CVSS

Das Common Vulnerability Scoring System übersetzt die Eigenschaften einer Schwachstelle in eine Zahl zwischen 0,0 und 10,0. Es beantwortet die Frage „wie schlimm ist diese Schwachstelle grundsätzlich?“ Die Frage „wie gefährlich ist sie für uns?“ beantwortet es nicht.

Diese Unterscheidung ist der Kern jedes sinnvollen Umgangs mit CVSS. Wer sie überspringt, priorisiert nach einer Zahl, die den eigenen Einsatzkontext gar nicht kennt.

Wie der Score zustande kommt

CVSS besteht aus mehreren Metrikgruppen, von denen in der Praxis fast immer nur die erste veröffentlicht wird:

• Basismetriken beschreiben unveränderliche Eigenschaften der Schwachstelle: Wie wird sie erreicht, wie komplex ist die Ausnutzung, welche Rechte sind nötig, was kann sie anrichten?
• Bedrohungs- beziehungsweise zeitbezogene Metriken fragen, wie reif verfügbarer Exploit-Code ist und ob es bereits Ausnutzungen gibt.
• Umgebungsbezogene Metriken erfassen, wie relevant das betroffene System bei Ihnen ist und welche Schutzmaßnahmen bereits greifen.

Der öffentlich genannte Wert ist praktisch immer der Base Score. Er ist damit eine Ausgangsgröße, kein Ergebnis.

Die Einstufungen

Die Punktzahl wird üblicherweise in fünf Stufen übersetzt: 0,0 keine, 0,1–3,9 niedrig, 4,0–6,9 mittel, 7,0–8,9 hoch, 9,0–10,0 kritisch. Diese Bänder sind eine Konvention des Systems, keine rechtliche Vorgabe.

Neben der lange verbreiteten Version 3.1 gibt es inzwischen Version 4.0, die vor allem die Bedrohungs- und Umgebungsbetrachtung überarbeitet hat. In Datenbanken finden sich beide, teils nebeneinander. Beim Vergleich zweier Scores lohnt deshalb der Blick auf die Version.

Den Vektor lesen lohnt sich mehr als die Zahl

Zu jedem Score gehört ein Vektor, eine kompakte Zeichenkette, die zeigt, wie er zustande kam. Ein typisches Beispiel in Version 3.1:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Die wichtigsten Kürzel:

• AV (Angriffsvektor): N (Netzwerk), A (benachbartes Netz), L (lokal), P (physischer Zugriff). Der Unterschied zwischen N und L entscheidet oft über die tatsächliche Dringlichkeit.
• AC (Komplexität): L (niedrig) oder H (hoch), also ob besondere Bedingungen erfüllt sein müssen.
• PR (nötige Rechte): N (keine), L (niedrig), H (hoch).
• UI (Nutzerinteraktion): N (keine nötig) oder R (erforderlich).
• C/I/A: Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, jeweils H, L oder N.

Zwei Schwachstellen mit identischem Score von 7,5 können völlig unterschiedliche Vektoren haben. Die eine ist ohne Rechte über das Netz erreichbar, die andere verlangt lokalen Zugang und Nutzerinteraktion. Für die Priorisierung ist genau das die entscheidende Information. In der Zahl steht sie nicht.

Version 3.1 und Version 4.0

Beide Fassungen sind im Umlauf, und ihre Werte sind nicht vergleichbar. Wer zwei Scores nebeneinanderstellt, sollte zuerst auf das Präfix im Vektor schauen.

Version 4.0 hat vor allem drei Dinge geändert: Die zuvor oft ungenutzte zeitliche Gruppe heißt jetzt Bedrohungsgruppe und konzentriert sich auf die Reife verfügbarer Exploits. Die umstrittene Scope-Metrik wurde durch getrennte Auswirkungen auf das verwundbare und auf nachgelagerte Systeme ersetzt. Und es kam eine ergänzende Gruppe hinzu, die unter anderem Sicherheitsrelevanz für Leib und Leben, Automatisierbarkeit und Wiederherstellbarkeit erfasst.

Praktisch bedeutsam ist die Namenskonvention: Ein reiner Basiswert heißt CVSS-B, ein um Bedrohungsdaten ergänzter CVSS-BT, ein vollständig kontextualisierter CVSS-BTE. Wo diese Kennzeichnung fehlt, handelt es sich fast immer um den Basiswert allein.

Was CVSS sinnvoll ergänzt

Weil der Basiswert nichts über die tatsächliche Bedrohungslage sagt, haben sich zwei Ergänzungen etabliert:

• EPSS schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. Es beantwortet damit die Frage, die CVSS offenlässt: nicht „wie schlimm wäre es“, sondern „wie wahrscheinlich passiert es“.
• Kataloge bekannter Ausnutzungen, etwa die KEV-Liste der US-Behörde CISA oder der Ausnutzungsstatus in der europäischen Schwachstellendatenbank EUVD, verzeichnen Schwachstellen, für die eine Ausnutzung belegt ist.

Für den Cyber Resilience Act (CRA) ist die zweite Kategorie besonders relevant: Ein Eintrag dort ist ein starkes Indiz dafür, dass eine Aktiv ausgenutzte Schwachstelle vorliegt. Er ist damit ein Auslöser für die Prüfung, ob die Meldefrist läuft. Ein hoher CVSS-Wert allein ist das ausdrücklich nicht.

Was CVSS nicht leistet

Es misst kein Risiko. Risiko ist Schadenshöhe mal Eintrittswahrscheinlichkeit im konkreten Kontext. CVSS liefert Bausteine dafür, nicht das Ergebnis.

Es kennt Ihr Produkt nicht. Ob die verwundbare Funktion in Ihrem Produkt überhaupt aufgerufen wird, kann das System nicht wissen. Genau diese Aussage dokumentieren Sie mit VEX.

Es ersetzt keine Entscheidung. Zwei Schwachstellen mit identischem Score können völlig unterschiedlich dringend sein. Eine nachvollziehbare Priorisierungsregel ist wertvoller als eine feste Schwelle.

Bezug zum CRA

Der Verordnungstext nennt CVSS nicht. Er verlangt im Abschlussbericht zu einer Aktiv ausgenutzte Schwachstelle allerdings eine Beschreibung der Schwachstelle „einschließlich ihres Schweregrads und ihrer Auswirkungen“. Ein etabliertes, nachvollziehbares Bewertungsverfahren zu nutzen, ist damit der pragmatische Weg, diese Anforderung belastbar zu erfüllen.