Schwachstellenmanagement10. August 2026 · 4 Min. Lesezeit

CVSS vs. EPSS: Welchen Score sollst du wirklich priorisieren?

Einleitung

Du hast einen Vulnerability-Scan abgeschlossen und schaust auf 200 offene CVEs. Sortierst du nach CVSS und fängst oben an? Dann machst du es wie die meisten – aber nicht unbedingt richtig. EPSS beantwortet eine andere, wichtigere Frage: Welche dieser Schwachstellen wird in den nächsten Wochen tatsächlich aktiv ausgenutzt? Dieser Artikel erklärt beide Systeme und zeigt, wie du sie sinnvoll kombinierst.

Warum das Thema wichtig ist

Priorisierung ist das Herzstück des Schwachstellenmanagements. Du kannst nicht alle CVEs gleichzeitig patchen – also musst du entscheiden, was zuerst kommt. Eine falsche Priorisierung bedeutet: Du patchst CVSS-9.8-Lücken, die niemand aktiv ausnutzt, während eine CVSS-6.5-Schwachstelle gerade in Exploit-Kits gegen dein Netz gefeuert wird. Diese Entscheidung kostet im schlimmsten Fall einen Incident.

CVSS: Was er misst und was nicht

Der Common Vulnerability Scoring System (v3.1) bewertet die theoretischen Eigenschaften einer Schwachstelle:

Der Score beschreibt die schlechtmöglichste Ausnutzung unter idealen Bedingungen für den Angreifer. Er ist deterministisch und ändert sich nach Veröffentlichung kaum.

Was CVSS nicht beantwortet:

Ein CVSS 9.8 auf einem Produkt, das du nicht betreibst, ist irrelevant. Ein CVSS 6.5 mit weaponized Exploit in einem Produkt, das du öffentlich exponierst, ist ein Notfall.

EPSS: Die Frage, die CVSS nicht stellt

EPSS (Exploit Prediction Scoring System), entwickelt von FIRST, berechnet täglich neu: Wie hoch ist die Wahrscheinlichkeit, dass diese CVE in den nächsten 30 Tagen aktiv ausgenutzt wird?

Score zwischen 0 und 1 (= 0 % bis 100 %). Basis:

EPSS ist keine Garantie – es ist eine Wahrscheinlichkeit. Aber datengetrieben, täglich aktualisiert und damit deutlich besser als ein statischer theoretischer Score.

Die Zahlen sprechen für sich

Strategie Aufwand Abdeckung der ausgenutzten CVEs
Alle CVEs patchen 100 % 100 %
CVSS ≥ 7.0 patchen ~50 % ~75 %
EPSS > 0.1 patchen ~7 % ~87 %

Mit EPSS-Priorisierung deckst du mit 7 % des Aufwands 87 % der tatsächlich ausgenutzten Schwachstellen ab.

EPSS praktisch nutzen

API-Abfrage

Die EPSS-API von FIRST ist kostenlos und ohne Registrierung nutzbar:

# Einzelne CVE
curl "https://api.first.org/data/v1/epss?cve=CVE-2023-23397"

# Mehrere CVEs in einer Anfrage
curl "https://api.first.org/data/v1/epss?cve=CVE-2021-44228,CVE-2022-30190,CVE-2023-23397"

Antwort:

{
  "data": [{
    "cve": "CVE-2023-23397",
    "epss": "0.94573",
    "percentile": "0.99851",
    "date": "2024-01-15"
  }]
}

EPSS 0.94 = 94 % Wahrscheinlichkeit aktiver Ausnutzung in den nächsten 30 Tagen.

Aus Scan-Reports anreichern

# CVE-IDs aus CSV extrahieren und EPSS abrufen
cut -d',' -f5 scan_report.csv | sort -u | tr '\n' ',' | sed 's/,$//' \
  | xargs -I{} curl -s "https://api.first.org/data/v1/epss?cve={}" \
  | jq -r '.data[] | "\(.cve)\t\(.epss)\t\(.percentile)"'

Das dritte Element: CISA KEV

Neben CVSS und EPSS: die CISA Known Exploited Vulnerabilities (KEV) Liste. Sie enthält CVEs mit bestätigter aktiver Ausnutzung in freier Wildbahn – keine Wahrscheinlichkeit, sondern Tatsache.

curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | jq '.vulnerabilities[] | select(.cveID == "CVE-2023-23397") | .shortDescription'

Regel: Alles in der CISA KEV hat Priorität 1 – unabhängig von CVSS und EPSS.

Die kombinierte Priorisierungs-Matrix

Vulnerability aus dem Scan
│
├── Ist die CVE in CISA KEV?  → JA: Priorität 1 (24 h)
│
├── EPSS > 0.5?
│   ├── + CVSS ≥ 7.0          → Priorität 1 (48 h)
│   └── + CVSS < 7.0          → Priorität 2 (7 Tage)
│
├── EPSS 0.1 – 0.5?
│   ├── + CVSS ≥ 9.0          → Priorität 2 (7 Tage)
│   └── + CVSS < 9.0          → Priorität 3 (30 Tage)
│
└── EPSS < 0.1, CVSS < 7      → Priorität 4 (nächstes Fenster)

Zusatzfaktor: Umgebungskontext

Tools

Praxis-Checkliste

Fazit

CVSS und EPSS ergänzen sich. CVSS beschreibt die Schwere unter idealen Bedingungen. EPSS sagt dir, ob Angreifer sie gerade ausnutzen. Kombiniert mit CISA KEV und Umgebungskontext bekommst du eine Priorisierung, die nicht auf dem Papier gut aussieht, sondern in der Praxis funktioniert.

Wenn du tiefer einsteigen willst: Im Newsletter schauen wir uns jeden Monat Schwachstellen-Trends, neue CVEs und konkrete Workflows an. Trag dich ein und bleib auf dem Laufenden.

← Zurück zur Übersicht