Wenn Sie schon einmal einen Schwachstellen-Scanbericht gesehen haben — eine Wand aus "CVE-2024-xxxxx, CVSS 9.8 Critical"-Einträgen, ohne Ahnung, welchen zuerst zu beheben — dann ist dieser Ratgeber für Sie. Jedes dieser vier Systeme beantwortet eine andere Frage — und erst in der Kombination ergibt sich eine sinnvolle Antwort auf "was patche ich heute."
CVE — welche Schwachstelle ist das?
CVE (Common Vulnerabilities and Exposures) ist schlicht ein Benennungs- und Katalogisierungssystem. Jede öffentlich bekannt gemachte Software-Schwachstelle erhält eine eindeutige ID im Format CVE-JJJJ-NNNNN — das Jahr der Zuweisung und eine laufende Nummer. CVE selbst enthält keine Schweregrad-Information; es ist ein gemeinsamer Bezeichner, damit eine Herstellermitteilung, ein Scanner-Bericht und ein Nachrichtenartikel alle eindeutig auf dieselbe Schwachstelle verweisen können.
Stellen Sie sich eine CVE-ID wie ein Aktenzeichen bei Gericht vor: Sie sagt Ihnen, um welchen Fall es geht, nicht wie schwerwiegend er ist.
CVSS — wie schwerwiegend ist sie, in der Theorie?
CVSS (Common Vulnerability Scoring System) vergibt einen Schweregrad-Wert von 0,0–10,0 basierend auf den technischen Eigenschaften der Schwachstelle: wie sie ausgenutzt wird (Netzwerk- vs. lokaler Zugriff), wie komplex der Angriff ist, welche Rechte nötig sind, und welche Auswirkung eine erfolgreiche Ausnutzung auf Vertraulichkeit, Integrität und Verfügbarkeit hat.
| Wert | Einstufung |
|---|---|
| 9,0 – 10,0 | Kritisch |
| 7,0 – 8,9 | Hoch |
| 4,0 – 6,9 | Mittel |
| 0,1 – 3,9 | Niedrig |
CVSS ist nützlich und weit verbreitet, hat aber eine entscheidende Einschränkung, die viele Leute überrascht: Es misst theoretischen Schweregrad, nicht reale Wahrscheinlichkeit. Eine CVSS-9,8-Schwachstelle in Software, die kaum jemand einsetzt, ohne öffentlichen Exploit-Code, ist ein ganz anderes praktisches Risiko als eine CVSS-7,5-Schwachstelle, die gerade aktiv und automatisiert im gesamten Internet ausgenutzt wird. Sich bei der Priorisierung einer langen Patch-Liste allein auf CVSS zu verlassen führt regelmäßig dazu, dass Teams den "am schlimmsten klingenden" Fehler beheben, während ein aktiv ausgenutzter, niedriger bewerteter unangetastet bleibt.
EPSS — wie wahrscheinlich wird sie ausgenutzt?
EPSS (Exploit Prediction Scoring System), betrieben von FIRST.org, verfolgt einen ganz anderen Ansatz: Es ist ein datengetriebenes Modell, das die Wahrscheinlichkeit schätzt, mit der eine Schwachstelle in den nächsten 30 Tagen in freier Wildbahn ausgenutzt wird, ausgedrückt als Prozentsatz (z. B. 2,3 % oder 97,1 %). Es basiert auf real beobachteten Daten — Verfügbarkeit von Exploit-Code, Scan-/Angriffsaktivität, Einträge in Exploit-Datenbanken, Erwähnungen in sozialen Medien und mehr — und wird täglich neu berechnet, sobald neue Belege eintreffen.
Der praktische Wert von EPSS liegt darin, dass es regelmäßig aufschlussreich von CVSS abweicht. Es ist üblich, eine CVSS-9,8-Schwachstelle mit einem EPSS-Wert unter 1 % zu sehen (theoretisch schwerwiegend, in der Praxis von Angreifern weitgehend ignoriert) neben einer CVSS-7,1-Schwachstelle mit einem EPSS-Wert über 90 % (Angreifer gehen gerade aktiv dagegen vor). Wenn Sie diese Woche nur eine Handvoll Dinge patchen können, ist EPSS oft das bessere Signal für die Auswahl.
KEV — wird sie bereits ausgenutzt?
KEV (Known Exploited Vulnerabilities) ist ein von der CISA (der US-amerikanischen Cybersicherheitsbehörde) geführter Katalog, der Schwachstellen mit bestätigtem Nachweis aktiver Ausnutzung auflistet — keine Vorhersage, sondern ein dokumentierter Fakt. Steht eine CVE auf der KEV-Liste, haben reale Angreifer sie gegen reale Ziele eingesetzt. US-Bundesbehörden sind sogar verpflichtet, KEV-gelistete Schwachstellen innerhalb einer festen Frist zu patchen — ein Hinweis darauf, wie ernst diese Liste operativ genommen wird.
Ein KEV-Eintrag sollte grundsätzlich an die Spitze jeder Patch-Warteschlange springen, unabhängig vom CVSS-Wert. "Wird aktuell aktiv ausgenutzt" ist eines der konkretesten Risikosignale, die Schwachstellen-Daten liefern können.
Alle vier zusammen zur Priorisierung nutzen
Nebeneinandergestellt beantworten die vier Systeme unterschiedliche, sich ergänzende Fragen:
| System | Beantwortete Frage | Art der Daten |
|---|---|---|
| CVE | Um welche konkrete Schwachstelle handelt es sich? | Bezeichner / Katalog |
| CVSS | Wie schlimm wäre es im Falle einer Ausnutzung? | Theoretischer Schweregrad-Wert |
| EPSS | Wie wahrscheinlich ist Ausnutzung in den nächsten 30 Tagen? | Vorhersagender, datengetriebener Wahrscheinlichkeitswert |
| KEV | Wird sie gerade jetzt ausgenutzt? | Bestätigter, beobachteter Fakt |
Eine praktische Faustregel zur Priorisierung, die alle drei Risikosignale kombiniert:
- Auf der KEV-Liste? Sofort patchen, unabhängig von allem anderen.
- Hoher EPSS-Wert (grob >10 %)? Als dringend behandeln — die Schwachstelle bewegt sich aktiv Richtung Ausnutzung.
- Hoher CVSS-Wert, aber niedriger EPSS-Wert und nicht auf KEV? Trotzdem sinnvoll zu beheben, kann aber meist im regulären Patch-Zyklus statt als Notfall behandelt werden.
- Alles Übrige folgt Ihrem normalen Patch-Rhythmus, grob nach CVSS geordnet.
In der Praxis umsetzen
Der schwierige Teil ist in der Praxis nicht das Verständnis dieser vier Systeme — sondern zu wissen, welche CVEs überhaupt auf Ihr Netzwerk zutreffen. Dafür müssen Sie genau wissen, welche Software und Versionen auf jedem Gerät tatsächlich laufen, das Sie besitzen — genau das ist es, was ein Netzwerkscanner wie LANsentry aufdeckt: Er identifiziert Dienste und Versionen während eines Portscans, gleicht sie mit Schwachstellen-Daten ab und zeigt den CVSS-Schweregrad direkt bei jedem Fund an, sodass Sie sofort sehen, was zuerst Aufmerksamkeit braucht.
Zur zugrundeliegenden Frage, was in Ihrem Netzwerk überhaupt erreichbar ist — was aus "irgendwo existiert eine Schwachstelle" erst "das ist tatsächlich Ihr Problem" macht — siehe unseren Ratgeber zum Finden und Schließen offener Ports.
Finden Sie heraus, was in Ihrem Netzwerk tatsächlich ausnutzbar ist
LANsentry scannt jedes Gerät, identifiziert laufende Dienste und Versionen und zeigt bekannte Schwachstellen mit Schweregrad — damit Sie wissen, was zuerst zu beheben ist.