Warum CVSS in der Praxis an Grenzen stößt

Kontext ist entscheidend

CVSS basiert auf einer begrenzten Anzahl technischer Parameter und berücksichtigt nicht ausreichend, wo, wie und unter welchen Bedingungen eine Software tatsächlich eingesetzt wird. Eine Schwachstelle in einem weit verbreiteten Produkt kann theoretisch schwerwiegend erscheinen, in der Praxis aber nur in sehr speziellen Konfigurationen relevant sein. CVSS kann solche Unterschiede nur unzureichend abbilden.

Automatisierte und oberflächliche Bewertungen

Jede neue Schwachstelle (CVE) sollte idealerweise mit einem CVSS-Wert versehen werden. Fehlt dieser, werden die Angaben häufig von offiziellen Stellen oder nachgelagerten Systemen ergänzt – oft ohne tiefgehende Kenntnisse der jeweiligen Technologie, Produktarchitektur oder realen Einsatzszenarien.

Die Folge: Hunderttausende Schwachstellen werden standardisiert bewertet, ohne dass der tatsächliche betriebliche oder technische Kontext ausreichend berücksichtigt wird. Dadurch entstehen zwangsläufig Fehleinschätzungen. Manche Schwachstellen werden überbewertet, andere unterschätzt. Für Unternehmen führt das nicht selten zu unnötiger Alarmierung, falschen Prioritäten und ineffizientem Ressourceneinsatz.

Folgen fehlerhafter Bewertungen

Eine einzelne zu hoch angesetzte Bewertung kann ausreichen, damit zahlreiche Sicherheitsscanner ein Problem als kritisch kennzeichnen. In der Praxis führt das häufig dazu, dass Administratoren Systeme oder Komponenten vorschnell aktualisieren, anpassen oder sogar entfernen – nicht weil das tatsächliche Risiko dies zwingend erfordert, sondern um die Warnmeldung zu beseitigen.

So entsteht ein gefährlicher Effekt: Es wird intensiv auf Alarme reagiert, ohne dass sich das reale Risikoniveau im Unternehmen entsprechend verbessert.

Warum Unternehmen CVSS trotzdem weiterhin vertrauen

Trotz aller Einschränkungen ist CVSS tief im Sicherheitsökosystem verankert. Schwachstellenscanner, Reporting-Tools, Compliance-Berichte und SIEM-Systeme nutzen CVSS seit Jahren als einfach verständlichen und standardisierten Risikoindikator.

Dadurch ist ein Kreislauf entstanden, der sich selbst verstärkt:

• Scans basieren auf CVSS
• Unternehmen reagieren auf die resultierenden Warnmeldungen
• Auditoren und Prüfer kontrollieren die Einhaltung anhand derselben Logik
• das tatsächliche Risiko bleibt dabei jedoch oft unzureichend bewertet

CVSS hat dadurch in vielen Organisationen seine Rolle als technisches Bewertungsinstrument überschritten und wird zunehmend deshalb verwendet, weil es als etablierter Standard gilt – nicht unbedingt, weil es das tatsächliche Risiko realistisch abbildet.

Wie SecureVisio bei der Bewertung des tatsächlichen Schwachstellenrisikos unterstützt

SecureVisio erweitert den klassischen CVSS-basierten Ansatz um den entscheidenden Faktor: Kontext.

Der CVSS-Basiswert dient dabei lediglich als Ausgangspunkt. Anschließend berechnet SecureVisio einen individuellen Risikoindikator auf Basis technischer, infrastruktureller und geschäftlicher Zusammenhänge. Dabei fließen unter anderem folgende Faktoren ein:

• die Kritikalität des betroffenen Assets
  zum Beispiel Testsystem gegenüber produktionskritischem Server
• die Zuordnung zu Geschäftsprozessen
  etwa Zahlungsabwicklung oder Verarbeitung personenbezogener Daten
• vorhandene Sicherheitskontrollen
  wie Firewall, WAF oder EDR
• weitere Einflussfaktoren, die Eintrittswahrscheinlichkeit und Schadenspotenzial eines Vorfalls verändern

Dadurch entstehen Prioritäten, die den tatsächlichen Risikokontext widerspiegeln – und nicht nur einen isolierten numerischen Wert.

So kann beispielsweise eine Schwachstelle mit einem CVSS-Basiswert von 7,2 im SecureVisio-Panel eine höhere Priorität erhalten als eine Schwachstelle mit9,8, wenn sie ein geschäftskritisches oder in der DMZ exponiertes System betrifft.

Mehr Transparenz bei der Analyse von Schwachstellen

Bei der Untersuchung einzelner Schwachstellen stellt SecureVisio zusätzliche Kontextinformationen bereit. Administratoren können unter anderem erkennen:

• den Standort des betroffenen Assets, beispielsweise in der DMZ
• die zugewiesene Kritikalitätsstufe
• die Verknüpfung zu relevanten Geschäftsprozessen
• weitere damit zusammenhängende Schwachstellen

Die integrierte CMDB unterstützt zudem die Umgebungsanalyse. Dadurch lassen sich schnell weitere Systeme oder Anwendungen identifizieren, die sich in derselben Netzwerkzone befinden oder in direkter Beziehung zum betroffenen Asset stehen – etwa interne Applikationsserver, Testumgebungen oder angrenzende Infrastrukturdienste.

Bedrohungsanalyse statt isolierter Schwachstellenbewertung

SecureVisio betrachtet Schwachstellen nicht isoliert, sondern im Zusammenhang mit realistischen Angriffspfaden und bestehenden Schutzmechanismen.

Am Beispiel eines WordPress-Servers kann die Plattform potenzielle serverseitige Angriffsvektoren identifizieren und mögliche Kompromittierungspfade aufzeigen – von der extern erreichbaren Schicht bis hin zu internen Komponenten innerhalb der DMZ. Gleichzeitig werden bereits aktive Schutzmaßnahmen sichtbar gemacht, etwa:

• Web Application Firewalls
• Zugriffskontrollmechanismen
• weitere vorhandene Sicherheitskontrollen

Dadurch entsteht ein deutlich umfassenderes Lagebild als durch eine reine CVSS-Bewertung allein.

Fazit

CVSS ist ein hilfreicher technischer Referenzwert – aber kein verlässliches Abbild des tatsächlichen Risikos. Wer Schwachstellen ausschließlich anhand ihres CVSS-Scores priorisiert, läuft Gefahr, Ressourcen falsch einzusetzen und sich in falscher Sicherheit zu wiegen.

Erst durch die Einbeziehung von Kontextinformationen wie Asset-Kritikalität, Geschäftsrelevanz, Exponierung, Schutzmaßnahmen und Abhängigkeiten wird aus einer technischen Bewertung eine belastbare Risikoeinschätzung.

SecureVisio schafft genau diese Verbindung: Die Plattform ergänzt CVSS um infrastrukturellen und geschäftlichen Kontext und ermöglicht so eine Priorisierung, die sich an der realen Gefährdungslage orientiert. Unternehmen erkennen dadurch nicht nur, welche Schwachstellen vorhanden sind, sondern vor allem, welche davon tatsächlich handlungsrelevant sind.