Schwachstellen-Triage: von der CVE-Meldung zur Entscheidung.
Stand: · ALVPHA Tech GmbH
Ablauf in fünf Schritten
- Befund erfassen: CVE, betroffene Komponente und Version aus Scanner, Advisory oder Kundenmeldung.
- Betroffenheit prüfen: Ist die Version im ausgelieferten Release enthalten, ist der verwundbare Code erreichbar, greift die Konfiguration?
- Priorisieren: Schweregrad, Ausnutzungswahrscheinlichkeit und belegte Ausnutzung zusammen betrachten.
- Entscheiden: beheben, abschwächen, Risiko begründet akzeptieren oder als nicht betroffen einstufen.
- Dokumentieren: Begründung, Verantwortliche und Status festhalten und an Kunden weitergeben können.
CVSS, EPSS und KEV
CVSS (FIRST, aktuell Version 4.0) bewertet den technischen Schweregrad auf einer Skala von 0,0 bis 10,0. EPSS (ebenfalls FIRST) schätzt täglich die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. Der KEV-Katalog der US-Behörde CISA listet Schwachstellen mit belegter aktiver Ausnutzung. Zusammen trennen die drei Signale das Schwere vom Wahrscheinlichen; die Bewertung im eigenen Produktkontext ersetzen sie nicht.
Entscheidungen dokumentieren: VEX
VEX (Vulnerability Exploitability eXchange) ist eine maschinenlesbare Aussage darüber, ob ein Produkt von einer Schwachstelle betroffen ist. Übliche Status sind not_affected (mit Begründung, etwa weil der verwundbare Code nicht enthalten oder nicht erreichbar ist), affected, fixed und under_investigation. VEX lässt sich in CSAF, CycloneDX oder OpenVEX ausdrücken und erspart Kunden Rückfragen zu Befunden, die im Produkt keine Rolle spielen.
Meldepflichten nach dem Cyber Resilience Act
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen ihrer Produkte melden (Art. 14 der Verordnung (EU) 2024/2847): eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist. Eine eingeübte Triage ist die Voraussetzung, um diese Fristen einzuhalten.
Häufige Fragen
Reicht es, nach CVSS zu priorisieren?
Meist nicht. Ein hoher CVSS-Wert sagt nichts darüber, ob die Schwachstelle in Ihrem Produkt erreichbar ist oder tatsächlich ausgenutzt wird. EPSS, KEV und der Produktkontext gehören dazu.
Was bedeutet „nicht betroffen“?
Dass die gemeldete Schwachstelle im konkreten Produkt nicht ausnutzbar ist, etwa weil die verwundbare Funktion nicht enthalten oder nicht erreichbar ist. Diese Einstufung braucht eine dokumentierte Begründung.
Gibt es für jede Schwachstelle einen Patch?
Nein. Für manche Versionen existiert keine Korrektur, oder sie ist nur in neueren Versionen enthalten. Dann sind Upgrade, Backport, Abschwächung oder eine begründete Risikoentscheidung zu prüfen.
QUELLEN
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex
- FIRST: Common Vulnerability Scoring System (CVSS) v4.0
- FIRST: Exploit Prediction Scoring System (EPSS)
- CISA: Known Exploited Vulnerabilities Catalog
- OpenVEX Specification
- OASIS: Common Security Advisory Framework (CSAF)
Dieser Artikel dient der fachlichen Orientierung und ist keine Rechtsberatung. Maßgeblich sind die verlinkten Primärquellen in ihrer jeweils geltenden Fassung.
Wo steht Ihr Team?
Der kostenlose Trust Check ordnet Ihre Selbstauskunft in sieben Dimensionen ein, von Komponentenbestand bis Nachweisfähigkeit. Für konkrete Fälle vereinbaren wir ein Erstgespräch.
Passende Leistung: Schwachstellenbearbeitung