Jedes Jahr werden zehntausende CVEs veröffentlicht; die CWE-Auswertung 2025 zählte allein von Juni 2024 bis Juni 2025 über 39.000 neue Einträge. Nachweislich ausgenutzt ist nur ein kleiner Teil: Der KEV-Katalog der CISA umfasste am 25. Oktober 2026 1.756 Lücken. EPSS hilft, gefährliche Kandidaten früh zu erkennen. Getragen wird das Modell von einer Arbeitsgruppe (Special Interest Group) bei FIRST, dem Forum of Incident Response and Security Teams. Die Werte erscheinen täglich, kostenlos und ohne Registrierung, als Datei und über eine Programmierschnittstelle.
Wie funktioniert EPSS?
EPSS ist ein statistisches Modell. Es wertet Merkmale einer Schwachstelle aus, etwa ob Angriffscode veröffentlicht wurde, und verknüpft sie mit Beobachtungen tatsächlicher Ausnutzung. Für jede CVE entstehen zwei Zahlen:
- EPSS-Score: die geschätzte Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen, zwischen 0 und 1. Ein Wert von 0,4 entspricht 40 Prozent.
- Perzentil: der Anteil aller Schwachstellen mit gleichem oder niedrigerem Score. Ein Perzentil von 0,95 heißt, dass 95 Prozent der bewerteten CVEs gleich hoch oder niedriger liegen.
Das Modell wird weiterentwickelt. Die aktuelle Fassung EPSS v5 erscheint seit 15. Juni 2026, Version 4 lief ab März 2025. Weil jeder Versionswechsel die Werte verschiebt, sind Zeitreihen über einen Wechsel hinweg nicht direkt vergleichbar.
EPSS und CVSS
CVSS beschreibt, wie schwer eine Lücke wiegt. EPSS beschreibt, wie wahrscheinlich ein Angriff ist. Laut FIRST messen beide Verschiedenes und hängen empirisch nicht zusammen. FIRST rät ausdrücklich davon ab, den EPSS-Wert mit einem CVSS-Wert zu multiplizieren und das Ergebnis als Risiko zu deuten. Sinnvoller ist eine Matrix: hoher Schweregrad und hohe Wahrscheinlichkeit zuerst, niedriger Schweregrad und geringe Wahrscheinlichkeit zuletzt.
Praxis für KMU und Gemeinden
Viele Schwachstellenscanner zeigen EPSS bereits neben CVSS an. Nutzen Sie den Wert, um eine lange Befundliste zu ordnen, besonders für Systeme, die aus dem Internet erreichbar sind. Lücken aus dem CISA-KEV-Katalog behandeln Sie laut FIRST unabhängig vom EPSS-Wert als aktiv ausgenutzt, also sofort. Legen Sie im Schwachstellenmanagement fest, ab welchem Wert ein Befund in den nächsten Wartungstermin rückt.
Grenzen
- Keine Aussage über Ihre Umgebung: EPSS kennt weder Ihre Systeme noch deren Erreichbarkeit oder Schutzbedarf.
- Nur veröffentlichte CVEs: Unbekannte Lücken und Fehler ohne CVE-Kennung bewertet EPSS nicht.
- Wahrscheinlichkeit ist kein Freibrief: Ein niedriger Wert bedeutet nicht, dass die Lücke ungefährlich ist. Gezielte Angriffe können auch seltene Wege nutzen.
Bezug zu TOMORIS
GRID.scout untersucht die vereinbarte Umgebung regelmäßig und bewertet Befunde mit Erreichbarkeit, Auswirkungen und Kontext. So wird aus vielen Einzelwerten eine nachvollziehbare Reihenfolge für GRID.patch.