Fast jede Sicherheitswarnung nennt einen CVSS-Score, oft verkürzt als „CVSS 9.8“ oder „kritisch“. Herausgeber des Standards ist FIRST (Forum of Incident Response and Security Teams). Die aktuelle Fassung CVSS 4.0 wurde am 1. November 2023 veröffentlicht; in vielen Datenbanken und Werkzeugen ist daneben noch CVSS 3.1 verbreitet. Die Bewertung stammt häufig von der Stelle, die die CVE vergibt, oft vom Hersteller selbst.
Wie entsteht ein CVSS-Score?
CVSS 4.0 besteht aus vier Metrikgruppen:
- Base: Eigenschaften der Lücke, die sich über Zeit und Umgebung nicht ändern. Dazu gehören der Angriffsweg (etwa über das Netzwerk), die Komplexität, nötige Berechtigungen, ob eine Person mitwirken muss und die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
- Threat: der aktuelle Stand der Bedrohung, vor allem ob Angriffscode existiert. Sie ersetzt die frühere Gruppe „Temporal“.
- Environmental: Anpassung an die eigene Umgebung, etwa wenn ein System gar nicht aus dem Internet erreichbar ist.
- Supplemental: Zusatzinformationen wie die Automatisierbarkeit eines Angriffs. Sie verändern den Score nicht.
Welche Gruppen eingeflossen sind, zeigt die Bezeichnung: CVSS-B steht für den reinen Basiswert, CVSS-BT, CVSS-BE und CVSS-BTE für Werte mit Threat- und Environmental-Angaben. Alle Angaben stehen im Vektor, einer Zeichenkette wie CVSS:4.0/AV:N/AC:L/….
Was bedeuten Low, Medium, High und Critical?
Die Spezifikation ordnet den Zahlen optional eine Stufe zu: 0,0 keine, 0,1 bis 3,9 niedrig (Low), 4,0 bis 6,9 mittel (Medium), 7,0 bis 8,9 hoch (High) und 9,0 bis 10,0 kritisch (Critical).
Praxis für KMU und Gemeinden
Der Basiswert ist ein guter Ausgangspunkt, aber keine Reihenfolge für Updates. FIRST hält ausdrücklich fest, dass CVSS-B den Schweregrad misst, nicht das Risiko, und nicht allein für die Priorisierung von Patches verwendet werden soll. In der Praxis kombinieren Sie drei Fragen: Wie schwer ist die Lücke (CVSS)? Wird sie bereits ausgenutzt (CISA KEV) oder ist das wahrscheinlich (EPSS)? Ist das betroffene System bei Ihnen aus dem Internet erreichbar oder geschäftskritisch? Eine mittlere Lücke in einer Firewall am Netzwerkrand kann so dringender sein als eine kritische auf einem isolierten Testgerät.
Risiken und typische Fehler
- Nur auf 9 und 10 schauen: Angriffe verketten oft mehrere mittelschwere Lücken.
- Versionen vermischen: Werte nach CVSS 3.1 und 4.0 sind nicht direkt vergleichbar. Achten Sie auf die Versionsangabe im Vektor.
- Fremde Bewertung übernehmen: Die Umgebung kennt nur Ihr Unternehmen. Halten Sie fest, warum Sie von der Standardbewertung abweichen.
Bezug zu TOMORIS
GRID.scout ordnet Befunde nicht nur nach CVSS, sondern auch nach Erreichbarkeit, Auswirkungen und Kontext ein. Die Behebung plant GRID.patch in abgestimmten Wartungsfenstern; Grundlagen dazu im Eintrag Schwachstellenmanagement.