Priorisierung: CVSS, EPSS und KEV

Ein typischer Unternehmensscan liefert Tausende Findings. Sie können nicht alle gleichzeitig beheben, daher entscheidet die Priorisierung, welche zuerst behoben werden. Wenn Sie es richtig machen, reduzieren Sie das tatsächliche Risiko schnell; wenn Sie es falsch machen, verschwenden Sie Aufwand für theoretische Probleme, während ausgenutzte Schwachstellen offen bleiben.

Drei Datenquellen bilden die Grundlage der modernen Priorisierung: CVSS, EPSS und KEV.

Das Common Vulnerability Scoring System (CVSS) bewertet den inhärenten Schweregrad einer Schwachstelle auf einer Skala von 0,0 bis 10,0. Es berücksichtigt Angriffsvektor, Komplexität, erforderliche Berechtigungen sowie die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

CVSS beantwortet die Frage: Wie schlimm ist die Schwachstelle, wenn sie ausgenutzt wird? Es sagt nicht aus, wie wahrscheinlich eine Ausnutzung ist.

CVSS umfasst drei Metrikgruppen:

• Base — inhärente, unveränderliche Merkmale (der Wert, den die meisten angeben).
• Temporal — zeitabhängige Änderungen (Reife des Exploits, Stand der Behebung).
• Environmental — Ihr spezifischer Kontext (Wichtigkeit des Assets, Schutzmaßnahmen).

Die meisten Teams verwenden nur den Base-Wert und ignorieren Environmental, also genau den Kontext, der die Priorität anpassen sollte.

Ausschließlich nach CVSS zu patchen überlastet Teams: Ein großer Anteil der CVEs erhält die Einstufung High oder Critical, aber nur ein kleiner Teil wird tatsächlich in freier Wildbahn ausgenutzt.

Wenn Sie jede 9,8 gleich priorisieren, patchen Sie möglicherweise eine schwer erreichbare Schwachstelle, bevor Sie eine Schwachstelle beheben, die bereits in Ransomware-Kampagnen eingesetzt wird. Der Schweregrad ist notwendig, reicht aber nicht aus.

Das Exploit Prediction Scoring System (EPSS) schätzt anhand realer Bedrohungsdaten und maschinellen Lernens die Wahrscheinlichkeit (0 bis 1), dass eine Schwachstelle in den nächsten 30 Tagen in freier Wildbahn ausgenutzt wird.

EPSS beantwortet die Frage: Wie wahrscheinlich wird diese Schwachstelle bald tatsächlich angegriffen? Eine CVE mit einem EPSS-Wert von 0,92 verdient wesentlich dringlichere Aufmerksamkeit als eine mit 0,001, selbst bei gleichem CVSS-Wert.

EPSS liefert zwei Zahlen: eine Wahrscheinlichkeit und ein Perzentil (Rang im Vergleich zu allen CVEs). Ein Perzentil von 0,99 bedeutet, dass die Schwachstelle zu den am wahrscheinlichsten ausgenutzten gehört.

Verwenden Sie EPSS als Schwellenwertfilter: Eskalieren Sie beispielsweise alles oberhalb einer festgelegten Wahrscheinlichkeit, unabhängig vom CVSS-Wert. Bewerten Sie dies regelmäßig neu, da EPSS täglich aktualisiert wird, wenn sich die Bedrohungslage verändert.

CISA führt den Katalog Known Exploited Vulnerabilities (KEV): eine Liste von CVEs, deren Ausnutzung in freier Wildbahn bestätigt und beobachtet wurde.

Wenn eine CVE im KEV enthalten ist, handelt es sich nicht um ein theoretisches Risiko; Angreifer nutzen die Schwachstelle derzeit aus. KEV ist das stärkste einzelne Signal dafür, dass eine Behebung dringend ist, und US-Bundesbehörden sind verpflichtet, KEV-Einträge innerhalb festgelegter Fristen zu beheben.

Die Signale ergänzen sich:

• KEV — bestätigte aktive Ausnutzung (sofort beheben).
• EPSS — prognostizierte Wahrscheinlichkeit einer Ausnutzung in naher Zukunft.
• CVSS — Auswirkung bei einer Ausnutzung.

Eine praktische Regel: Jeder Eintrag in KEV hat höchste Priorität; sortieren Sie anschließend nach hohem EPSS und hohem CVSS, gewichtet nach dem Kontext Ihres Assets.

Dieselbe CVE birgt je nach Asset ein unterschiedliches tatsächliches Risiko. Gewichten Sie technische Bewertungen anhand des Kontexts:

• Ist das Asset aus dem Internet erreichbar oder ausschließlich intern?
• Enthält es sensible Daten oder betreibt es einen kritischen Dienst?
• Sind kompensierende Maßnahmen (WAF, Segmentierung) vorhanden?

Dies ist das Konzept der CVSS-Umgebungsmetriken, programmatisch angewendet: Priorisieren Sie exponierte Kronjuwelen gegenüber isolierten Testsystemen.

Ein praktikables Bewertungsmodell:

• In KEV? → sofort beheben, hat Vorrang vor allem anderen.
• EPSS über dem Schwellenwert UND aus dem Internet erreichbar? → dringend.
• Hoher CVSS, aber niedriger EPSS-Wert und intern? → Standardwarteschlange.
• Alles niedrig? → zusammen mit der routinemäßigen Patch-Verteilung bearbeiten.

Dokumentieren Sie das Modell, damit die Priorisierung einheitlich und begründbar statt willkürlich erfolgt.

Vermeiden Sie folgende Fallstricke:

• CVSS Base als vollständige Risikobetrachtung zu behandeln.
• KEV zu ignorieren, weil der CVSS-Wert moderat aussieht (manche KEV-Einträge liegen nicht bei 9+).
• Nie neu zu bewerten: EPSS und KEV ändern sich, daher sollten Sie regelmäßig neu priorisieren.
• Den Asset-Kontext zu vergessen, der einen Befund von niedrig auf kritisch hochstufen kann.

Die Priorisierung verbindet drei Signale: CVSS für die Auswirkung, EPSS für die prognostizierte Wahrscheinlichkeit einer Ausnutzung und KEV für bestätigte aktive Ausnutzung. KEV-Einträge erfordern sofortiges Handeln; andernfalls priorisieren Sie nach EPSS und CVSS, gewichtet nach der Erreichbarkeit und dem Wert des Assets.

Vermeiden Sie CVSS-only-Patching, priorisieren Sie neu, wenn sich die Daten ändern, und dokumentieren Sie das Modell. Als Nächstes machen wir aus priorisierten Befunden abgeschlossene Behebungen – mit Patch-Management und SLAs.