Zuerst klären, ob die Meldung Ihr System betrifft
Ein Produktname in einer Sicherheitsmeldung ist der Anfang der Prüfung. Entscheidend sind die tatsächlich eingesetzte Version, betroffene Komponenten und die Voraussetzungen aus dem Herstellerhinweis. Eine Versionsangabe im Webauftritt kann veraltet sein; eine Produktliste kann aktive Dienste übersehen. Gleichen Sie die Meldung deshalb mit dem zuständigen Betriebsteam oder Dienstleister und einem aktuellen Bestand ab.
Notieren Sie die betroffenen Instanzen einzeln: Produktionssystem, Testumgebung, Standort oder Kundensystem. Bei einem IT-Dienstleister reicht eine gemeinsame Produktbezeichnung für mehrere Kunden nicht aus. Ist die Version unbekannt, bleibt die Betroffenheit offen. Das ist eine konkrete Aufgabe zur Klärung und kein Beleg dafür, dass das System sicher ist.
Drei Fragen machen die Dringlichkeit greifbar
Die folgende Entscheidungshilfe ist unsere redaktionelle Einordnung. Sie verbindet den technischen Sachverhalt mit der Situation im Unternehmen: Was ist betroffen, wer kann es erreichen und welche Hinweise auf Ausnutzung liegen vor? Ergänzen Sie, welche Daten, Berechtigungen und Geschäftsabläufe daran hängen.
Ein Zugang aus dem Internet erhöht die Aufmerksamkeit. Interne Systeme brauchen ebenfalls eine Bewertung: Ein bereits angemeldeter Nutzer oder ein kompromittiertes Gerät kann einen anderen Zugriffsweg eröffnen. Eine Schutzmaßnahme zählt nur dann als Entlastung, wenn sie für den beschriebenen Angriffspfad tatsächlich wirksam ist.
Betroffenheit
Produkt, Version und Voraussetzungen abgleichen.
Erreichbarkeit
Zugriffswege und wirksame Schutzmaßnahmen prüfen.
Ausnutzung
Herstellerhinweise, KEV und eigene Belege einordnen.
Maßnahme festlegen
Betriebsfolgen, Zuständigkeit und Termin verbinden.
Nachprüfung
Aktiven Stand und Wirkung der Korrektur belegen.
Redaktionelle Entscheidungshilfe: Die drei Prüfebenen werden im Geschäftskontext bewertet. Sie ergeben keinen automatischen Risikowert.
CVSS, EPSS und KEV beantworten verschiedene Fragen
Addieren Sie die Werte nicht zu einer scheinbar präzisen Gesamtnote. Halten Sie Quelle und Abrufdatum fest; dokumentieren Sie die Entscheidung getrennt von den zugrunde liegenden Signalen. [1] [2] [3] [4]
Die Tabelle lässt sich seitlich verschieben.
| Signal | Was es beschreibt | Was daraus allein nicht folgt |
|---|---|---|
| CVSS-Basiswert (CVSS-B) | Technischer Schweregrad anhand der Eigenschaften der Schwachstelle, unabhängig von Ihrer Betriebsumgebung. | Welche Schwachstelle Ihr Team zuerst beheben sollte. Dafür braucht es den konkreten System- und Geschäftskontext. |
| EPSS | Geschätzte Wahrscheinlichkeit, dass für eine veröffentlichte CVE in den nächsten 30 Tagen Ausnutzung in realen Angriffen beobachtet wird. | Die Wahrscheinlichkeit eines Angriffs auf Ihr Unternehmen oder ein Beleg für einen bereits laufenden Angriff. |
| CISA KEV | Katalog von Schwachstellen, deren Ausnutzung bekannt ist. Ein Eintrag ist ein starkes Signal, betroffene Systeme zu prüfen. | Ein fehlender Eintrag belegt weder Sicherheit noch das Ausbleiben von Angriffen. |
Eine konkrete Maßnahme statt einer langen Rangliste
Sind Betroffenheit, ein nutzbarer Zugriffsweg und belastbare Ausnutzungshinweise zusammen gegeben, gehört die Entscheidung unmittelbar zu den zuständigen Verantwortlichen. Prüfen Sie den Herstellerpatch und gegebenenfalls eine empfohlene Zwischenmaßnahme: etwa die betroffene Funktion abschalten oder Zugriffe begrenzen. Die Maßnahme muss zu Ihrer Konfiguration passen.
Als vereinfachtes Beispiel: Ein betroffenes, öffentlich erreichbares Zugangsportal für Beschäftigte kann vor einer isolierten Testinstallation desselben Produkts stehen. Der Grund sind erreichbare Konten und mögliche Betriebsfolgen, nicht allein der Produktname. Für andere Systeme können Datenverlust, Produktionsstillstand oder weitreichende Berechtigungen die Reihenfolge bestimmen.
Planen Sie notwendige Funktionstests, das Wartungsfenster und einen Rückfallweg mit. Eine vertagte Aktualisierung braucht eine benannte Verantwortung und einen festen Termin zur erneuten Entscheidung.
Erledigt ist die Maßnahme nach der Nachprüfung
Zum Patchmanagement gehört auch, die Installation zu überprüfen. Für ein nachvollziehbares Ergebnis halten Sie fest: Welche Instanz wurde geändert, welcher Stand ist jetzt aktiv und womit wurde die Korrektur geprüft? Ergänzen Sie einen Funktionstest und aktualisieren Sie den Systembestand.
Für eine Zwischenmaßnahme dokumentieren Sie außerdem ihre Grenze und wann sie durch die dauerhafte Behebung ersetzt werden soll. Hinweise auf eine bereits erfolgte Kompromittierung gehören in die Vorfallbearbeitung. Ein installierter Patch allein beantwortet diese Frage nicht. [5]