Wenn ein Scan mehr Befunde der Stufen „High“ und „Critical“ liefert, als Ihr Team diese Woche patchen kann, brauchen Sie eine Reihenfolge. Nach CVSS-Wert zu sortieren wirkt objektiv, beantwortet aber die falsche Frage. Kombiniert mit EPSS, dem KEV-Katalog und dem Wissen über Ihre eigenen Systeme ergibt sich eine deutlich bessere.
Was CVSS misst – und was nicht
Das Common Vulnerability Scoring System (CVSS), gepflegt von FIRST, beschreibt, wie schwerwiegend eine Schwachstelle ist. Der Basiswert spiegelt die inhärenten Eigenschaften der Schwachstelle wider und geht von einem plausiblen Worst Case über alle Umgebungen aus, in denen sie vorkommen kann. Der Benutzerleitfaden zu CVSS v4.0 von FIRST stellt klar, dass Basiswerte den Schweregrad messen und „nicht allein zur Risikobewertung verwendet werden sollten“.
Trotzdem ist der Basiswert meist alles, was Sie bekommen. Derselbe Leitfaden weist darauf hin, dass Produkthersteller und die US-amerikanische National Vulnerability Database in der Regel nur Basiswerte veröffentlichen. Informationen über aktuelle Bedrohungen und über Ihre eigene Umgebung müssen Sie selbst ergänzen.
Ein CVSS-Vektor zeigt, wie der Wert zustande kam. Zum Beispiel:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8, Critical)Das bedeutet: über das Netzwerk erreichbar, geringe Komplexität, keine Berechtigungen und keine Benutzerinteraktion nötig, hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Ob jemand die Schwachstelle ausnutzt oder ob das betroffene System in Ihrem Netz überhaupt erreichbar ist, sagt der Vektor nicht.
CVSS v3.1 und v4.0 im Überblick
CVSS v4.0 wurde im November 2023 veröffentlicht. Beide Versionen verwenden dieselben qualitativen Stufen: Low 0.1 bis 3.9, Medium 4.0 bis 6.9, High 7.0 bis 8.9 und Critical 9.0 bis 10.0. In Advisories werden Sie noch eine Weile beide Versionen sehen.
| Thema | CVSS v3.1 | CVSS v4.0 |
|---|---|---|
| Metrikgruppen | Base, Temporal, Environmental | Base, Threat, Environmental, Supplemental |
| Informationen zu Exploits | Gruppe Temporal mit drei Metriken | Gruppe Threat, nur mit Exploit Maturity |
| Weiterreichende Auswirkungen | Metrik Scope | Getrennte Auswirkungen auf das verwundbare System und auf nachgelagerte Systeme |
| Angriffsbedingungen | Attack Complexity | Attack Complexity plus die neue Metrik Attack Requirements |
| Benutzerinteraktion | None oder Required | None, Passive oder Active |
| Kennzeichnung | Ein Wert | CVSS-B, CVSS-BT, CVSS-BE oder CVSS-BTE, je nachdem, welche Gruppen verwendet wurden |
Die Kennzeichnungen von v4.0 sind hilfreich. Ein Wert mit der Kennzeichnung CVSS-B ist ein reiner Basiswert; Sie wissen also, dass Bedrohungslage und Umgebung nicht berücksichtigt wurden. Ergänzende Metriken (Supplemental), etwa ob sich die Ausnutzung automatisieren lässt, liefern Kontext, ohne den Wert zu verändern.
EPSS – wie wahrscheinlich ist eine Ausnutzung?
Das Exploit Prediction Scoring System (EPSS), ebenfalls von FIRST betrieben, schätzt die Wahrscheinlichkeit, dass eine veröffentlichte CVE in den nächsten 30 Tagen in freier Wildbahn ausgenutzt wird. Die Werte reichen von 0 bis 1 und werden täglich für jede CVE kostenlos veröffentlicht, als CSV-Download und über eine API.
Der Benutzerleitfaden von FIRST schlägt vor, EPSS und CVSS in einem einfachen Quadranten zu kombinieren:
| Niedriger CVSS-Wert | Hoher CVSS-Wert | |
|---|---|---|
| Hoher EPSS-Wert | Wird wahrscheinlich ausgenutzt, für sich allein begrenzt; prüfen, ob sie sich mit anderen verketten lässt | Zuerst patchen |
| Niedriger EPSS-Wert | Kann in der Regel zurückgestellt werden | Schwerwiegend, aber weniger wahrscheinlich ausgenutzt; auf Veränderungen achten |
Ebenso klar benennt der Leitfaden die Grenzen. EPSS deckt nur die Bedrohungsseite des Risikos ab und sollte daher „niemals als Risikowert behandelt werden“. Es weiß nicht, welche Systeme Sie betreiben, wie exponiert sie sind oder welche Daten sie enthalten. Und ein niedriger Wert bedeutet nie null.
KEV – wird die Schwachstelle bereits ausgenutzt?
Der Katalog Known Exploited Vulnerabilities (KEV) der CISA listet Schwachstellen, für die es belastbare Belege für eine Ausnutzung in freier Wildbahn gibt. Eine Schwachstelle wird nur aufgenommen, wenn drei Bedingungen erfüllt sind:
- sie hat eine CVE-ID
- es gibt belastbare Belege für eine aktive Ausnutzung; Scans, Forschung und Proof-of-Concept-Code allein zählen nicht
- es gibt eine klare Anleitung zur Behebung, etwa ein Update des Herstellers
Die Binding Operational Directive 22-01 verpflichtet zivile US-Bundesbehörden, KEV-Einträge innerhalb fester Fristen zu beheben. Andere Organisationen sind daran nicht gebunden, doch die CISA empfiehlt nachdrücklich, KEV-Einträge im eigenen Schwachstellenmanagement vorrangig zu behandeln.
Europäische Organisationen haben eine zweite Quelle. Die European Vulnerability Database (EUVD) der ENISA, seit Mai 2025 auf Grundlage der NIS2-Richtlinie in Betrieb, enthält ein Dashboard ausgenutzter Schwachstellen. CVE-Daten, Hersteller-Advisories und der KEV-Katalog fließen automatisch ein.
Ein einfacher Ansatz zur Priorisierung
Nutzen Sie KEV und EPSS, um zu entscheiden, wie dringend etwas ist, und Ihr Wissen über die eigenen Systeme, um zu entscheiden, wo es darauf ankommt. Die folgenden Stufen sind ein Ausgangspunkt, den wir vorschlagen, kein Standard. Passen Sie die Fristen an Ihre Kapazität und Ihre Risikobereitschaft an.
| Stufe | Bedingung | Vorgeschlagene Frist |
|---|---|---|
| 1 | In KEV oder in der EUVD als ausgenutzt markiert, auf einem aus dem Internet erreichbaren oder geschäftskritischen System | Tage; mit Gegenmaßnahmen, falls noch kein Patch möglich ist |
| 2 | In KEV auf internen Systemen oder hoher EPSS-Wert auf einem exponierten System | Nächster Patch-Zyklus, innerhalb von etwa zwei Wochen |
| 3 | CVSS High oder Critical mit niedrigem EPSS-Wert, nicht exponiert | Normaler Monatszyklus; EPSS und KEV regelmäßig erneut prüfen |
| 4 | Alles andere | Routinewartung, oder das Risiko akzeptieren und die Begründung dokumentieren |
Erst der Kontext der betroffenen Systeme macht aus einem Wert eine Entscheidung. Stellen Sie zu jedem System drei Fragen: Ist es aus dem Internet erreichbar, welche Daten oder Zugänge enthält es, und was würde ein Ausfall kosten? In CVSS-Begriffen sind das Ihre Umgebungsmetriken.
Ein anschauliches Beispiel
Stellen Sie sich zwei Befunde am selben Tag vor. Der erste ist mit 9.8 bewertet und betrifft einen internen Testserver ohne sensible Daten, mit niedrigem EPSS-Wert und ohne KEV-Eintrag. Der zweite ist eine lokale Rechteausweitung mit 7.8, steht im KEV-Katalog und betrifft jeden Laptop der Belegschaft.
Nach Wert sortiert landet der erste oben. Der oben beschriebene Ansatz setzt den zweiten an die erste Stelle. Er wird aktiv ausgenutzt und steckt in jedem Laptop – dort, wo eine einzige erfolgreiche Phishing-Mail einem Angreifer den nötigen Brückenkopf verschaffen kann. Der Testserver wird trotzdem behoben, im normalen Zyklus.
Wo Sie anfangen
- Stellen Sie sicher, dass Ihr Scanner oder Ihr Asset-Inventar zu jedem Befund die CVE-ID erfasst.
- Binden Sie die täglichen EPSS-Werte und die KEV-Liste ein oder nutzen Sie ein Tool, das das bereits tut.
- Kennzeichnen Sie Systeme nach Erreichbarkeit und geschäftlicher Bedeutung, und sei es nur als „aus dem Internet erreichbar“ und „kritisch“.
- Vereinbaren Sie mit der Geschäftsleitung Zielfristen pro Stufe und verfolgen Sie deren Einhaltung.
- Wenn ein Advisory nur einen Vektor angibt, lesen Sie ihn mit unserem CVSS-Rechner und passen Sie ihn an Ihre Umgebung an.
Wenn Sie das lieber kontinuierlich erledigen lassen möchten, kann unser Managed-Security-Service die Verfolgung und Priorisierung von Schwachstellen für Sie übernehmen.
