Tenable
Schwachstellenmanagement & Nessus
- Security & Endpoint-Schutz
- Subscription
Für · CISOs, Security-Teams und IT-Abteilungen in Organisationen mit NIS2-, DORA-, ISO 27001- oder SOC 2-Verpflichtungen
Tenable ist Marktführer im Schwachstellen- und Exposure-Management. Das bekannteste Produkt ist Nessus – einer der meistgenutzten Schwachstellenscanner weltweit – sowie die Enterprise-Plattformen Tenable Vulnerability Management (früher Tenable.io), Tenable Security Center und die übergreifende Lösung Tenable One. Für Organisationen mit NIS2-, DORA- oder ISO 27001-Anforderungen ist ein Toolset wie Tenable nahezu zum Standard geworden.
Das Lizenzmodell basiert auf der Anzahl der Assets (IP-Adressen, Cloud-Ressourcen, Identitäten). Das klingt einfach, doch die Zählung ist berüchtigt komplex: IoT-Geräte, Container-Instanzen und temporäre Cloud-Workloads können die Asset-Anzahl schnell erhöhen. Organisationen, die ihr Asset-Inventar nicht aktiv pflegen, sehen ihre Tenable-Rechnung Jahr für Jahr steigen, ohne dass sich das Sicherheitsniveau verbessert.
Einkaufshinweise
- Bereinigen Sie Ihr Asset-Inventar vor jeder Verlängerung
Der wichtigste Kostensparer bei Tenable ist ein sauberes Asset-Inventar. Führen Sie kurz vor der Verlängerung eine Bereinigung durch: Entfernen Sie alte Hosts, inaktive Cloud-Ressourcen und Doppelerfassungen. In der Praxis sind 10-20 % der Assets bereinigbar – mit direktem Einfluss auf den Lizenzpreis.
- Vergleichen Sie Einzelprodukte mit Tenable One
Tenable bietet Nessus, Tenable Vulnerability Management, Cloud Security, Identity Exposure und mehr als einzelne Module oder als Tenable One-Bundle an. Für Organisationen, die mehrere Module nutzen, ist der Bundlepreis in der Regel günstiger – allerdings nur, wenn Sie diese Module auch tatsächlich einsetzen.
- Verhandeln Sie eine mehrjährige Preisbindung
Mehrjährige Verträge (2-3 Jahre) bringen erhebliche Rabatte und schützen vor zwischenzeitlichen Preiserhöhungen. Für ein ausgereiftes Sicherheitsprogramm, in dem Tenable dauerhaft Bestandteil des Stacks ist, ist dies finanziell oft attraktiver als eine jährliche Verlängerung.
- Nutzen Sie Qualys und Rapid7 als Verhandlungshebel
Tenable hat mehrere starke Wettbewerber (Qualys, Rapid7, Wiz für Cloud). Bei einem ernsthaften Vergleich mit diesen Alternativen während einer Verlängerung ergibt sich Verhandlungsspielraum. Ein unabhängiger Einkaufspartner kann dies ohne Reputationsrisiko vorab prüfen.
Compliance-Risiken
- EU-Datenstandort vs. US-Tenant
Tenable Vulnerability Management läuft auf AWS in bestimmten Regionen. Für Organisationen unter NIS2 oder mit branchenspezifischen Anforderungen an den Datenstandort ist es verpflichtend, die EU-Instanz auszuwählen und vertraglich festzulegen. Das ist nicht immer standardmäßig der Fall.
- Scan-Daten enthalten sensible Sicherheitsinformationen
Scan-Ergebnisse von Tenable bieten detaillierte Einblicke in Schwachstellen pro Host. Das ist wertvoll, aber auch sensibel: Datenlecks stellen Angreifern eine Blaupause dar. Rollenbasierter Zugriff und Audit-Logging müssen aktiv konfiguriert werden – dies ist nicht standardmäßig aktiviert.
- Geister-Assets in der Cloud
Cloud-Scanner und Agenten erfassen kurzlebige Ressourcen, die innerhalb von Stunden auftauchen und verschwinden. Ohne gute Konfiguration werden diese dennoch in der Lizenzrechnung erfasst, obwohl sie kaum echte Sicherheitswerte bieten. Prüfen Sie dies vierteljährlich.
Häufig gestellte Fragen zu Tenable
Häufig gestellte Fragen zu Tenable-Lizenzen und Einkauf.
Was ist der Unterschied zwischen Nessus Professional und Tenable Vulnerability Management?
Nessus Professional ist ein einzelner Scanner für Pentester und kleinere Teams. Tenable Vulnerability Management ist die cloudbasierte Plattform mit kontinuierlicher Überwachung, Dashboards, Berichten und Mehrbenutzer-Zusammenarbeit. Für ein unternehmensweites Sicherheitsprogramm ist die Plattform in der Regel unverzichtbar.
Brauche ich Tenable One oder reichen Einzelprodukte aus?
Tenable One ist eine Exposure-Management-Plattform, die Schwachstellenmanagement, Cloud-Sicherheit, Identity Exposure und Attack Surface Management bündelt. Für große Organisationen mit mehreren Tenable-Produkten bietet sie einen Bundlepreis und ein zentrales Dashboard – aber nur interessant, wenn Sie diese Module tatsächlich nutzen.
Wie zählt Tenable Assets genau?
Tenable zählt in der Regel aktive Assets innerhalb eines Messzeitraums. Die genaue Definition variiert je nach Produkt (VM vs. Cloud Security vs. Identity Exposure). SoftVaro unterstützt Sie beim genauen Lesen der Asset-Definition in Ihrem Vertrag, damit Sie nicht für „tote“ Assets zahlen.
Relevante Knowledge-Base-Artikel
Effizienter einkaufen bei Tenable?
SoftVaro verhandelt für Sie den besten Deal mit Tenable. Unabhängig, transparent und innerhalb von 24 Stunden.