Tenable
Schwachstellenmanagement, Nessus und Exposure Management für Enterprise Security
- Sicherheits- & Endpoint-Schutz
- Subscription
Für · CISOs, Security-Teams und IT-Abteilungen bei Organisationen mit NIS2-, DORA-, ISO 27001- oder SOC 2-Verpflichtungen
Tenable ist Marktführer im Schwachstellen- und Exposure Management. Das bekannteste Produkt ist Nessus – einer der meistgenutzten Schwachstellenscanner weltweit – sowie die Enterprise-Plattformen Tenable Vulnerability Management (früher Tenable.io), Tenable Security Center und das übergreifende Tenable One. Für Organisationen mit NIS2-, DORA- oder ISO 27001-Verpflichtungen ist ein Toolset wie Tenable mittlerweile quasi Standard.
Das Lizenzmodell basiert auf der Anzahl der Assets (IP-Adressen, Cloud-Ressourcen, Identitäten). Das klingt einfach, doch die Zählung ist berüchtigt komplex: IoT-Geräte, Container-Instanzen und ephemeral Cloud-Workloads können die Asset-Anzahl schnell nach oben treiben. Organisationen, die ihr Asset-Inventory nicht aktiv verwalten, erleben Jahr für Jahr steigende Tenable-Rechnungen, ohne dass das Sicherheitsniveau mitwächst.
Einkaufs-Tipps
- Bereinige dein Asset-Inventory vor jeder Verlängerung
Der größte Kostenhebel bei Tenable ist ein sauberes Asset-Inventory. Führe direkt vor der Verlängerung eine Bereinigung durch: entferne alte Hosts, inaktive Cloud-Ressourcen und Doppelzählungen. In der Praxis sind 10-20 % der Assets meist aufräumbar – das wirkt sich direkt auf den Lizenzpreis aus.
- Vergleiche Einzelprodukte mit Tenable One
Tenable bietet Nessus, Tenable Vulnerability Management, Cloud Security, Identity Exposure und mehr als Einzelmodule oder als Tenable One Bundle an. Für Organisationen, die mehrere Module nutzen, ist der Bundlepreis meist günstiger – aber nur, wenn man die Module auch tatsächlich einsetzt.
- Verhandle über mehrjährige Preisbindung
Mehrjährige Verträge (2-3 Jahre) bringen erhebliche Rabatte und schützen vor Zwischenpreiserhöhungen. Für ein ausgereiftes Security-Programm, in dem Tenable dauerhaft eingesetzt wird, ist das finanziell oft attraktiver als eine jährliche Verlängerung.
- Nutze Qualys und Rapid7 als Verhandlungshebel
Tenable hat mehrere starke Konkurrenten (Qualys, Rapid7, Wiz für Cloud). Bei ernsthaftem Vergleich mit diesen Alternativen im Verlängerungsprozess entsteht Verhandlungsspielraum. Ein unabhängiger Einkaufspartner kann diese ohne Reputationsverlust vorab prüfen.
Compliance-Risiken
- EU-Datenstandort vs. US-Tenant
Tenable Vulnerability Management läuft auf AWS in spezifischen Regionen. Für Organisationen unter NIS2 oder mit branchenspezifischen Datenstandortanforderungen ist es verpflichtend, die EU-Instanz zu wählen und dies vertraglich festzuhalten. Standardmäßig ist das nicht immer der Fall.
- Scan-Daten enthalten sensible Sicherheitsinformationen
Scan-Ergebnisse von Tenable geben detaillierte Einblicke in Schwachstellen pro Host. Das ist wertvoll, aber auch sensibel: Ein Datenleck wäre eine Blaupause für Angreifer. Rollenbasierter Zugriff und Audit-Logging müssen aktiv konfiguriert sein – das ist nicht standardmäßig voreingestellt.
- Ghost-Assets in der Cloud
Cloud-Scanner und Agents inventarisieren ephemeral Ressourcen, die innerhalb von Stunden auftauchen und verschwinden. Ohne gute Konfiguration werden diese dennoch in der Lizenzrechnung gezählt, obwohl sie kaum echten Sicherheitswert bieten. Prüfe dies jedes Quartal.
Häufig gestellte Fragen zu Tenable
Häufig gestellte Fragen zu Tenable Lizenzen und Einkauf.
Was ist der Unterschied zwischen Nessus Professional und Tenable Vulnerability Management?
Nessus Professional ist ein einzelner Scanner für Pentester und kleinere Teams. Tenable Vulnerability Management ist die cloudbasierte Plattform mit kontinuierlichem Monitoring, Dashboards, Berichten und Multi-User-Kollaboration. Für ein Enterprise-Security-Programm ist die Plattform fast immer unerlässlich.
Brauche ich Tenable One oder genügen Einzelprodukte?
Tenable One ist eine Exposure Management Plattform, die Schwachstellenmanagement, Cloud Security, Identity Exposure und Attack Surface Management bündelt. Für grosse Organisationen mit mehreren Tenable-Produkten bietet sie einen Bundlepreis und ein zentrales Dashboard – aber nur interessant, wenn man diese Module auch wirklich nutzt.
Wie zählt Tenable Assets genau?
Tenable zählt üblicherweise aktive Assets innerhalb eines Messzeitraums. Die genaue Definition variiert je Produkt (VM vs. Cloud Security vs. Identity Exposure). SoftVaro unterstützt beim genauen Durchleuchten der Asset-Definition in deinem Vertrag, damit du nicht für „tote“ Assets zahlen musst.
Relevante Wissensdatenbank-Artikel
Besser einkaufen bei Tenable?
SoftVaro verhandelt für dich den besten Deal mit Tenable. Unabhängig, transparent und innerhalb von 24 Stunden.