CVSS

CVSS (Common Vulnerability Scoring System) ist ein offener Standard, der die Schwere von Sicherheitslücken auf einer Skala von 0,0 bis 10,0 bewertet. Herausgeber ist die Organisation FIRST (Forum of Incident Response and Security Teams). Aktuell ist Version 4.0 vom 1. November 2023 (Stand: November 2026).

Was sagt ein CVSS-Wert aus?

Ein CVSS-Wert, oft auch CVSS-Score genannt, gibt an, wie schwer eine Sicherheitslücke im Vergleich zu anderen wiegt: je höher die Zahl, desto gravierender. Für die schnelle Einordnung übersetzt der Standard die Zahl in fünf Stufen:

CVSS ist frei nutzbar, eine Mitgliedschaft bei FIRST ist nicht nötig. Wer Werte veröffentlicht, muss neben der Zahl immer auch den zugehörigen Vektor angeben.

Was ist der Unterschied zwischen CVE und CVSS?

CVE benennt eine Sicherheitslücke, CVSS bewertet sie. CVE (Common Vulnerabilities and Exposures) vergibt eine eindeutige Nummer wie CVE-2021-44228, CVSS liefert dazu den Schweregrad.

Beide Systeme sind unabhängig voneinander. CVE-Einträge enthalten häufig einen CVSS-Wert, eine CVSS-Bewertung setzt aber keine CVE-Nummer voraus.

Wie setzt sich ein CVSS-Wert zusammen?

CVSS 4.0 besteht aus vier Gruppen von Kennzahlen, den Metrikgruppen. Drei davon fließen in den Wert ein, die vierte liefert nur Zusatzinformationen:

Die Schreibweise zeigt, welche Gruppen berücksichtigt sind: CVSS-B steht für den reinen Basiswert, CVSS-BT und CVSS-BE für Basiswert plus Bedrohungslage oder Umgebung, CVSS-BTE für alle drei. Hersteller und Datenbanken veröffentlichen in der Regel nur CVSS-B.

Wie liest man einen CVSS-Vektor?

Der Vektor ist eine Kurzschreibweise aller Einzelbewertungen, aus denen sich der Wert ergibt. Ein Beispiel mit dem Basiswert 9,3 (kritisch):

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

• CVSS:4.0 – verwendete Version des Standards
• AV:N – Angriff über das Netzwerk möglich (Attack Vector: Network)
• AC:L, AT:N – geringer Aufwand, keine besonderen Voraussetzungen
• PR:N, UI:N – weder Benutzerkonto noch Mithilfe eines Nutzers nötig
• VC:H, VI:H, VA:H – hohe Folgen für Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems
• SC:N, SI:N, SA:N – keine Folgen für nachgelagerte Systeme, also für andere Systeme, die über das betroffene erreichbar sind

Der Vektor macht einen Wert nachvollziehbar: Zwei Lücken mit derselben Zahl können sich im Angriffsweg deutlich unterscheiden.

Was hat sich mit CVSS 4.0 geändert?

Version 4.0 bewertet feiner als der Vorgänger 3.1 und trennt die Folgen für das angegriffene System von den Folgen für nachgelagerte Systeme. Die wichtigsten Neuerungen:

• Die Kennzahl „Scope“ entfällt. An ihre Stelle treten getrennte Bewertungen für das betroffene System (VC, VI, VA) und für nachgelagerte Systeme (SC, SI, SA).
• Neu ist „Attack Requirements“ (AT): Bedingungen aus Einsatz und Betrieb des betroffenen Systems, die den Angriff erst ermöglichen.
• Die Nutzerbeteiligung (UI) kennt drei Stufen: keine, passiv, aktiv.
• Aus „Temporal“ wurde „Threat“ mit nur noch einer Kennzahl: „Exploit Maturity“ gibt an, ob Angriffe gemeldet sind oder Schadcode öffentlich vorliegt.
• Die Gruppe „Supplemental“ kam neu hinzu.

Vorgänger waren Version 2 (Juni 2007), 3.0 (Juni 2015) und 3.1 (Juni 2019). Ältere Meldungen tragen weiterhin Werte nach diesen Versionen, erkennbar am Präfix des Vektors.

Wo liegen die Grenzen von CVSS?

CVSS misst die Schwere einer Lücke, nicht das Risiko für ein bestimmtes Unternehmen. FIRST schreibt selbst, dass der Basiswert allein für eine Risikobewertung nicht ausreicht.

Ein Wert von 9,8 auf einem abgeschotteten Testsystem kann weniger dringend sein als ein Wert von 7,5 auf einem öffentlich erreichbaren Shop. Erst mit Bedrohungslage und eigener Umgebung (CVSS-BTE) nähert sich der Wert dem tatsächlichen Risiko.

Im Schwachstellenmanagement lässt sich CVSS mit weiteren Quellen kombinieren. EPSS (Exploit Prediction Scoring System) schätzt die Wahrscheinlichkeit, dass eine Lücke in den nächsten 30 Tagen ausgenutzt wird. Die US-Behörde CISA führt mit dem KEV-Katalog (Known Exploited Vulnerabilities) eine Liste bereits ausgenutzter Lücken.

Was bedeutet CVSS für Betreiber von Websites und Servern?

Der CVSS-Wert eignet sich als erste Sortierung, wenn Sicherheitsmeldungen zu CMS, Plugins oder Server-Software eintreffen. Schließen Sie zuerst kritische und hohe Lücken in öffentlich erreichbaren Systemen.

Entscheidend ist danach ein zügiges Patching, am besten über ein geregeltes Update-Management. Bei Managed Hosting spielt der Anbieter die Sicherheitsupdates für die Server-Software ein. Für selbst installierte Anwendungen und Erweiterungen bleibt der Betreiber verantwortlich.

Fazit

CVSS macht Sicherheitslücken vergleichbar: eine Zahl von 0,0 bis 10,0, fünf Schweregrade und ein Vektor, der die Bewertung offenlegt. Der Wert ersetzt keine eigene Risikoabwägung. Wer ihn mit der Bedrohungslage und der Bedeutung des betroffenen Systems kombiniert, setzt die richtigen Prioritäten.