Woche für Woche werden neue Sicherheitslücken öffentlich, weit mehr, als ein Unternehmen zeitnah schließen kann. Damit alle Beteiligten über dieselben Probleme sprechen, existieren zwei Standards: CVE benennt Schwachstellen eindeutig, CVSS macht ihren Schweregrad vergleichbar.
Wer beide Systeme richtig einordnet, priorisiert besser und bindet weniger Ressourcen an den falschen Stellen.
Was sind CVE und CVSS?
CVE steht für Common Vulnerabilities and Exposures und bezeichnet einen öffentlichen Katalog konkreter, bekannt gewordener Schwachstellen. Jede Lücke erhält eine eindeutige Kennung nach dem Muster CVE-Jahr-Nummer, zum Beispiel CVE-2024-12345. Vergeben werden die Einträge von autorisierten Stellen, sogenannten CNAs, koordiniert von der US-Organisation MITRE. Ein Eintrag beschreibt, welches Produkt in welchen Versionen betroffen ist, und verweist auf weiterführende Herstellerinformationen. Nennt ein Advisory, ein Scanner oder ein Dienstleister eine Kennung, ist damit eindeutig, wovon die Rede ist.
CVSS steht für Common Vulnerability Scoring System und beziffert, wie schwer eine Schwachstelle wiegt. Gepflegt wird der Standard vom internationalen Zusammenschluss FIRST. Das Ergebnis ist ein Wert zwischen 0,0 und 10,0, zur Orientierung ergänzt um die Stufen niedrig, mittel, hoch und kritisch. Kurz gefasst: CVE identifiziert eine Schwachstelle, CVSS bewertet sie.
Wie die Bewertung mit CVSS funktioniert
Der CVSS-Wert setzt sich aus mehreren Metrikgruppen zusammen:
- Basis-Metriken: Sie beschreiben die dauerhaften Eigenschaften einer Lücke: Ist sie über das Netzwerk oder nur lokal angreifbar? Braucht der Angreifer Rechte oder eine Aktion des Nutzers? Wie stark leiden Vertraulichkeit, Integrität und Verfügbarkeit? Daraus entsteht der Basiswert, den Hersteller und Datenbanken veröffentlichen.
- Temporal-Metriken: Sie bilden die zeitliche Entwicklung ab, etwa ob Exploit-Code öffentlich kursiert und ob der Hersteller bereits einen Patch anbietet. In der aktuellen Version CVSS 4.0 heißt diese Gruppe Threat-Metriken.
- Umgebungsmetriken: Sie passen die Bewertung an das eigene Unternehmen an: Wie wichtig ist das betroffene System, welche Schutzmaßnahmen greifen bereits? Erst diese Anpassung macht aus dem generischen Wert eine unternehmensspezifische Aussage.
- Vektor-String: Die Bewertung wird als kompakte Zeichenkette dokumentiert. So bleibt nachvollziehbar, wie ein Wert zustande kam, und Teams können ihn für die eigene Umgebung neu berechnen.
Zitiert wird in der Praxis meist der Basiswert, und genau darin liegt die Falle: Eine Lücke mit Wert 9,8 auf einem isolierten Testsystem kann harmloser sein als eine 7,5 auf einem aus dem Internet erreichbaren Server mit Kundendaten. Erreichbarkeit, Exponierung, Geschäftskritikalität und aktive Ausnutzung entscheiden mit. Ein gutes Schwachstellenmanagement kombiniert den CVSS-Wert deshalb mit Kontext, etwa mit Hinweisen auf aktive Ausnutzung und mit Erreichbarkeitsanalysen aus dem eigenen Netzwerk. Ein wirksamer Hebel dabei ist die Erreichbarkeit selbst: Wer über Segmentierung die Zahl der Systeme reduziert, die eine verwundbare Komponente erreichen können, entschärft viele Funde schon vor dem Patch und kann das in den Umgebungsmetriken nachvollziehbar abbilden.
Warum CVE und CVSS wichtig sind
- Sie schaffen eine gemeinsame Sprache zwischen Herstellern, Scannern, Dienstleistern und Behörden, ohne die eine koordinierte Reaktion kaum möglich wäre.
- Advisories, Scanner-Funde und Patches lassen sich eindeutig einander zuordnen.
- CVSS liefert eine erste, vergleichbare Einschätzung, wie gefährlich eine Lücke grundsätzlich ist.
- Patch-Richtlinien und Verträge können sich auf definierte Schwellen beziehen, etwa Fristen für kritische Schwachstellen.
- Berichte an Geschäftsführung und Auditoren werden nachvollziehbar, weil sie auf einem offenen Standard beruhen.
Typische Szenarien
- Ein Hersteller veröffentlicht ein Advisory mit CVE-Kennung; das Team prüft über das Inventar, welche Systeme die betroffene Version einsetzen.
- Der Schwachstellenscanner meldet nach dem Wochenlauf hunderte Funde; das Team entscheidet, welche zuerst behandelt werden.
- Eine Lücke mit mittlerem Wert wird aktiv ausgenutzt und rückt deshalb vor formal kritische, aber praktisch schwer erreichbare Funde.
- Für eine Schwachstelle existiert noch kein Patch; bis dahin schützen Übergangsmaßnahmen wie strengere Netzwerkregeln. Handelt es sich um eine zuvor unbekannte Lücke, spricht man von einem Zero-Day.
- Die Umgebungsmetriken stufen eine Lücke auf einem streng isolierten Altsystem herab, dokumentiert und mit Begründung.
CVE und CWE: der Unterschied
CVE bezeichnet eine konkrete Schwachstelle in einem konkreten Produkt, inklusive betroffener Versionen. CWE (Common Weakness Enumeration) katalogisiert dagegen abstrakte Fehlerklassen, etwa SQL-Injection oder Pufferüberläufe. Eine CWE-Klasse steht damit hinter vielen einzelnen CVE-Einträgen. Für den Betrieb zählt CVE: Welche Systeme brauchen welchen Patch? Für Entwicklung und Einkauf ist CWE interessanter: Welche Fehlerklassen tauchen in eigenen oder eingekauften Produkten wiederholt auf, und wie lassen sie sich künftig vermeiden?
Häufige Fragen
Wer vergibt CVE-Kennungen und wie entsteht ein Eintrag?
CVE-Kennungen vergeben autorisierte Stellen, die CVE Numbering Authorities. Dazu zählen große Softwarehersteller für ihre eigenen Produkte sowie Koordinierungsstellen aus dem CERT-Umfeld; das Gesamtsystem koordiniert die US-Organisation MITRE. Meldet ein Forscher oder Hersteller eine Lücke, reserviert die zuständige Stelle eine Kennung und veröffentlicht den Eintrag, sobald die Details abgestimmt sind.
Ab welchem CVSS-Wert gilt eine Schwachstelle als kritisch?
Nach der gängigen Einteilung gelten Werte ab 9,0 als kritisch, zwischen 7,0 und 8,9 als hoch, zwischen 4,0 und 6,9 als mittel und darunter als niedrig. Diese Stufen beziehen sich auf den Basiswert. Für die eigene Priorisierung gehört der Wert immer mit Kontext kombiniert: Ein hoher Score auf einem unerreichbaren System ist selten der dringendste Fall.
Genügt es, nur kritische Schwachstellen zu beheben?
Nein. Angreifer verketten häufig mehrere mittlere Lücken zu einem vollständigen Angriffspfad, und aktiv ausgenutzte Schwachstellen haben oft gar keinen kritischen Basiswert. Sinnvoll ist eine Priorisierung nach aktiver Ausnutzung und Erreichbarkeit, gewichtet mit der Geschäftsbedeutung des Systems. Kritische Funde auf exponierten Systemen kommen zuerst, danach geht es konsequent nach Risiko statt starr nach Score.
Worin unterscheiden sich CVE und CWE?
CVE benennt eine konkrete Schwachstelle in einem bestimmten Produkt und bestimmten Versionen. CWE beschreibt abstrakte Fehlerklassen wie fehlende Eingabevalidierung, unabhängig vom Produkt. Ein Beispiel: Hinter vielen einzelnen CVE-Einträgen zu Webanwendungen steht dieselbe CWE-Klasse SQL-Injection. Betriebsteams arbeiten mit CVE für das Patchen, Entwicklungsteams nutzen CWE, um Fehlerklassen im eigenen Code systematisch zu vermeiden.
Was hilft, wenn für eine Schwachstelle noch kein Patch existiert?
Bis der Hersteller liefert, zählen Übergangsmaßnahmen: die Erreichbarkeit des Systems einschränken, etwa durch Netzwerksegmentierung oder Firewall-Regeln, betroffene Funktionen deaktivieren, Zugriffe stärker authentifizieren und das System engmaschig überwachen. Bei aktiv ausgenutzten Lücken ohne Patch, sogenannten Zero-Days, kann auch die vorübergehende Trennung vom Netz die wirtschaftlichste Entscheidung sein. Nach dem Patch werden die Maßnahmen geordnet zurückgebaut.