Schwachstellen priorisieren: warum ein CVSS von 9,8 nicht automatisch dringend ist

Ein Prüfbericht mit 180 Befunden ist noch kein Arbeitsplan. Die naheliegende Reaktion – nach Punktwert sortieren und von oben abarbeiten – klingt vernünftig und führt trotzdem regelmäßig dazu, dass Aufwand an der falschen Stelle landet. Dieser Beitrag zeigt, welche Signale eine belastbare Reihenfolge ergeben und in welcher Reihenfolge man sie anlegt.

Was CVE, CVSS und die OWASP Top 10 überhaupt bezeichnen, steht kompakt auf unserer Seite zum Schwachstellenmanagement. Hier geht es um den Schritt danach: die Entscheidung, was zuerst drankommt.

Die Fundliste ist keine Rangfolge

Ein Scanner meldet, was er findet, und bewertet es nach einem allgemeingültigen Maßstab. Er weiß nicht, welches Ihrer Systeme aus dem Internet erreichbar ist, welche Daten dahinterliegen und ob es für die gemeldete Lücke überhaupt funktionierenden Angriffscode gibt. Genau diese drei Dinge entscheiden aber darüber, ob ein Befund heute oder im nächsten Quartal bearbeitet werden muss.

Sortieren nach Punktwert hat zudem einen unangenehmen Nebeneffekt: Die Liste ist oben dicht besetzt. Wenn vierzig Befunde als „kritisch" markiert sind, ist keiner davon priorisiert.

Was der CVSS-Basiswert misst – und was nicht

Der Basiswert beschreibt Eigenschaften der Schwachstelle selbst: Angriffsvektor, benötigte Rechte, nötige Nutzermitwirkung, Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Das ist eine Aussage über die Lücke im luftleeren Raum, und genau so ist sie gemeint.

Übersehen wird meist, dass CVSS selbst weiterreicht. Die Norm kennt Metriken für die Bedrohungslage – existiert Angriffscode, ist er ausgereift – und für die Umgebung, mit denen sich der Wert an die eigene Lage anpassen lässt: Ein System ohne schützenswerte Daten bekommt eine geringere Gewichtung, ein besonders exponiertes eine höhere. In der Praxis werden diese Metriken selten gepflegt, weil sie Arbeit machen und niemand sie ausweist. Das Ergebnis ist, dass ein Wert benutzt wird, der ausdrücklich nicht für die Priorisierung gedacht war.

EPSS: die Wahrscheinlichkeit, nicht der Schaden

Das EPSS (Exploit Prediction Scoring System) schließt eine der Lücken. Es ist ein datengetriebenes Modell der EPSS Special Interest Group bei FIRST und schätzt für eine veröffentlichte CVE die Wahrscheinlichkeit, dass sie in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Der Wert liegt zwischen 0 und 1 und wird zusätzlich als Perzentil ausgewiesen.

Zwei Dinge sind beim Lesen wichtig. Erstens sagt EPSS nichts über den Schaden – es misst ausschließlich die Wahrscheinlichkeit einer Ausnutzung, nicht deren Folgen. Ein hoher EPSS-Wert auf einer Lücke, die nur einen Dienst zum Absturz bringt, bleibt weniger dringend als ein mittlerer auf einer Lücke, über die sich Daten abziehen lassen. Zweitens ist der Wert nicht stabil: Er ändert sich, sobald neue Beobachtungen einfließen. Eine Priorisierung, die vor drei Monaten erstellt wurde, ist an dieser Stelle veraltet.

EPSS ersetzt CVSS also nicht, es ergänzt es um die Achse, die dem Basiswert fehlt.

KEV: was nachweislich ausgenutzt wird

Noch eindeutiger ist der KEV-Katalog (Known Exploited Vulnerabilities) der US-Behörde CISA. Aufgenommen wird eine Schwachstelle nur, wenn drei Bedingungen erfüllt sind: Es gibt eine CVE-Kennung, es gibt eine klare Anleitung zur Behebung, und es gibt verlässliche Belege für eine Ausnutzung in freier Wildbahn.

Der letzte Punkt macht den Katalog so nützlich. Während EPSS eine Schätzung liefert, ist KEV eine Feststellung. Steht eine Lücke dort und betrifft sie ein System, das Sie betreiben, ist die Diskussion über die Dringlichkeit beendet.

Für US-Bundesbehörden war der Katalog über eine verbindliche Anweisung mit festen Fristen verknüpft; diese Anweisung wurde inzwischen durch eine neuere ersetzt, die Aktualisierungen stärker am Risiko ausrichtet. Für europäische Organisationen war der Katalog ohnehin nie bindend – er ist eine Quelle, keine Vorschrift. Als Signal ist er trotzdem schwer zu schlagen, weil er keine Prognose wiedergibt, sondern beobachtete Realität.

Ihre Umgebung ist der wichtigste Filter

Alle bisher genannten Signale sind allgemeingültig. Den größten Unterschied macht die Information, über die nur Sie verfügen.

Erreichbarkeit. Ist der betroffene Dienst aus dem Internet ansprechbar, steht er hinter einem VPN, oder lauscht er nur im internen Netz? Dieselbe Lücke bedeutet in den drei Fällen etwas völlig anderes.

Schutzbedarf. Was liegt hinter dem System? Ein Testsystem mit synthetischen Daten und das Portal mit Vertragsdaten Ihrer Kunden rechtfertigen nicht denselben Aufwand.

Kompensierende Maßnahmen. Manchmal ist die Lücke da, aber der Weg dorthin bereits versperrt – durch eine Firewall-Regel, eine WAF, eine abgeschaltete Funktion. Das ändert die Dringlichkeit, nicht aber die Notwendigkeit, es zu dokumentieren.

Eine Reihenfolge, die sich begründen lässt

In der Praxis hat sich bewährt, die Signale nicht zu verrechnen, sondern nacheinander als Filter anzulegen:

1. Steht die Lücke im KEV-Katalog und betrifft sie ein erreichbares System? Dann sofort, unabhängig vom Punktwert.
2. Ist das System aus dem Internet erreichbar und der EPSS-Wert hoch? Dann in den laufenden Sprint.
3. Hoher CVSS, aber intern und ohne Hinweise auf Ausnutzung? Geplant im nächsten Wartungsfenster.
4. Alles Übrige wird gebündelt und im regulären Patch-Zyklus mitgenommen.

Der Vorteil dieses Vorgehens ist nicht die Präzision – die vier Stufen sind grob. Der Vorteil ist, dass jede Einordnung eine Begründung hat, die auch in sechs Monaten noch nachvollziehbar ist. Genau danach fragt ein Auditor.

Ein Beispiel: Ein CVSS von 9,8 auf einem abgeschalteten Testsystem fällt in Stufe vier. Eine 6,5 auf dem Kundenportal, für die es öffentlichen Angriffscode gibt, fällt in Stufe eins. Die Punktwerte legen das Gegenteil nahe.

Was mit dem Rest passiert

Nicht jeder Befund wird behoben, und das ist kein Versäumnis. Wo eine Behebung technisch nicht möglich ist oder in keinem Verhältnis zum Nutzen steht, tritt eine kompensierende Maßnahme an ihre Stelle – oder das Risiko wird bewusst getragen.

Legitim ist beides. Nicht legitim ist, es nicht aufzuschreiben. Eine dokumentierte Risikoübernahme braucht drei Angaben: wer entschieden hat, auf welcher Grundlage, und wann die Entscheidung erneut geprüft wird. Ohne das dritte Element wird aus einer Entscheidung ein Vergessen mit Aktenzeichen.

Stand: August 2026. EPSS nach den Angaben von FIRST, KEV-Aufnahmekriterien nach CISA.

Weiterführend: Schwachstellenmanagement · Penetrationstest · Systemhärtung mit CIS Benchmarks · Cyber-Risiko-Check