CVSS, EPSS und KEV: welche Schwachstelle zuerst beheben

Ein Produkt jeder Größe wird mit bekannten Schwachstellen in seinen Komponenten ausgeliefert, und täglich werden neue veröffentlicht. Sie können nicht alle auf einmal beheben. Drei öffentliche Signale helfen bei der Reihenfolge, und sie beantworten drei verschiedene Fragen:

Signal	Welche Frage es beantwortet	Wer es veröffentlicht
CVSS	Wie schlimm wäre eine Ausnutzung?	FIRST definiert es; Hersteller und Datenbanken bewerten jede Schwachstelle
EPSS	Wie wahrscheinlich wird sie in den nächsten 30 Tagen ausgenutzt?	FIRST, täglich neu berechnet
KEV	Wird sie gerade ausgenutzt?	Die US-Behörde CISA (Katalog Known Exploited Vulnerabilities); in Europa die Europäische Schwachstellendatenbank

Sie zu verwechseln ist der häufigste Fehler im Schwachstellenmanagement, und unter dem Cyber Resilience Act hat er einen Preis: Nur eines davon kann die Meldeuhr starten.

CVSS: die Schwere

Das Common Vulnerability Scoring System bewertet die technische Schwere einer Schwachstelle von 0 bis 10, anhand von Metriken wie dem Zugangsweg (Netzwerk, angrenzend, lokal, physisch), der Komplexität des Angriffs, den nötigen Berechtigungen und Benutzerinteraktionen und der Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.

Score	Einstufung
0,1 bis 3,9	Niedrig
4,0 bis 6,9	Mittel
7,0 bis 8,9	Hoch
9,0 bis 10,0	Kritisch

CVSS 3.1 ist noch die Version, die die meisten Datenbanken veröffentlichen. CVSS 4.0, von FIRST im November 2023 veröffentlicht, verfeinert die Metriken (Angriffsvoraussetzungen, Auswirkung auf nachgelagerte Systeme, ergänzende Metriken wie die Automatisierbarkeit) und löst es nach und nach ab. Bewerten Sie einen Vektor selbst mit unseren Rechnern für CVSS 3.1 und CVSS 4.0.

Was CVSS Ihnen nicht sagt: ob sie jemals jemand ausnutzen wird. Die meisten als hoch oder kritisch eingestuften Schwachstellen werden nie in freier Wildbahn ausgenutzt. Wer nur nach CVSS sortiert, behebt viel Unwichtiges vor dem wenigen, das zählt.

EPSS: die Wahrscheinlichkeit

Das Exploit Prediction Scoring System, ebenfalls von FIRST, schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen in freier Wildbahn ausgenutzt wird. Es ist ein Modell, trainiert auf echte Ausnutzungsaktivität und auf das, was über jede Schwachstelle bekannt ist (öffentlicher Exploit-Code, Erwähnungen, Hersteller, Alter), und wird täglich für jede veröffentlichte CVE neu berechnet. Jeder Score kommt mit einem Perzentil: Ein EPSS von 0,40 kann eine Schwachstelle über 98 % aller anderen stellen.

EPSS ist gut bei der Frage, die CVSS nicht beantworten kann: Welche von zwei schweren Schwachstellen steht im Fokus der Angreifer? Es ist eine Prognose, keine Tatsache, und es weiß nichts über Ihr Produkt: Eine wahrscheinlich ausgenutzte Schwachstelle in Code, den Ihr Produkt nie ausführt, ist trotzdem nicht Ihr Notfall. Fragen Sie die aktuellen Scores mit unserer EPSS-Abfrage ab.

KEV: der Nachweis der Ausnutzung

Der Katalog Known Exploited Vulnerabilities, seit November 2021 von der US-Behörde CISA geführt, listet Schwachstellen auf, für die zuverlässige Belege einer Ausnutzung in freier Wildbahn vorliegen, mit einem verbindlichen Behebungsdatum für US-Bundesbehörden. Er ist kurz im Vergleich zur vollständigen CVE-Liste, und jeder Eintrag verdient Aufmerksamkeit.

In Europa kennzeichnet auch die Europäische Schwachstellendatenbank (EUVD) der ENISA, 2025 gestartet, ausgenutzte Schwachstellen. Herstellerhinweise, nationale CERTs wie das CERT-Bund des BSI und Ihre eigenen Belege aus Sicherheitsvorfällen sind weitere Quellen.

Welches Signal die CRA-Uhr startet

Seit dem 11. September 2026 verlangt der Cyber Resilience Act von Herstellern, aktiv ausgenutzte Schwachstellen in ihren Produkten zu melden: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung innerhalb von 72 Stunden, später ein Abschlussbericht.

Die Verordnung definiert eine aktiv ausgenutzte Schwachstelle als eine, für die zuverlässige Belege vorliegen, dass ein böswilliger Akteur sie ausgenutzt hat, in einem System ohne Erlaubnis des Eigentümers. Das ist ein Signal vom Typ KEV, nicht CVSS oder EPSS:

eine CVSS-9,8-Schwachstelle, die niemand ausnutzt, startet die Uhr nicht;
ein hoher EPSS-Score startet die Uhr nicht;
eine mittelschwere Schwachstelle im KEV, in einer Komponente, die Ihr Produkt in betroffener Weise nutzt, kann es.

Überwachen Sie Ausnutzungslisten deshalb täglich, nicht nur bei der Veröffentlichung. Siehe die Meldeuhr.

Eine einfache Kombination

Ausgenutzt und Ihr Produkt betreffend (KEV oder EUVD, und der verwundbare Code ist erreichbar): sofort handeln. Innerhalb von Stunden bewerten, beheben oder eindämmen und nach Artikel 14 melden, wenn das Produkt betroffen ist.
Hoher EPSS (zum Beispiel unter den obersten wenigen Prozent) und erreichbar: als Nächstes. In Tagen beheben, nicht in Wochen.
Hoher oder kritischer CVSS, niedriger EPSS: im normalen Release-Zyklus einplanen, schneller, wenn die Komponente am Netz hängt.
Der Rest: gebündelt mit den regelmäßigen Abhängigkeitsupdates.

Prüfen Sie auf jeder Stufe, ob Ihr Produkt tatsächlich betroffen ist, bevor Sie Aufwand treiben: Wird die Komponente wirklich ausgeliefert, ist der verwundbare Code vorhanden und erreichbar? Halten Sie die Antwort als VEX-Aussage fest, damit Sie die Analyse bei der nächsten Version nicht wiederholen.

Rahmenwerke wie SSVC (Stakeholder-Specific Vulnerability Categorization, vom CERT/CC, mit einer Fassung der CISA) machen aus dieser Art von Überlegung einen Entscheidungsbaum, wenn Sie etwas Formaleres wollen.

Wie Provetry hilft

In den kostenpflichtigen Tarifen gleicht Provetry jede Komponente Ihrer unterstützten Versionen täglich mit neuen Schwachstellen, CISA KEV und der EUVD ab, zeigt zuerst die ausgenutzten Schwachstellen und dann EPSS, benachrichtigt Sie, sobald eine ausgenutzt wird, und eröffnet den Meldefall mit seiner Uhr und seinen Entwürfen, wenn Sie bestätigen, dass das Produkt betroffen ist.