Was eine CVSS-Schwelle wirklich leistet: 42.902 CVEs ausgewertet

Die Priorisierung von Schwachstellen ist eine zentrale Herausforderung für Security-Teams. Angesichts von 42.902 ausgewerteten CVEs stellt sich die Frage, welche Metriken eine effektive Auswahl ermöglichen. Eine verbreitete Methode ist die Festlegung einer Schwelle im Common Vulnerability Scoring System (CVSS). Die vorliegende Analyse untersucht die Effektivität einer solchen Schwelle im Vergleich zu tatsächlicher Ausnutzung, wie sie im CISA Known Exploited Vulnerabilities (KEV) Katalog dokumentiert ist.

Was eine CVSS-Schwelle einfängt

Eine Priorisierung von Schwachstellen basierend auf einem CVSS-Score von 9,0 oder höher identifiziert 4.974 Kandidaten aus den 42.902 ausgewerteten CVEs. Von diesen 4.974 CVEs sind 146 im KEV-Katalog gelistet. Die Trefferquote, also der Anteil der Kandidaten, die tatsächlich ausgenutzt werden, liegt bei 3 Prozent. Diese Schwelle erfasst 41 Prozent der 358 nachweislich ausgenutzten Schwachstellen im KEV-Katalog.

Was sie übersieht

Eine CVSS-Schwelle von 9,0 übersieht einen erheblichen Teil der tatsächlich ausgenutzten Schwachstellen. 212 KEV-Einträge liegen unterhalb dieser Schwelle. Das bedeutet, dass 59 Prozent der nachweislich ausgenutzten Schwachstellen von einer solchen Priorisierungsstrategie nicht erfasst würden. Von den 358 KEV-Einträgen haben 172 einen CVSS-Score zwischen 7,0 und 8,9, und 39 KEV-Einträge weisen einen CVSS-Score unter 7,0 auf. Der KEV-Katalog erfasst nur öffentlich bestätigte Ausnutzung; die Dunkelziffer ist unbekannt.

Wo EPSS hilft und wo nicht

Das Exploit Prediction Scoring System (EPSS) schätzt die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen. Von den 4.972 CVEs mit CVSS ab 9,0 und verfügbarem EPSS-Wert haben 4.041 einen EPSS-Wert unter 1 Prozent. Dies entspricht 81 Prozent dieser kritischen Schwachstellen. EPSS kann somit die Anzahl der zu prüfenden kritischen Schwachstellen deutlich reduzieren. Allerdings wurden 66 KEV-Einträge trotz eines EPSS-Wertes unter 10 Prozent ausgenutzt, was darauf hindeutet, dass das Modell gezielte Angriffe nicht immer vorhersagt. Zudem gibt es 92 CVEs mit einem EPSS-Wert ab 50 Prozent, die bisher keinen KEV-Eintrag haben. Dies deutet auf ein potenzielles zukünftiges Risiko hin, das noch nicht öffentlich bestätigt wurde.

Warum KEV ein Rückspiegel ist

Der KEV-Katalog ist eine wertvolle Ressource zur Identifizierung tatsächlich ausgenutzter Schwachstellen, dient aber nicht als Frühwarnsystem. Für die 294 KEV-Einträge mit vollständigen Datumsangaben beträgt der Median-Verzug von der CVE-Veröffentlichung bis zur Aufnahme in den KEV-Katalog 132 Tage. Nur 54 Einträge wurden innerhalb von sieben Tagen aufgenommen. Hingegen wurden 104 Einträge erst nach über einem Jahr in den KEV-Katalog aufgenommen. Der Zeitverzug misst den Abstand bis zur Bestätigung, nicht bis zum Beginn der Ausnutzung. Die Konzentration auf die fünf häufigsten Hersteller, die 165 KEV-Einträge ausmachen und somit 46 Prozent der bestätigten Ausnutzungen repräsentieren, folgt der Verbreitung und ist kein Qualitätsurteil.

Was das für die Praxis heißt

Eine alleinige Priorisierung nach CVSS ab 9,0 ist unzureichend, da sie einen Großteil der tatsächlich ausgenutzten Schwachstellen übersieht. Security-Teams müssen ihre Strategien anpassen, um auch Schwachstellen mit niedrigeren CVSS-Scores zu berücksichtigen, die aktiv ausgenutzt werden. EPSS kann die Effizienz der Priorisierung verbessern, indem es die Anzahl der zu prüfenden kritischen Schwachstellen reduziert. Es ist jedoch wichtig zu erkennen, dass EPSS gezielte Angriffe nicht immer vorhersagt. Der KEV-Katalog ist ein wichtiges Instrument zur retrospektiven Analyse und zur Validierung von Priorisierungsstrategien, aber aufgrund des erheblichen Zeitverzugs nicht für die Frühwarnung geeignet. Eine Kombination verschiedener Metriken und eine kontinuierliche Überwachung der Bedrohungslandschaft sind erforderlich, um eine umfassende Abdeckung zu gewährleisten.

Die Zahlen im Überblick

Die 358 nachweislich ausgenutzten Schwachstellen nach CVSS

Hersteller mit den meisten bestätigt ausgenutzten Schwachstellen

---

Zur Methodik: Grundlage sind 42.902 CVEs aus dem SecBoard-Bestand mit CVSS-Werten aus der NVD, EPSS-Werten von FIRST.org und dem KEV-Status aus dem Katalog der CISA, Stand 30. August 2026. Der Zeitverzug wurde über 294 KEV-Einträge berechnet, bei denen sowohl das Veröffentlichungs- als auch das Aufnahmedatum vorliegt. „Nachweislich ausgenutzt" bezieht sich ausschließlich auf die Aufnahme in den KEV-Katalog — Ausnutzung, die nie öffentlich bestätigt wurde, ist darin nicht enthalten, die tatsächliche Zahl also höher. Alle Werte werden aus dem Datenbestand berechnet, nicht geschätzt.