Die unbequeme Wahrheit über CVSS-Scores
Etwa 26.000 CVEs wurden 2025 veröffentlicht. Ihr Scanner hat wahrscheinlich Tausende davon in Ihrer Umgebung gefunden. Wenn Sie diese Liste nach CVSS-Score sortiert haben — was fast jedes Team standardmäßig tut — haben Sie wahrscheinlich die ersten Wochen 2026 damit verbracht, als Critical eingestufte Schwachstellen zu patchen, die in der Praxis niemand ausgenutzt hat. Währenddessen wurde ein CVSS 5.9 Medium in Ihrem Container-Basisimage von einem Ransomware-Akteur ausgenutzt und niemand hat es bemerkt.
Die EPSS-Forschung zeigt konsistent, dass weniger als 5% der veröffentlichten CVEs jemals in der Praxis ausgenutzt werden. CVSS sagt Ihnen, wie schlimm eine Schwachstelle sein könnte. EPSS sagt Ihnen, wie wahrscheinlich sie in den nächsten 30 Tagen ausgenutzt wird. Das sind grundlegend verschiedene Fragen.
Was ist ein CVSS-Score?
Das Common Vulnerability Scoring System (CVSS) wird von FIRST gepflegt und befindet sich in Version 4.0. Ein CVSS-Score bewertet die intrinsischen Eigenschaften einer Schwachstelle: Angriffsvektor, Komplexität, benötigte Privilegien, Benutzerinteraktion sowie Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Base Score reicht von 0,0 bis 10,0, mit Critical bei 9,0 bis 10,0.
Das fundamentale Problem hat sich nicht geändert: CVSS misst Schweregrad isoliert, ohne Bezug auf tatsächliches Bedrohungsakteurverhalten oder Exploit-Verfügbarkeit. Ein CVSS 9,8 auf einem nicht internetexponierten Dienst ist kein gleiches Risiko wie ein CVSS 6,5 bei einem Authentifizierungs-Bypass mit öffentlichem PoC-Code. Integration in Ihre Vulnerability Management-Plattform sollte 2026 Standard sein.
Was ist EPSS?
EPSS — das Exploit Prediction Scoring System — wurde von FIRST entwickelt und liegt in Version 3 vor. Seine zentrale Ausgabe ist ein Wahrscheinlichkeitsscore zwischen 0,0 und 1,0, der die Wahrscheinlichkeit darstellt, dass eine CVE innerhalb der nächsten 30 Tage ausgenutzt wird. Das Modell verarbeitet Signale wie Exploit-Code-Verfügbarkeit, Social-Media-Diskussionsvolumen, PoC-Veröffentlichungszeitstempel und historische Ausnutzungsmuster. Es wird täglich neu trainiert.
EPSS vs. CVSS: Ein direkter Vergleich
Was CVSS gut misst
CVSS erfasst hervorragend die theoretische Schadensgrenze einer Schwachstelle. Für Compliance-Frameworks wie PCI DSS, ISO 27001 und SOC 2 ist CVSS die gemeinsame Sprache. Prüfer verstehen es und SLAs basieren darauf.
Wo CVSS versagt
CVSS kann nicht sagen, ob Exploit-Code existiert, ob Bedrohungsakteure aktiv scannen oder ob Sie die betroffene Komponente überhaupt einsetzen. Eine Schwachstelle von 2019 ohne Ausnutzungshistorie zeigt immer noch ihren ursprünglichen Score.
Was EPSS gut misst
EPSS-Forschung zeigt: Wer sich auf die Top 10% der CVEs nach EPSS-Score konzentriert, deckt etwa 76% aller tatsächlich ausgenutzten Schwachstellen ab — bei nur 10% des Patch-Aufwands.
EPSS und CVSS gemeinsam nutzen
Das Vier-Quadranten-Modell: Ordnen Sie jede CVE nach CVSS (y-Achse) und EPSS (x-Achse). Hohes CVSS plus hohes EPSS: Echte Notfälle, Patch in 24 bis 72 Stunden. Hohes CVSS plus niedriges EPSS: Standard-Zyklus 14 bis 30 Tage. Niedriges CVSS plus hohes EPSS: Heimtückische Kategorie — aktiv weaponisiert. Niedriges CVSS plus niedriges EPSS: Hintergrundrauschen.
Ergänzen Sie dieses Modell um Asset-Kontext: Internetexposition, Datensensitivität und kompensierende Kontrollen. Tools wie Container Image Scanning und SAST helfen bei der frühzeitigen Erkennung. Kombiniert mit Cloud Inventory für Asset-Kontext haben Sie die Grundlage für risikobasierte Remediierung.
EPSS-Perzentil vs. Rohscore
Ein wichtiger Unterschied: Ein EPSS-Score von 0,15 klingt absolut niedrig. Aber wenn das den 95. Perzentilrang bedeutet, sind 95% der CVEs weniger wahrscheinlich ausgenutzt. Schauen Sie immer auf Rohscore und Perzentil. Überwachen Sie auch Score-Deltas — eine CVE, die plötzlich von 0,01 auf 0,78 springt, signalisiert aktuelles Angreiferinteresse.
SLA-Rahmen aufbauen
Verwenden Sie CVSS als Baseline-SLA und EPSS als Override. Wenn EPSS über 0,5 liegt, eskalieren Sie automatisch zur nächsten Schweregradestufe. Dokumentieren Sie die Override-Logik für Prüfer. Die VM Scans-Lösung bei SECRAILS integriert CVSS- und EPSS-Anreicherung nativ.
Die Grenzen jedes Scoring-Systems
CVSS und EPSS zusammen erfassen nicht alles. Threat Intelligence fügt weitere Dimensionen hinzu. Die besten Programme kombinieren CVSS-Schweregrad, EPSS-Wahrscheinlichkeit, Asset-Kritikalität und Threat Intelligence in einen zusammengesetzten Risikoscore — einzigartig für die eigene Umgebung.