Kontaktieren Sie uns
Wir von accompio helfen Ihnen gerne.
25.08.2026
Nicht jede Schwachstelle mit einem hohen CVSS-Score stellt automatisch das größte Risiko für ein Unternehmen dar. Entscheidend ist vielmehr, wie leicht eine Sicherheitslücke tatsächlich ausgenutzt werden kann und welche Auswirkungen ein erfolgreicher Angriff im jeweiligen Unternehmenskontext hätte.
Unternehmen entdecken häufig mehr Schwachstellen, als ihre IT-Teams kurzfristig beheben können. Eine reine Sortierung nach dem CVSS-Score hilft bei der Priorisierung nur begrenzt. So kann eine mittel bewertete Lücke auf einem öffentlich erreichbaren Webserver dringender sein als eine höher bewertete Schwachstelle in einem abgeschotteten internen System. Für die Reihenfolge zählen die praktische Ausnutzbarkeit und die Bedeutung des betroffenen Systems.
Im Experteninterview erklärt Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio, warum der CVSS-Score nur den Ausgangspunkt bildet. Er zeigt, wie Exploitability und der individuelle Unternehmenskontext die Priorität verändern und wie Tenable mit dem dynamisch berechneten Vulnerability Priority Rating, kurz VPR, zusätzliche Orientierung schafft.
Im Video erklärt Stefan Kappey, wie CVSS, Exploitability und der Unternehmenskontext die Priorisierung von Schwachstellen beeinflussen.
00:06 | Claudia van Veen: Herzlich willkommen zum accompio Fokus-Thema. Wie sollten Schwachstellen priorisiert werden? Sind CVSS-Scores das Mittel der Wahl oder welche weiteren Faktoren zählen? Bei mir ist Stefan Kappey.
00:22 | Claudia van Veen: Stefan, stellst du dich kurz vor und erklärst, wie du zu diesem Thema kommst?
00:28 | Stefan Kappey: Ich beschäftige mich seit acht Jahren mit Schwachstellenmanagement. Dabei kommt immer wieder die Frage auf, wie Schwachstellen priorisiert werden. Eine Grundlage dafür ist das CVSS-Scoring-System.
00:45 | Claudia van Veen: Was genau steckt hinter CVSS?
00:49 | Stefan Kappey: CVSS steht für Common Vulnerability Scoring System. Es ist ein weltweit anerkannter Prozess zur Bewertung von Schwachstellen. Die technische Kritikalität wird auf einer Skala von 0 bis 10 ausgedrückt. Werte zwischen 9 und 10 gelten als kritisch.
01:31 | Claudia van Veen: Welche Dimensionen fließen in den Score ein?
01:35 | Stefan Kappey: CVSS unterscheidet Base, Temporal und Environmental. Base beschreibt feste technische Merkmale wie den Angriffsvektor. Temporal berücksichtigt Veränderungen im Zeitverlauf, beispielsweise ob ein Exploit verfügbar ist. Environmental versucht, den Unternehmenskontext einzubeziehen.
02:14 | Claudia van Veen: Reicht der Score allein schon für die Priorisierung?
02:23 | Stefan Kappey: Er liefert eine Grundeinschätzung. Entscheidend ist zusätzlich der Unternehmenskontext. Welche Rolle spielt das betroffene System, wo befindet es sich, wie ist es erreichbar und ist es im Netzwerk abgeschottet oder öffentlich über das Internet zugänglich?
02:57 | Claudia van Veen: Kannst du dafür ein Praxisbeispiel geben?
03:00 | Stefan Kappey: Eine mittel bewertete Schwachstelle auf einem Webserver kann Angreifern den ersten Zugang zum Unternehmen ermöglichen. Ihre Behebung kann dringender sein als ein fehlendes Update auf einem Server im abgeschotteten internen Netz.
03:19 | Claudia van Veen: Welche Rolle spielt die Exploitability?
03:28 | Stefan Kappey: Exploitability beschreibt, ob eine Schwachstelle mit einem vorhandenen Exploit ausgenutzt werden kann. Gibt es bereits ein fertiges Programm, kann ein Angreifer unter Umständen mit wenigen Schritten Zugang erhalten. Ohne Exploit ist deutlich mehr manuelle Arbeit und technisches Wissen nötig.
04:03 | Claudia van Veen: Was ist bei öffentlichen Exploits und Exploit-Kits zu beachten?
04:08 | Stefan Kappey: Exploit-Kits und Frameworks helfen Pentestern und Ethical Hackern bei Sicherheitsprüfungen. Dieselben Werkzeuge stehen aber auch Angreifern zur Verfügung. Das macht den Aufbau einer wirksamen Verteidigung anspruchsvoller.
04:34 | Claudia van Veen: Wie lassen sich CVSS, Exploitability und Unternehmenskontext systematisch verbinden?
04:48 | Stefan Kappey: Der CVSS-Score liefert die technische Grundinformation. Danach kommt der Business-Kontext hinzu. Aus dieser Kombination lässt sich das Risiko für das jeweilige Unternehmen bewerten und der nächste sinnvolle Schritt ableiten.
05:13 | Claudia van Veen: Welche Tools oder Prozesse können dabei unterstützen?
05:19 | Stefan Kappey: Es gibt viele Lösungen. accompio nutzt und empfiehlt unter anderem die Suite von Tenable. Sie kann unterschiedliche Bereiche abdecken und einen umfassenden Blick auf die Unternehmenssicherheit ermöglichen. Entscheidend ist Transparenz, denn was ich nicht sehe oder kenne, kann ich nicht schützen.
05:49 | Stefan Kappey: Diese Sichtbarkeit wird in IT-Strukturen, Cloud- und Container-Umgebungen sowie gegebenenfalls in Produktions- und OT-Umgebungen benötigt.
06:07 | Claudia van Veen: Wie wird aus der theoretischen Bewertung ein praktisches Vorgehen?
06:15 | Stefan Kappey: Tools schaffen zunächst Transparenz und liefern den CVSS-Score. Über die eigenen Risikoprozesse kommt der Business Impact jedes Systems hinzu. Erst diese Kombination hilft dabei, die richtigen Maßnahmen festzulegen.
06:42 | Claudia van Veen: Welche Besonderheit bietet Tenable bei der Priorisierung?
06:47 | Stefan Kappey: CVSS ist vergleichsweise statisch. Die reale Bedrohungslage verändert sich jedoch dynamisch. Tenable ergänzt deshalb das Vulnerability Priority Rating, kurz VPR. Diese Kennzahl wird täglich neu berechnet, enthält den CVSS-Score und bezieht weitere Signale zur aktuellen Bedrohungslage ein.
07:43 | Claudia van Veen: Woran scheitert eine optimale Priorisierung in der Praxis?
08:07 | Stefan Kappey: Nicht jede erkannte Schwachstelle kann sofort behoben werden. Unternehmen müssen betriebliche Rahmenbedingungen berücksichtigen. Problematisch wird es außerdem, wenn man sich ausschließlich auf Standardprozesse oder einzelne Scores verlässt.
08:34 | Claudia van Veen: Welche Rolle spielen Automatisierung, Threat Intelligence und KI?
08:46 | Stefan Kappey: Diese Technologien unterstützen sowohl Angreifer als auch Verteidiger. Sie werden im Schwachstellenmanagement helfen. Ich bin aber noch nicht überzeugt, dass die Aufgabe vollständig einer KI überlassen werden kann. Erfahrung und fachliche Einschätzung der Experten bleiben wichtig.
09:24 | Claudia van Veen: Wie sollten Unternehmen Schwachstellen optimal priorisieren?
09:32 | Stefan Kappey: Ein geeignetes Werkzeug, beispielsweise von Tenable, schafft die Basis. Ergänzend braucht es saubere Patch-Prozesse, damit aus der Bewertung verlässlich Maßnahmen entstehen.
09:48 | Claudia van Veen: Vielen Dank, Stefan, und danke fürs Zuschauen.
Das Common Vulnerability Scoring System, kurz CVSS, ist ein etablierter Standard zur Bewertung der technischen Schwere von Sicherheitslücken. Der daraus resultierende Score soll Unternehmen dabei helfen, Schwachstellen einheitlich einzuschätzen und miteinander zu vergleichen, um ein vereinfachtes Schwachstellenmanagement zu ermöglichen.
Dabei berücksichtigt CVSS verschiedene Eigenschaften einer Schwachstelle. Dazu zählen beispielsweise die notwendige Zugriffsmöglichkeit, die erforderlichen Privilegien oder die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit eines betroffenen Systems.
CVSS 3.x unterscheidet zwischen Base, Temporal und Environmental. Base erfasst feste technische Eigenschaften wie den Angriffsvektor, notwendige Berechtigungen und mögliche Auswirkungen. Temporal berücksichtigt Entwicklungen im Zeitverlauf, etwa die Verfügbarkeit eines Exploits. Environmental passt die Bewertung an die konkrete IT-Umgebung an. In CVSS 4.0 heißt Temporal nun Threat. Hinzu kommt die Gruppe Supplemental für weitere Kontextinformationen.
Ein CVSS-Score beschreibt zunächst die technische Schwere einer Schwachstelle. Das konkrete Risiko für ein Unternehmen lässt sich daraus allein nicht ableiten.
Stefan Kappey nennt im Interview ein anschauliches Beispiel: Eine mittel bewertete Schwachstelle auf einem öffentlich erreichbaren Webserver kann Angreifern den ersten Zugang zum Unternehmen ermöglichen. Ihre Behebung kann daher dringender sein als ein fehlendes Update auf einem abgeschotteten internen System.
In der Praxis entstehen schnell lange Listen mit Schwachstellen, die nach ihrem CVSS-Score sortiert sind. Genau hier liegt eine der größten Herausforderungen im Schwachstellenmanagement.
Der Score zeigt die technische Schwere. Für die Reihenfolge der Maßnahmen braucht es weitere Informationen zum betroffenen System, zur Erreichbarkeit und zur aktuellen Bedrohungslage.
Dazu gehören beispielsweise:
Damit wird aus einer rein technischen Bewertung eine risikobasierte Priorisierung.
Ein entscheidender Faktor ist die sogenannte Exploitability. Sie beschreibt vereinfacht gesagt, wie gut eine Schwachstelle tatsächlich ausgenutzt werden kann.
Manche Sicherheitslücken sind technisch vorhanden, lassen sich unter realistischen Bedingungen jedoch nur schwer ausnutzen. Andere entwickeln trotz eines moderaten Scores eine hohe Dringlichkeit, sobald ein funktionierender Exploit öffentlich verfügbar ist.
Für Security-Teams sind deshalb zusätzliche Informationen wichtig. Dazu zählen beispielsweise öffentlich verfügbare Exploits, Proof-of-Concept-Code, Exploit-Kits oder Hinweise darauf, dass eine Schwachstelle bereits aktiv in Angriffen verwendet wird.
Das heißt, ich drücke auf den Knopf, warte ein paar Sekunden und habe meinen Zugang.
Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio
Neben CVSS und Exploitability ist vor allem der Kontext des jeweiligen Unternehmens entscheidend.
Ein und dieselbe Schwachstelle kann auf zwei Systemen völlig unterschiedliche Prioritäten besitzen. Ein öffentlich erreichbarer Server mit direkter Verbindung zu kritischen Unternehmensdaten ist anders zu bewerten als ein vergleichbares System in einem isolierten Netzwerksegment.
Auch die Geschäftskritikalität spielt eine wichtige Rolle. Fällt ein System aus oder wird kompromittiert, können je nach Einsatzbereich völlig unterschiedliche Konsequenzen entstehen.
Eine sinnvolle Priorisierung berücksichtigt deshalb mindestens drei Ebenen:
Erst aus der Kombination dieser Faktoren entsteht ein belastbares Bild.
CVSS bildet viele technische Eigenschaften einer Schwachstelle ab. Der Score bleibt über weite Teile ihres Lebenszyklus stabil. Die reale Bedrohungslage kann sich innerhalb kurzer Zeit verändern.
Tenable nutzt dafür das Vulnerability Priority Rating (VPR). Die Kennzahl wird täglich neu berechnet. Sie bezieht den CVSS-Score sowie aktuelle Informationen zu verfügbaren Exploits, Angriffsaktivitäten und weiteren Bedrohungssignalen ein. Nach Angaben von Tenable können dabei auch Erkenntnisse aus dem Darknet berücksichtigt werden. VPR unterstützt Security-Teams dabei, große Mengen an Findings schneller zu ordnen. Die Bewertung des betroffenen Systems, vorhandener Schutzmaßnahmen und möglicher Folgen bleibt Aufgabe des Unternehmens.
Schwachstellenmanagement umfasst das Erfassen, Bewerten, Priorisieren und Beheben von Sicherheitslücken. Eine vollständige Sicht auf die IT-Landschaft hilft dabei, ausnutzbare Schwachstellen auf kritischen Systemen zuerst zu behandeln und den Erfolg der Maßnahmen anschließend zu überprüfen.
Probleme entstehen häufig, wenn Security-Teams ihre Reihenfolge zu stark an einer einzelnen Kennzahl ausrichten.
Bei einer reinen Sortierung nach CVSS landen hohe Scores automatisch ganz oben auf der Liste. Die Erreichbarkeit des Systems, vorhandene Schutzmaßnahmen und die Bedeutung für den Geschäftsbetrieb bleiben dabei leicht unberücksichtigt.
Ein weiterer Fehler ist eine fehlende Aktualisierung der Bewertung. Schwachstelleninformationen verändern sich kontinuierlich. Was gestern noch als theoretisches Risiko galt, kann heute bereits durch einen öffentlich verfügbaren Exploit zu einer akuten Bedrohung werden.
Auch fehlende Informationen über die eigene IT-Landschaft erschweren die Priorisierung. Wer nicht weiß, welche Systeme besonders kritisch sind oder welche Assets aus dem Internet erreichbar sind, kann Risiken nur eingeschränkt bewerten.
Auch betriebliche Rahmenbedingungen beeinflussen die Umsetzung. Updates benötigen Tests, Wartungsfenster und klar definierte Patch-Prozesse. Security-Teams sollten deshalb dokumentieren, warum eine Maßnahme sofort umgesetzt, geplant oder vorübergehend zurückgestellt wird.
accompio priorisiert gemeinsam mit Ihnen Schwachstellen auf Basis Ihrer IT-Infrastruktur und tatsächlichen Risiken für Unternehmensabläufe.
Eine belastbare Schwachstellenpriorisierung verbindet den CVSS-Score mit Exploitability, Threat Intelligence und dem individuellen Unternehmenskontext. Dynamische Kennzahlen wie das VPR von Tenable helfen dabei, Veränderungen der Bedrohungslage schneller in die Bewertung aufzunehmen. Die höchste Dringlichkeit erhält die Schwachstelle, die im konkreten Unternehmen das größte Risiko verursacht.
Ein wirksames Schwachstellenmanagement schafft Transparenz über Systeme und Angriffswege. Es macht technische Findings für Security-Teams und Verantwortliche nachvollziehbar und führt zu einer klaren Reihenfolge für Patches und weitere Schutzmaßnahmen.
Stefan Kappey ist Service Owner Schwachstellenmanagement bei accompio. Seit acht Jahren beschäftigt er sich mit der Bewertung und Priorisierung von Schwachstellen und unterstützt Unternehmen dabei, technische Findings in nachvollziehbare Maßnahmen zu übersetzen.
CVSS steht für Common Vulnerability Scoring System und ist ein standardisiertes Verfahren zur Bewertung der technischen Schwere von Sicherheitslücken. Der Score unterstützt Unternehmen dabei, Schwachstellen vergleichbar zu bewerten.
Der CVSS-Score liefert eine technische Grundlage. Für die Priorisierung kommen Exploitability, Threat Intelligence, Asset-Kritikalität, Erreichbarkeit und vorhandene Schutzmaßnahmen hinzu.
Exploitability beschreibt vereinfacht, wie realistisch und einfach eine Sicherheitslücke ausgenutzt werden kann. Öffentlich verfügbare Exploits oder eine bereits beobachtete aktive Ausnutzung können die Priorität einer Schwachstelle deutlich erhöhen.
Die Auswirkungen einer Schwachstelle hängen stark davon ab, welches System betroffen ist und welche Funktion es im Unternehmen erfüllt. Ein geschäftskritisches, öffentlich erreichbares System kann beispielsweise ein deutlich höheres Risiko darstellen als ein isoliertes System mit derselben Schwachstelle.
Eine Neubewertung sollte kontinuierlich beziehungsweise regelmäßig erfolgen. Neue Exploits, veränderte Bedrohungslagen, neue Systeme oder Änderungen an der Infrastruktur können die Priorität einer Schwachstelle verändern.
CVSS bewertet vor allem die technische Schwere einer Schwachstelle. Das VPR von Tenable ergänzt diese Grundlage um aktuelle Informationen zur Bedrohungslage und wird täglich neu berechnet. Dadurch kann sich die Priorität einer Schwachstelle schneller an neue Exploits und Angriffsaktivitäten anpassen.
KI und Automatisierung können große Datenmengen auswerten und Security-Teams bei der Vorauswahl unterstützen. Für die endgültige Priorisierung braucht es weiterhin Erfahrung, Kenntnis der eigenen Systeme und eine fachliche Einschätzung der möglichen Folgen.
