CVSS, EPSS, KEV: Was muss zuerst behoben werden?

Drei Signale, kein austauschbarer Score

CVSS beschreibt die Schwere einer Schwachstelle. EPSS schätzt die Wahrscheinlichkeit, dass für eine CVE in den nächsten 30 Tagen Ausnutzungsaktivität beobachtet wird. Der KEV-Katalog benennt Schwachstellen mit bekannter Ausnutzung. Die Signale dürfen nicht so gelesen werden, als würden sie dieselbe Eigenschaft messen.

Warum EPSS nicht Ihr Unternehmensrisiko ist

FIRST stellt ausdrücklich klar: EPSS kennt weder Ihre konkrete Betroffenheit noch die Auswirkungen auf Ihren Betrieb oder Ihre kompensierenden Schutzmaßnahmen. Ein niedriger Wert macht ein betroffenes System nicht automatisch unkritisch. Bekannte aktive Ausnutzung sollte nicht durch eine niedrige Prognose überstimmt werden.

Zuerst die Betroffenheit prüfen

Als praktische Reihenfolge empfehlen wir, zunächst Produkt, Version, Voraussetzungen und Erreichbarkeit abzugleichen. Danach werden technische Auswirkung, vorhandene Evidenz und Geschäftskritikalität betrachtet. Fehlende Informationen gehören als offene Prüfung in den Maßnahmenplan statt als scheinbare Entwarnung in einen Score.

Ein Beispiel ohne erfundene Messwerte

Eine besonders schwere Schwachstelle in einem nicht eingesetzten Produkt ist für das eigene System zunächst nicht einschlägig. Ein belegbarer Zugriff auf fremde Kundendaten kann dagegen höchste Aufmerksamkeit erfordern, auch ohne CVE und ohne EPSS-Wert. Deshalb braucht ein Maßnahmenplan mehr als die Sortierung einer Datenbankspalte.

Die Entscheidung nachvollziehbar machen

Dokumentieren Sie, warum eine Maßnahme priorisiert wurde: betroffener Dienst, Evidenz, mögliche Auswirkung, erreichbarer Angriffspfad und aktueller Hinweisstand. Ein späterer Bericht sollte zeigen, ob sich diese Grundlage verändert hat. Das ist auch die Verbindung zwischen einer Einzelprüfung und wiederkehrendem Monitoring.