Sicherheitsmeldungen lesen: CVE, CVSS, EPSS, KEV

Jede Woche erscheinen hunderte neue Sicherheitslücken. Alles sofort zu patchen ist unmöglich. Diese vier Begriffe helfen beim Sortieren. Das Sicherheitslagebild zeigt sie für jede Lücke an.

CVE: die Kennung

CVE-2024-3400 ist die weltweit eindeutige Nummer einer Lücke. Damit findest du Herstellerhinweise, Patches und Berichte. Die Nummer allein sagt nichts über die Gefahr.

CVSS: wie schlimm wäre es?

Der CVSS-Wert (0 bis 10) beschreibt die Schwere, falls die Lücke ausgenutzt wird:

Wert	Stufe
9,0 bis 10	kritisch
7,0 bis 8,9	hoch
4,0 bis 6,9	mittel
unter 4	niedrig

Wichtiger als die Zahl ist oft der Vektor dahinter, z. B. AV:N/AC:L/PR:N/UI:N: über das Netz (AV:N), einfach (AC:L), ohne Anmeldung (PR:N), ohne Zutun eines Nutzers (UI:N). Das ist der gefährlichste Fall. Das Lagebild übersetzt den Vektor in Klartext.

EPSS: wie wahrscheinlich ist ein Angriff?

EPSS schätzt die Wahrscheinlichkeit, dass eine Lücke in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Die meisten Lücken liegen unter 1 %. Ein Wert von 10 % oder mehr ist ein deutliches Warnsignal, auch wenn der CVSS-Wert nur „mittel“ ist.

KEV: wird schon angegriffen

Der KEV-Katalog der US-Behörde CISA listet Lücken, die nachweislich aktiv ausgenutzt werden. Für Bundesbehörden gilt dort eine Frist zum Patchen, meist zwei bis drei Wochen. Für alle anderen gilt: KEV-Einträge zu eigenen Systemen haben Vorrang vor allem anderen.

Reihenfolge in der Praxis

Betrifft es mich? Produkt und Version prüfen. Die Merkliste im Lagebild mit Versionsangabe nimmt dir das ab.
KEV oder hoher EPSS-Wert: sofort patchen oder abschotten.
Kritisch und aus dem Internet erreichbar: innerhalb weniger Tage.
Rest: im normalen Update-Rhythmus.

Bei aktiv ausgenutzten Lücken nach dem Patch auch nach Angriffsspuren suchen. Wer schon drin war, bleibt es sonst trotz Update. Die Detailseite im Lagebild hat dafür eine Checkliste.