# Sicherheitsmeldungen lesen: CVE, CVSS, EPSS, KEV

Jede Woche erscheinen hunderte neue Sicherheitslücken. Alles sofort zu patchen ist unmöglich. Diese vier Begriffe helfen beim Sortieren. Das [Sicherheitslagebild](https://tools.ngosu-corp.de/lage) zeigt sie für jede Lücke an.

## CVE: die Kennung

`CVE-2024-3400` ist die weltweit eindeutige Nummer einer Lücke. Damit findest du Herstellerhinweise, Patches und Berichte. Die Nummer allein sagt nichts über die Gefahr.

## CVSS: wie schlimm wäre es?

Der **CVSS-Wert** (0 bis 10) beschreibt die Schwere, falls die Lücke ausgenutzt wird:

| Wert | Stufe |
|---|---|
| 9,0 bis 10 | kritisch |
| 7,0 bis 8,9 | hoch |
| 4,0 bis 6,9 | mittel |
| unter 4 | niedrig |

Wichtiger als die Zahl ist oft der **Vektor** dahinter, z. B. `AV:N/AC:L/PR:N/UI:N`: über das Netz (AV:N), einfach (AC:L), ohne Anmeldung (PR:N), ohne Zutun eines Nutzers (UI:N). Das ist der gefährlichste Fall. Das Lagebild übersetzt den Vektor in Klartext.

## EPSS: wie wahrscheinlich ist ein Angriff?

**EPSS** schätzt die Wahrscheinlichkeit, dass eine Lücke in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Die meisten Lücken liegen unter 1 %. Ein Wert von 10 % oder mehr ist ein deutliches Warnsignal, auch wenn der CVSS-Wert nur „mittel“ ist.

## KEV: wird schon angegriffen

Der **KEV-Katalog** der US-Behörde CISA listet Lücken, die **nachweislich aktiv ausgenutzt** werden. Für Bundesbehörden gilt dort eine Frist zum Patchen, meist zwei bis drei Wochen. Für alle anderen gilt: KEV-Einträge zu eigenen Systemen haben Vorrang vor allem anderen.

## Reihenfolge in der Praxis

1. **Betrifft es mich?** Produkt und Version prüfen. Die Merkliste im Lagebild mit Versionsangabe nimmt dir das ab.
2. **KEV oder hoher EPSS-Wert:** sofort patchen oder abschotten.
3. **Kritisch und aus dem Internet erreichbar:** innerhalb weniger Tage.
4. **Rest:** im normalen Update-Rhythmus.

Bei aktiv ausgenutzten Lücken nach dem Patch auch nach **Angriffsspuren** suchen. Wer schon drin war, bleibt es sonst trotz Update. Die Detailseite im Lagebild hat dafür eine Checkliste.