Kontaktieren Sie uns
Wir von accompio helfen Ihnen gerne.
25.08.2026
Nicht jede Schwachstelle mit einem hohen CVSS-Score stellt automatisch das größte Risiko für ein Unternehmen dar. Entscheidend ist vielmehr, wie leicht eine Sicherheitslücke tatsächlich ausgenutzt werden kann und welche Auswirkungen ein erfolgreicher Angriff im jeweiligen Unternehmenskontext hätte.
Unternehmen entdecken häufig mehr Schwachstellen, als ihre IT-Teams kurzfristig beheben können. Eine reine Sortierung nach dem CVSS-Score hilft bei der Priorisierung nur begrenzt. So kann eine mittel bewertete Lücke auf einem öffentlich erreichbaren Webserver dringender sein als eine höher bewertete Schwachstelle in einem abgeschotteten internen System. Für die Reihenfolge zählen die praktische Ausnutzbarkeit und die Bedeutung des betroffenen Systems.
Im Experteninterview erklärt Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio, warum der CVSS-Score nur den Ausgangspunkt bildet. Er zeigt, wie Exploitability und der individuelle Unternehmenskontext die Priorität verändern und wie Tenable mit dem dynamisch berechneten Vulnerability Priority Rating, kurz VPR, zusätzliche Orientierung schafft.
Im Video erklärt Stefan Kappey, wie CVSS, Exploitability und der Unternehmenskontext die Priorisierung von Schwachstellen beeinflussen.
Das Common Vulnerability Scoring System, kurz CVSS, ist ein etablierter Standard zur Bewertung der technischen Schwere von Sicherheitslücken. Der daraus resultierende Score soll Unternehmen dabei helfen, Schwachstellen einheitlich einzuschätzen und miteinander zu vergleichen, um ein vereinfachtes Schwachstellenmanagement zu ermöglichen.
Dabei berücksichtigt CVSS verschiedene Eigenschaften einer Schwachstelle. Dazu zählen beispielsweise die notwendige Zugriffsmöglichkeit, die erforderlichen Privilegien oder die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit eines betroffenen Systems.
CVSS 3.x unterscheidet zwischen Base, Temporal und Environmental. Base erfasst feste technische Eigenschaften wie den Angriffsvektor, notwendige Berechtigungen und mögliche Auswirkungen. Temporal berücksichtigt Entwicklungen im Zeitverlauf, etwa die Verfügbarkeit eines Exploits. Environmental passt die Bewertung an die konkrete IT-Umgebung an. In CVSS 4.0 heißt Temporal nun Threat. Hinzu kommt die Gruppe Supplemental für weitere Kontextinformationen.
Ein CVSS-Score beschreibt zunächst die technische Schwere einer Schwachstelle. Das konkrete Risiko für ein Unternehmen lässt sich daraus allein nicht ableiten.
Stefan Kappey nennt im Interview ein anschauliches Beispiel: Eine mittel bewertete Schwachstelle auf einem öffentlich erreichbaren Webserver kann Angreifern den ersten Zugang zum Unternehmen ermöglichen. Ihre Behebung kann daher dringender sein als ein fehlendes Update auf einem abgeschotteten internen System.
In der Praxis entstehen schnell lange Listen mit Schwachstellen, die nach ihrem CVSS-Score sortiert sind. Genau hier liegt eine der größten Herausforderungen im Schwachstellenmanagement.
Der Score zeigt die technische Schwere. Für die Reihenfolge der Maßnahmen braucht es weitere Informationen zum betroffenen System, zur Erreichbarkeit und zur aktuellen Bedrohungslage.
Dazu gehören beispielsweise:
Damit wird aus einer rein technischen Bewertung eine risikobasierte Priorisierung.
Ein entscheidender Faktor ist die sogenannte Exploitability. Sie beschreibt vereinfacht gesagt, wie gut eine Schwachstelle tatsächlich ausgenutzt werden kann.
Manche Sicherheitslücken sind technisch vorhanden, lassen sich unter realistischen Bedingungen jedoch nur schwer ausnutzen. Andere entwickeln trotz eines moderaten Scores eine hohe Dringlichkeit, sobald ein funktionierender Exploit öffentlich verfügbar ist.
Für Security-Teams sind deshalb zusätzliche Informationen wichtig. Dazu zählen beispielsweise öffentlich verfügbare Exploits, Proof-of-Concept-Code, Exploit-Kits oder Hinweise darauf, dass eine Schwachstelle bereits aktiv in Angriffen verwendet wird.
Das heißt, ich drücke auf den Knopf, warte ein paar Sekunden und habe meinen Zugang.
Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio
Neben CVSS und Exploitability ist vor allem der Kontext des jeweiligen Unternehmens entscheidend.
Ein und dieselbe Schwachstelle kann auf zwei Systemen völlig unterschiedliche Prioritäten besitzen. Ein öffentlich erreichbarer Server mit direkter Verbindung zu kritischen Unternehmensdaten ist anders zu bewerten als ein vergleichbares System in einem isolierten Netzwerksegment.
Auch die Geschäftskritikalität spielt eine wichtige Rolle. Fällt ein System aus oder wird kompromittiert, können je nach Einsatzbereich völlig unterschiedliche Konsequenzen entstehen.
Eine sinnvolle Priorisierung berücksichtigt deshalb mindestens drei Ebenen:
Erst aus der Kombination dieser Faktoren entsteht ein belastbares Bild.
CVSS bildet viele technische Eigenschaften einer Schwachstelle ab. Der Score bleibt über weite Teile ihres Lebenszyklus stabil. Die reale Bedrohungslage kann sich innerhalb kurzer Zeit verändern.
Tenable nutzt dafür das Vulnerability Priority Rating (VPR). Die Kennzahl wird täglich neu berechnet. Sie bezieht den CVSS-Score sowie aktuelle Informationen zu verfügbaren Exploits, Angriffsaktivitäten und weiteren Bedrohungssignalen ein. Nach Angaben von Tenable können dabei auch Erkenntnisse aus dem Darknet berücksichtigt werden. VPR unterstützt Security-Teams dabei, große Mengen an Findings schneller zu ordnen. Die Bewertung des betroffenen Systems, vorhandener Schutzmaßnahmen und möglicher Folgen bleibt Aufgabe des Unternehmens.
Schwachstellenmanagement umfasst das Erfassen, Bewerten, Priorisieren und Beheben von Sicherheitslücken. Eine vollständige Sicht auf die IT-Landschaft hilft dabei, ausnutzbare Schwachstellen auf kritischen Systemen zuerst zu behandeln und den Erfolg der Maßnahmen anschließend zu überprüfen.
Probleme entstehen häufig, wenn Security-Teams ihre Reihenfolge zu stark an einer einzelnen Kennzahl ausrichten.
Bei einer reinen Sortierung nach CVSS landen hohe Scores automatisch ganz oben auf der Liste. Die Erreichbarkeit des Systems, vorhandene Schutzmaßnahmen und die Bedeutung für den Geschäftsbetrieb bleiben dabei leicht unberücksichtigt.
Ein weiterer Fehler ist eine fehlende Aktualisierung der Bewertung. Schwachstelleninformationen verändern sich kontinuierlich. Was gestern noch als theoretisches Risiko galt, kann heute bereits durch einen öffentlich verfügbaren Exploit zu einer akuten Bedrohung werden.
Auch fehlende Informationen über die eigene IT-Landschaft erschweren die Priorisierung. Wer nicht weiß, welche Systeme besonders kritisch sind oder welche Assets aus dem Internet erreichbar sind, kann Risiken nur eingeschränkt bewerten.
Auch betriebliche Rahmenbedingungen beeinflussen die Umsetzung. Updates benötigen Tests, Wartungsfenster und klar definierte Patch-Prozesse. Security-Teams sollten deshalb dokumentieren, warum eine Maßnahme sofort umgesetzt, geplant oder vorübergehend zurückgestellt wird.
accompio priorisiert gemeinsam mit Ihnen Schwachstellen auf Basis Ihrer IT-Infrastruktur und tatsächlichen Risiken für Unternehmensabläufe.
Eine belastbare Schwachstellenpriorisierung verbindet den CVSS-Score mit Exploitability, Threat Intelligence und dem individuellen Unternehmenskontext. Dynamische Kennzahlen wie das VPR von Tenable helfen dabei, Veränderungen der Bedrohungslage schneller in die Bewertung aufzunehmen. Die höchste Dringlichkeit erhält die Schwachstelle, die im konkreten Unternehmen das größte Risiko verursacht.
Ein wirksames Schwachstellenmanagement schafft Transparenz über Systeme und Angriffswege. Es macht technische Findings für Security-Teams und Verantwortliche nachvollziehbar und führt zu einer klaren Reihenfolge für Patches und weitere Schutzmaßnahmen.
Stefan Kappey ist Service Owner Schwachstellenmanagement bei accompio. Seit acht Jahren beschäftigt er sich mit der Bewertung und Priorisierung von Schwachstellen und unterstützt Unternehmen dabei, technische Findings in nachvollziehbare Maßnahmen zu übersetzen.
CVSS steht für Common Vulnerability Scoring System und ist ein standardisiertes Verfahren zur Bewertung der technischen Schwere von Sicherheitslücken. Der Score unterstützt Unternehmen dabei, Schwachstellen vergleichbar zu bewerten.
Der CVSS-Score liefert eine technische Grundlage. Für die Priorisierung kommen Exploitability, Threat Intelligence, Asset-Kritikalität, Erreichbarkeit und vorhandene Schutzmaßnahmen hinzu.
Exploitability beschreibt vereinfacht, wie realistisch und einfach eine Sicherheitslücke ausgenutzt werden kann. Öffentlich verfügbare Exploits oder eine bereits beobachtete aktive Ausnutzung können die Priorität einer Schwachstelle deutlich erhöhen.
Die Auswirkungen einer Schwachstelle hängen stark davon ab, welches System betroffen ist und welche Funktion es im Unternehmen erfüllt. Ein geschäftskritisches, öffentlich erreichbares System kann beispielsweise ein deutlich höheres Risiko darstellen als ein isoliertes System mit derselben Schwachstelle.
Eine Neubewertung sollte kontinuierlich beziehungsweise regelmäßig erfolgen. Neue Exploits, veränderte Bedrohungslagen, neue Systeme oder Änderungen an der Infrastruktur können die Priorität einer Schwachstelle verändern.
CVSS bewertet vor allem die technische Schwere einer Schwachstelle. Das VPR von Tenable ergänzt diese Grundlage um aktuelle Informationen zur Bedrohungslage und wird täglich neu berechnet. Dadurch kann sich die Priorität einer Schwachstelle schneller an neue Exploits und Angriffsaktivitäten anpassen.
KI und Automatisierung können große Datenmengen auswerten und Security-Teams bei der Vorauswahl unterstützen. Für die endgültige Priorisierung braucht es weiterhin Erfahrung, Kenntnis der eigenen Systeme und eine fachliche Einschätzung der möglichen Folgen.
Erstgespräch vereinbaren
