Was ist CVSS? Einfach erklärt

CVSS einfach erklärt

In der Notaufnahme entscheidet nicht das Bauchgefühl, wer zuerst behandelt wird. Ein festes Schema stuft jeden Fall nach klaren Kriterien ein. CVSS leistet Ähnliches für Sicherheitslücken. Die Abkürzung steht für „Common Vulnerability Scoring System“, also ein allgemeines Bewertungssystem für Schwachstellen.

Herausgeber ist FIRST (Forum of Incident Response and Security Teams), ein internationaler Zusammenschluss von Sicherheits- und Notfallteams. Seit 2023 liegt Version 4.0 vor. In vielen Datenbanken und Berichten ist die Vorgängerversion 3.1 aber noch verbreitet. Aus dem Zahlenwert ergibt sich eine Einstufung in Worten:

0,0: keine
0,1 bis 3,9: niedrig
4,0 bis 6,9: mittel
7,0 bis 8,9: hoch
9,0 bis 10,0: kritisch

So funktioniert die CVSS-Bewertung

Die Bewertung beantwortet eine Reihe fester Fragen. Für jede Frage gibt es vorgegebene Antwortstufen, und eine Formel errechnet daraus den Wert. Die wichtigsten Kriterien der Basisbewertung sind:

Angriffsvektor: Von wo aus ist ein Angriff möglich? Über das Netzwerk, etwa aus dem Internet? Nur aus einem benachbarten Netz wie demselben WLAN? Oder nur lokal am Gerät, im Extremfall sogar nur mit physischem Zugriff?
Komplexität: Klappt der Angriff jederzeit, oder braucht der Angreifer besondere Bedingungen?
Benötigte Rechte: Muss der Angreifer bereits ein Benutzerkonto haben oder sogar Administratorrechte?
Mitwirkung: Muss eine Person auf einen Link klicken oder eine Datei öffnen?
Auswirkungen: Kann ein Angreifer Daten mitlesen (Vertraulichkeit), Daten verändern (Integrität) oder ein System lahmlegen (Verfügbarkeit)?

Neben dem Zahlenwert steht meist der sogenannte Vektor. Das ist eine Kurzschreibweise aller Antworten, etwa „AV:N“ für „Angriffsvektor: Netzwerk“. So lässt sich jede Bewertung nachvollziehen und überprüfen.

Ergänzend kennt CVSS weitere Kennzahlen. Sie berücksichtigen etwa, ob bereits Angriffswerkzeuge im Umlauf sind und wie wichtig das betroffene System in einer bestimmten Umgebung ist. In öffentlichen Datenbanken steht jedoch meist nur der Basiswert.

Ein Beispiel aus der Praxis

Ein typisches Szenario: Eine Steuerberatungskanzlei lässt erstmals einen Penetrationstest durchführen, also einen beauftragten, simulierten Angriff. Im Bericht stechen zwei Befunde heraus. Der erste betrifft veraltete Software auf einem internen Testserver: CVSS 9,8, kritisch. Der zweite betrifft den Dokumentenaustausch auf der Website. Wer dort angemeldet ist und eine Nummer in der Adresszeile ändert, kann Unterlagen anderer Mandanten abrufen: CVSS 6,5, mittel.

Auf den ersten Blick wirkt der Testserver dringender. Im Kontext sieht es anders aus: Der Server ist nur intern erreichbar und enthält keine echten Daten. Die Lücke auf der Website dagegen legt vertrauliche Mandantendaten offen, die dem Berufsgeheimnis unterliegen. Der Bericht empfiehlt deshalb, sie zuerst zu schließen. Den Testserver schaltet die Kanzlei ebenfalls zeitnah ab: Er wird nicht mehr gebraucht und könnte Angreifern im internen Netz als Sprungbrett dienen.

Warum ist das für Unternehmen wichtig?

CVSS schafft eine gemeinsame Sprache. Hersteller, Scanner und Prüfteams bewerten nach denselben Regeln. So lassen sich Befunde aus verschiedenen Quellen vergleichen und Ressourcen gezielt einsetzen. Viele Unternehmen legen zudem fest, bis wann Lücken je nach CVSS-Einstufung behoben sein müssen.

Doch CVSS misst den Schweregrad einer Lücke, nicht Ihr individuelles Risiko. Auch der Herausgeber betont, dass der Basiswert allein keine Risikobewertung ersetzt. Ob eine Lücke für Sie kritisch ist, hängt davon ab, welche Daten betroffen sind, wie leicht das System erreichbar ist und welche Schutzmaßnahmen bereits greifen. Umgekehrt können mehrere mittlere Befunde zusammen einen gefährlichen Angriffspfad ergeben.

Worauf Sie achten sollten

Vektor verlangen: Eine Zahl ohne Vektor lässt sich nicht überprüfen. Gute Berichte nennen beides.
Version beachten: Werte nach CVSS 3.1 und 4.0 sind nicht direkt vergleichbar. Der Bericht sollte die verwendete Version angeben.
Kontext einfordern: Fragen Sie nicht nur nach dem Basiswert, sondern nach der Bedeutung für Ihr Unternehmen.
Mittlere Befunde ernst nehmen: Prüfen Sie, ob sich mehrere Lücken zu einem Angriff verketten lassen.
Fristen festlegen: Definieren Sie, bis wann Befunde je nach Einstufung behoben sein müssen.
Behebung bestätigen: Lassen Sie geschlossene Lücken in einem Retest, also einer erneuten Prüfung, kontrollieren.

Wie Rootsektor unterstützt

In unseren Pentest-Berichten bewerten wir jeden Befund nach CVSS und ordnen ihn zusätzlich im Kontext Ihres Unternehmens ein. Die Management Summary übersetzt die Ergebnisse für die Geschäftsführung, der technische Teil liefert Ihrem IT-Team Vektor, Nachweis und konkrete Maßnahmenempfehlung. Kritische Schwachstellen melden wir schon während des Tests sofort – telefonisch oder per E-Mail an die vereinbarte Ansprechperson. Mehr zu unserem Vorgehen lesen Sie unter Penetration Testing.