CVSS ist ein offener Standard, der den Schweregrad einer Schwachstelle auf einer Skala von 0 bis 10 bewertet und so eine erste, vergleichbare Einordnung ihrer Kritikalität liefert.
CVSS steht für Common Vulnerability Scoring System. Es ist ein offener, herstellerunabhängiger Standard zur Bewertung des Schweregrads von Sicherheitslücken, gepflegt vom Branchenverbund FIRST. CVSS drückt die Kritikalität einer Schwachstelle als Zahl zwischen 0,0 und 10,0 aus und ordnet sie einer Stufe zu: niedrig, mittel, hoch oder kritisch. Der Wert entsteht aus mehreren Faktoren – wie leicht die Lücke ausnutzbar ist, ob sie aus dem Netz erreichbar ist, ob eine Interaktion nötig ist und welche Auswirkung sie auf Vertraulichkeit, Integrität und Verfügbarkeit hat.
Während die CVE-Kennung sagt, welche Schwachstelle vorliegt, sagt CVSS, wie schwer sie wiegt. Beide ergänzen einander und werden meist zusammen genannt.
Aufbau der Bewertung
CVSS (aktuell in Version 4.0) setzt sich aus mehreren Metrikgruppen zusammen:
- Basismetrik: die unveränderlichen Eigenschaften der Schwachstelle selbst – Angriffsweg, Komplexität, benötigte Rechte, Nutzerinteraktion und Auswirkung. Sie ergibt den Basiswert, der meist in Datenbanken steht.
- Bedrohungsmetrik: berücksichtigt, ob die Schwachstelle bereits aktiv ausgenutzt wird oder ob öffentlicher Angriffscode existiert.
- Umgebungsmetrik: passt den Wert an die konkrete Organisation an – wie kritisch das betroffene System ist und welche Schutzmaßnahmen bereits greifen.
Der entscheidende Punkt für die Praxis: Veröffentlicht wird fast immer nur der Basiswert. Dieser beschreibt die Schwachstelle isoliert, nicht ihr Risiko in Ihrer Umgebung. Eine mit 9,8 bewertete Lücke in einem internen Testsystem ohne sensible Daten kann weniger dringend sein als eine mit 6,5 bewertete auf einem internetseitigen Server mit Kundendaten.
Bedeutung für Unternehmen
CVSS ist ein nützliches Werkzeug zur ersten Sortierung, aber ein schlechter alleiniger Maßstab für Priorisierung. Angesichts von durchschnittlich 119 neuen Schwachstellen pro Tag (BSI-Lagebericht 2025) hilft der Wert, offensichtlich Kritisches von Unkritischem zu trennen. Wer aber stur alle Befunde ab einem bestimmten Basiswert abarbeitet, verschwendet Ressourcen an nicht ausnutzbare Lücken und übersieht mittlere Befunde, die in Kombination gefährlich werden.
In unseren Berichten bewerten wir Befunde deshalb nicht allein nach CVSS, sondern ergänzen den Kontext: Ist die Lücke tatsächlich erreichbar, lässt sie sich mit anderen Befunden verketten, und was bedeutet sie für Ihre konkreten Flags? Ein belastbarer Proof of Concept zeigt die reale Ausnutzbarkeit, die eine Zahl allein nicht ausdrückt.
Praxis-Hinweise
- Nutzen Sie den CVSS-Basiswert zur Grobsortierung, nicht als endgültige Priorität.
- Rechnen Sie die Umgebungsmetrik für Ihre kritischen Systeme aus; sie verschiebt die Rangfolge oft deutlich.
- Beziehen Sie aktive Ausnutzung ein – eine ausgenutzte Lücke mit mittlerem Wert ist dringender als eine theoretische mit hohem.
- Verlangen Sie in Berichten eine Priorisierung, die Ausnutzbarkeit und Geschäftsauswirkung berücksichtigt, nicht nur die nackte Zahl.