Sicherheitsmeldungen lesen: CVE, CVSS, EPSS, KEV
Jede Woche erscheinen hunderte neue Sicherheitslücken. Alles sofort zu patchen ist unmöglich. Diese vier Begriffe helfen beim Sortieren. Das Sicherheitslagebild zeigt sie für jede Lücke an.
CVE: die Kennung
CVE-2024-3400 ist die weltweit eindeutige Nummer einer Lücke. Damit findest du Herstellerhinweise, Patches und Berichte. Die Nummer allein sagt nichts über die Gefahr.
CVSS: wie schlimm wäre es?
Der CVSS-Wert (0 bis 10) beschreibt die Schwere, falls die Lücke ausgenutzt wird:
| Wert | Stufe |
|---|---|
| 9,0 bis 10 | kritisch |
| 7,0 bis 8,9 | hoch |
| 4,0 bis 6,9 | mittel |
| unter 4 | niedrig |
Wichtiger als die Zahl ist oft der Vektor dahinter, z. B. AV:N/AC:L/PR:N/UI:N: über das Netz (AV:N), einfach (AC:L), ohne Anmeldung (PR:N), ohne Zutun eines Nutzers (UI:N). Das ist der gefährlichste Fall. Das Lagebild übersetzt den Vektor in Klartext.
EPSS: wie wahrscheinlich ist ein Angriff?
EPSS schätzt die Wahrscheinlichkeit, dass eine Lücke in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Die meisten Lücken liegen unter 1 %. Ein Wert von 10 % oder mehr ist ein deutliches Warnsignal, auch wenn der CVSS-Wert nur „mittel“ ist.
KEV: wird schon angegriffen
Der KEV-Katalog der US-Behörde CISA listet Lücken, die nachweislich aktiv ausgenutzt werden. Für Bundesbehörden gilt dort eine Frist zum Patchen, meist zwei bis drei Wochen. Für alle anderen gilt: KEV-Einträge zu eigenen Systemen haben Vorrang vor allem anderen.
Reihenfolge in der Praxis
- Betrifft es mich? Produkt und Version prüfen. Die Merkliste im Lagebild mit Versionsangabe nimmt dir das ab.
- KEV oder hoher EPSS-Wert: sofort patchen oder abschotten.
- Kritisch und aus dem Internet erreichbar: innerhalb weniger Tage.
- Rest: im normalen Update-Rhythmus.
Bei aktiv ausgenutzten Lücken nach dem Patch auch nach Angriffsspuren suchen. Wer schon drin war, bleibt es sonst trotz Update. Die Detailseite im Lagebild hat dafür eine Checkliste.