hilft der „Kaspersky ICS Threat Data Feeds Vulnerability Feed“ bei Sicherheitsfragebögen großer Kunden?

Teilweise, und zwar nur in einem Abschnitt eines typischen Fragebogens. Er liefert Ihnen eine konkrete Antwort auf die Fragen zur Identifizierung von Schwachstellen und zur Beschaffung von Bedrohungsinformationen: Sie können einen kommerziellen ICS-spezifischen Feed, dessen Aktualisierungsrhythmus, dessen CVE- und Patch-Kontext sowie das dahinterstehende Forschungsteam nennen – was überzeugender ist, als anzugeben, dass Sie öffentliche Sicherheitshinweise manuell überwachen. Er beantwortet keine Fragen zu Endpunktschutz, Erkennung und Reaktion, Patch-Bereitstellung, Verschlüsselung, Multi-Faktor-Authentifizierung, Datensicherung, Protokollaufbewahrung, Zugriffskontrolle, Mitarbeiterschulung oder ISMS-Zertifizierung und erstellt keine Richtlinien oder Auditberichte. Es kann auch die Frage nach dem Herkunftsland des Anbieters nicht beantworten, die zunehmend in Fragebögen von Kunden aus regulierten oder öffentlichen Sektoren auftaucht und die keine Kaspersky-Edition schließen kann. Was die technischen Lücken betrifft, ist das Hinzufügen weiterer Feeds oder von „Kaspersky CyberTrace“ aus derselben Threat-Intelligence-Familie in der Regel kostengünstiger und mit weniger Integrationsaufwand verbunden als das Zusammenstellen einer gleichwertigen Abdeckung aus mehreren Anbietern; was die Frage nach dem Herkunftsland betrifft, muss die Antwort eher eine Beschaffungsentscheidung als eine Produktentscheidung sein.

Was ist der Unterschied zwischen dem ICS Vulnerability Feed und dem ICS Vulnerability Feed im OVAL-Format?

Der entscheidende Unterschied liegt darin, was die Daten verarbeitet. Der Standard-ICS-Vulnerability-Feed liefert Schwachstelleneinträge mit Hashes, CVEs, Zeitstempeln und Patch-Kontext zur Erfassung durch eine Threat-Intelligence-Plattform oder ein SIEM, wo sie mit Ihrem Asset-Bestand und eingehenden Ereignissen abgeglichen werden. Die OVAL-Variante ist ein separater Feed, der Scan-Regeln zur Erkennung anfälliger ICS-Software auf Microsoft-Windows-Systemen enthält. Diese werden mit Scannern genutzt, die den OVAL-Standard unterstützen – dies ist ein anderer Arbeitsablauf und ein separater Kauf. Der ICS-Hash-Feed ist ein dritter, eigenständiger Feed, der sich nicht auf Schwachstellen, sondern auf schädliche Dateien konzentriert, die zum Angriff auf die ICS-Infrastruktur verwendet werden; er beantwortet also eine ganz andere Frage.

Welche Einschränkungen sollten Sie vor dem Kauf kennen?

Hierbei handelt es sich um Daten, nicht um ein Sicherheitsprodukt: Ohne ein SIEM, eine Threat-Intelligence-Plattform oder Kaspersky CyberTrace, um diese Daten zu erfassen und abzugleichen, liefert der Feed keine Ergebnisse. Daher ist der Kauf dieses Produkts, bevor diese Ebene vorhanden ist, die häufigste Fehlinvestition in dieser Kategorie. Die Abdeckung der Anbieter richtet sich nach der Kundennachfrage. Kaspersky nennt Siemens, Schneider Electric, Yokogawa und Emerson, und im Laufe der Zeit kommen weitere Anbieter hinzu. Das bedeutet, dass Sie vor der Bestellung – und nicht erst danach – prüfen sollten, ob Ihre eigenen SPS-, SCADA- und DCS-Anbieter in der aktuellen Abdeckung enthalten sind. Wenn Ihr Workflow das Scannen auf Dateiebene von Windows-Engineering-Arbeitsplätzen umfasst, ist die OVAL-Variante ein separater Feed, und dieser hier ist für diese Aufgabe nicht geeignet. Was die regionale Verfügbarkeit betrifft, gelten keine Einschränkungen für die Schweiz, und die Kaspersky Threat Intelligence-Produkte fallen nicht unter das US-Verbot; allerdings können die Warnung des deutschen BSI vor Kaspersky-Software sowie Herkunftslandklauseln in Kunden- oder öffentlichen Verträgen die Beschaffung weiterhin blockieren. Prüfen Sie daher vor der technischen Bewertung etwaige vertragliche Einschränkungen.

Test: Antivirenprogramm: Die besten Antivirenprogramme für Windows 2025
– Ein Überblick über aktuelle Windows-Schutzoptionen für die Arbeitsstationen, die ein Feed nicht abdeckt.

Häufig gestellte Fragen zu den Kaspersky ICS Threat Data Feeds – Schwachstellen-Feed

Ersetzt dieser Feed einen OT-Schwachstellenscanner?

Nein. Der Feed liefert Informationen darüber, welche Softwareversionen anfällig sind; er greift niemals auf Ihr Netzwerk zu und fragt niemals ein Gerät ab. Um diese Informationen mit Ihrer tatsächlich installierten Basis abzugleichen, ist eine Bestandsaufnahme Ihrer IT-Ressourcen aus Ihrem SIEM-, CMDB- oder OT-Überwachungstool erforderlich.

Benötigen wir Kaspersky-Endpunktprodukte, um diesen Feed zu nutzen?

Nein. Der Feed wird in den Formaten JSON, CSV, STIX und OpenIoC bereitgestellt und ist für Plattformen von Drittanbietern konzipiert. Zu den dokumentierten Integrationen gehören IBM QRadar, Splunk Enterprise Security, ArcSight ESM, RSA NetWitness, MISP, Anomali ThreatStream, ThreatQ, EclecticIQ und Microsoft Sentinel. Kaspersky-Schutzsoftware ist keine Voraussetzung.

Was passiert, wenn wir auch den allgemeinen Schwachstellen-Daten-Feed nutzen?

Kaspersky dokumentiert für seine ThreatConnect-Integration, dass in Fällen, in denen eine Berechtigung sowohl den ICS-Schwachstellen-Datenfeed als auch den allgemeinen Schwachstellen-Datenfeed abdeckt, nur der ICS-Feed verarbeitet wird. Überprüfen Sie das Verhalten Ihrer eigenen Plattform, bevor Sie beide Lizenzen erwerben, damit Sie nicht doppelt für Daten bezahlen, die nur einmal genutzt werden.