CVSS (Common Vulnerability Scoring System) ist ein offener Standard zur Bewertung der technischen Schwere von Sicherheitslücken. Er übersetzt die Eigenschaften einer Lücke in eine Zahl zwischen 0,0 und 10,0 – je höher der Wert, desto schwerwiegender die Auswirkung. Gepflegt wird der Standard vom Forum of Incident Response and Security Teams (FIRST).
So funktioniert CVSS
Ein CVSS-Score entsteht aus Metrikgruppen. In den Versionen 2.0 und 3.x sind das:
- Base – die inhärenten Eigenschaften der Lücke: Angriffsvektor (AV), Angriffskomplexität (AC), benötigte Privilegien (PR), Benutzerinteraktion (UI), Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit (C/I/A)
- Temporal – zeitabhängige Faktoren wie Verfügbarkeit eines Exploits oder eines Patches
- Environmental – die Umgebung des betroffenen Systems
Die Metriken werden in einem Vektor kodiert, zum Beispiel CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – dieser Vektor steht für einen Angriff über das Netzwerk ohne Privilegien und ohne Benutzerinteraktion mit voller Auswirkung auf alle Schutzziele und ergibt einen Score nahe 10,0.
Einstufung und Praxis
Der Zahlenwert wird qualitativ eingestuft: None (0), Low (0,1–3,9), Medium (4,0–6,9), High (7,0–8,9) und Critical (9,0–10,0). Die National Vulnerability Database (NVD) veröffentlicht für fast jeden CVE-Eintrag innerhalb weniger Tage einen Base Score. Wichtig: CVSS bewertet die technische Schwere, nicht das geschäftliche Risiko – ein Score allein ist noch keine Risikoentscheidung.
Versionen
Seit November 2023 existiert CVSS v4.0 mit den Metrikgruppen Base, Threat, Environmental und Supplemental. In der Praxis dominiert weiterhin CVSS v3.1 – NVD und viele Hersteller führen beide Scores, um die Umstellung zu erleichtern. Die qualitative Einstufung bleibt in v4.0 ähnlich.
CVSS arbeitet eng mit den anderen Standards des Schwachstellenmanagements zusammen: CVE identifiziert den Fall, CWE den Typ, CVSS die Schwere. Scanner, Patch-Management und Sicherheitsteams nutzen das gemeinsame Vokabular, um Befunde zu priorisieren – etwa die Lücke hinter einem Exploit, der im Umlauf ist.
Verwandte Grundlagen: CVE, CWE, Sicherheitslücke.