CVSS und Schwachstellen bewerten: Wie kritisch ist eine Lücke?

Kurz: CVSS bewertet Sicherheitslücken auf einer Skala von 0 bis 10; ergänzend zeigen EPSS und KEV, wie wahrscheinlich und tatsächlich eine Lücke ausgenutzt wird.

Genauer: Täglich werden neue Schwachstellen (CVE-Nummern) veröffentlicht. Niemand kann alle sofort beheben, also braucht man eine Priorisierung. Das Common Vulnerability Scoring System (CVSS) liefert einen genormten Schweregrad.

Im Detail

Der CVSS-Wert

Der Base Score von 0,0 bis 10,0 ergibt sich aus Eigenschaften der Lücke:

• Angriffsvektor (Netzwerk, benachbart, lokal, physisch).
• Komplexität des Angriffs, benötigte Rechte und Nutzerinteraktion.
• Auswirkung auf Vertraulichkeit, Integrität, Verfügbarkeit.
• Scope (betrifft es weitere Komponenten?). Schweregrade: 0,1–3,9 niedrig, 4,0–6,9 mittel, 7,0–8,9 hoch, 9,0–10,0 kritisch. Der Vektor (zum Beispiel CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) zeigt die Einzelwerte. CVSS 4.0 verfeinert das Modell.

Warum der Wert nicht alles ist

CVSS beschreibt die theoretische Schwere, nicht das Risiko in deiner Umgebung. Eine kritische Lücke in einer Komponente, die du nicht nutzt oder die nicht erreichbar ist, ist weniger dringend als eine mittlere Lücke in einem öffentlich erreichbaren System mit vorhandenem Exploit. Wichtig: Betroffenheit prüfen (ist die verwundbare Funktion erreichbar?), Umgebungswerte (Schutzbedarf, Gegenmaßnahmen) einbeziehen.

Weitere Signale

• EPSS (Exploit Prediction Scoring System): Wahrscheinlichkeit, dass die Lücke in den nächsten 30 Tagen ausgenutzt wird.
• CISA KEV (Known Exploited Vulnerabilities): Liste tatsächlich ausgenutzter Lücken: sofort patchen.
• Exploit verfügbar? (Exploit-DB, Metasploit), Proof of Concept öffentlich.
• Vendor-Hinweise, BSI-Warnungen.
• VEX-Aussagen („nicht betroffen“) reduzieren Fehlalarme.

Praktisch vorgehen

1. Bestand kennen (SBOM, Inventar).
2. Scanner (Dependabot, npm audit, Trivy, OWASP Dependency-Check) nutzen.
3. Priorisieren: KEV/EPSS hoch → sofort; CVSS ≥ 9 an erreichbaren Systemen → Tage; Rest nach Plan.
4. Beheben (Update/Patch) oder mindern (Konfiguration, WAF, Netzsegmentierung, Funktion abschalten).
5. Dokumentieren und regelmäßig wiederholen. Frage immer: Ist es bei uns erreichbar, ausnutzbar und wie schlimm wäre der Schaden?

Siehe auch: Abhängigkeiten und Sicherheitslücken (CVE), Software-Lieferkette und SBOM, Risikoanalyse, Responsible Disclosure