Das NVD veröffentlichte im Jahr 2025 über 33.000 CVEs. Ihr Team kann realistischerweise etwa 10 % der Schwachstellen pro Quartal beheben. Genau in dieser Lücke — zwischen dem, was entdeckt wird, und dem, was tatsächlich behoben wird — passieren Sicherheitsvorfälle. Der Verizon 2026 Data Breach Investigations Report bestätigte, dass das Ausnutzen bekannter, ungepatchter Schwachstellen zum dritten Jahr in Folge der häufigste initiale Angriffsvektor blieb. Keine Zero-Days. Bekannte CVEs. Mit verfügbaren Patches.
Das Problem liegt nicht bei der Erkennung von Schwachstellen. Moderne Scanner finden Probleme zuverlässig. Das Problem ist die Triage. CVSS-Scores, auf die die meisten Teams noch immer standardmäßig zurückgreifen, wurden nie dafür entwickelt, die eigentlich entscheidende Frage zu beantworten: Welche dieser Schwachstellen wird in den nächsten 30 Tagen in meiner Umgebung ausgenutzt? Ein CVSS 9,8 auf einem isolierten internen System ist weit weniger dringend als ein CVSS 6,5 auf einem öffentlich zugänglichen API-Endpunkt, der aktiv von Bedrohungsakteuren sondiert wird.
Dieser Leitfaden erklärt, wie reife Sicherheitsteams die CVE-Priorisierung im Jahr 2026 strukturieren — weg von der reinen CVSS-Triage hin zu einem Verbundmodell aus Exploit-Vorhersage, Asset-Kritikalität, Angriffsflächen-Exposition und Geschäftskontext.
Warum CVSS allein als Priorisierungssignal scheitert
CVSS liefert eine standardisierte Schweregrad-Basis. Was es nicht berücksichtigt: Ausnutzbarkeit in freier Wildbahn, Ihre spezifische Netzwerktopologie, den Geschäftswert betroffener Assets oder ob ein funktionierender Exploit-Kit bereits auf VirusTotal existiert.
Forscher bei FIRST analysierten historische CVE-Daten und stellten fest, dass weniger als 5 % der veröffentlichten CVEs jemals in realen Angriffen ausgenutzt werden. Ihr Team priorisiert potenziell 95 % seines Schwachstellen-Workloads auf Basis theoretischen Risikos. Wenn Sie Patch-Entscheidungen rein auf CVSS basieren, optimieren Sie für Rauschen. CVSS v4.0 verbesserte die Umgebungsbewertung, aber die Adoption bleibt inkonsistent.
EPSS-Scoring: Exploit-Vorhersage im großen Maßstab
Das Exploit Prediction Scoring System (EPSS) verändert grundlegend, wie Sie die Triage-Frage beantworten können. EPSS verwendet maschinelles Lernen, das auf über 1.500 Threat-Intelligence-Features trainiert wurde, um eine Wahrscheinlichkeitsbewertung zu generieren — die Wahrscheinlichkeit, dass ein CVE innerhalb der nächsten 30 Tage ausgenutzt wird.
Ein CVE mit einem EPSS-Score über 0,5 erfordert sofortige Aufmerksamkeit, unabhängig vom CVSS-Basisscore. Ein CVE mit EPSS unter 0,01 ist ein legitimer Kandidat für die Depriorisierung, selbst wenn CVSS ihn als kritisch einstuft. Die gefährlichste Kombination: hoher CVSS + hoher EPSS. Diese sollten den Großteil Ihrer Patch-Sprint-Kapazität beanspruchen.
Angriffsflächen-Kontext: Der Standort des Assets ist entscheidend
Eine Schwachstelle existiert nicht im Vakuum. Sie existiert auf einem bestimmten Asset, in einer bestimmten Netzwerkzone. Container Image Scanning direkt in Ihre Pipeline integriert erkennt Schwachstellen, bevor sie die Produktion erreichen. Für traditionelle Infrastruktur ermöglichen VM Scans mit Asset-Kritikalitäts-Tagging eine risikogewichtete Bewertung von Findings.
Cloud Inventory liefert den Asset-Beziehungsgraphen, den Sie für dynamische Cloud-Umgebungen benötigen, in denen sich die Angriffsfläche täglich verändert. Kritikalitätsgewichtung — Multiplikatoren basierend auf Datenklassifizierung, Geschäftsfunktion und Expositionslevel — trennt ein reifes Vulnerability Management-Programm von einem bloßen Scanner-Output-Feed.
Eine CVE-Priorisierungsmatrix aufbauen
Effektives risikobasiertes Vulnerability Management erfordert ein Scoring-Modell, das mehrere Signale kombiniert. Schicht 1: Ausnutzbarkeits-Signale — EPSS als primären Indikator, ergänzt durch KEV-Mitgliedschaft (CISAs Known Exploited Vulnerabilities). Schicht 2: Asset-Exposition — externe Assets erhalten einen höheren Multiplikator. Schicht 3: Asset-Kritikalität — Tier-1-Assets (Produktionsdatenbanken, Zahlungssysteme) erhalten den höchsten Risikomultiplikator. Schicht 4: Lateral-Movement-Potenzial — MITRE ATT&CK Framework-Überlagerungen zur Bewertung, ob eine Schwachstelle Privilege Escalation oder laterale Bewegung ermöglicht.
Patch-Management-Strategie und Metriken
Die meisten reifen Programme arbeiten mit einem Tier-SLA-Modell. Kritische CVEs (hoher EPSS + KEV + Tier-1-Asset) erhalten ein 24-72-Stunden-Notfall-Patch-Fenster. Hohe Priorität: 7-Tage-Sprint. Mittlere Priorität: zweiwöchiges Patch-Fenster. Der CSPM-Layer fügt die Konfigurationsdimension hinzu: ein CVSS 7,0 CVE auf einem öffentlich zugänglichen Storage-Bucket hat ein fundamental anderes Risikoprofil als auf einer ordnungsgemäß zugangskontrollierten Ressource.
SAST-Analysen aus SAST ermöglichen Shift-Left-Integration — die Identifizierung ausnutzbarer Code-Muster vor dem Deployment. Mean Time to Remediate (MTTR) nach Prioritätsstufe ist Ihre primäre operative Gesundheitsmetrik. Die Teams, die bei der CVE-Priorisierung 2026 erfolgreich sind, haben Triage-Logik, Asset-Kontext und Remediation-Accountability aufgebaut — das ist ein Prozess- und Architekturproblem, kein reines Tooling-Problem.