Security-Glossar

Was ist CVSS?

CVSS, das Common Vulnerability Scoring System, wird von FIRST gepflegt und ist ein offener Standard, der den technischen Schweregrad einer Schwachstelle als Zahl von 0,0 bis 10,0 ausdrückt. So gibt es eine gemeinsame, nachvollziehbare Art, darüber zu sprechen, wie schwer ein Befund wiegt, und „hoher Schweregrad“ bedeutet in Berichten und Werkzeugen ungefähr dasselbe.

Wie der Score aufgebaut ist

Die gängigsten Metriken des Basiswerts beschreiben, wie eine Schwachstelle ausgenutzt wird und was sie betrifft: Angriffsvektor (Netzwerk, benachbart, lokal, physisch), Angriffskomplexität, erforderliche Privilegien, Benutzerinteraktion, Scope sowie die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Zusammen ergeben sie den Basiswert von 0 bis 10. Vexaro bewertet Befunde mit CVSS 3.1. FIRST veröffentlicht außerdem CVSS v4.0 (erschienen 2023), daher sollte ein Bericht angeben, welche Version er verwendet.

Die Schweregrad-Bänder

CVSS 3.1 ordnet die Zahl qualitativen Stufen zu: None (0,0), Low (0,1-3,9), Medium (4,0-6,9), High (7,0-8,9) und Critical (9,0-10,0). Diese Stufen meinen die meisten, wenn sie einen Befund „kritisch“ oder „mittel“ nennen, und mit ihnen lässt sich ein Bericht auf einen Blick nach Priorität sortieren.

Base, Temporal und Environmental

Der Basiswert erfasst den inhärenten Schweregrad, der sich im Lauf der Zeit nicht ändert. Zwei optionale Metrikgruppen verfeinern ihn: Temporal berücksichtigt Faktoren wie die Reife eines Exploits, Environmental passt ihn an Ihre konkrete Umgebung an. Ein Problem auf einem rein internen System kann zum Beispiel weniger schwer wiegen als dasselbe Problem auf einem System, das aus dem Internet erreichbar ist. Ein guter Bericht bleibt nicht beim Basiswert stehen, sondern übersetzt den Schweregrad in das Geschäftsrisiko im Kontext.

Was CVSS ist und was nicht

CVSS misst den Schweregrad einer Software-Schwachstelle. Für sich genommen ist es kein Risikowert und nicht für reine Konfigurations- oder Compliance-Befunde gedacht, die sich besser am Schweregrad des jeweiligen Benchmarks bewerten lassen. Nehmen Sie den Basiswert als einheitlichen Ausgangspunkt und wägen Sie dann Ausnutzbarkeit und Auswirkung in Ihrem Kontext ab. Genau so nutzt ihn ein guter Pentest-Bericht.

Häufig gestellte Fragen

CVSS, das Common Vulnerability Scoring System, ist ein von FIRST gepflegter offener Standard, der den technischen Schweregrad einer Schwachstelle als Zahl von 0,0 bis 10,0 ausdrückt. So bedeutet „hoher Schweregrad“ in Berichten und Werkzeugen ungefähr dasselbe. Vexaro bewertet Befunde mit CVSS 3.1. FIRST veröffentlicht außerdem v4.0, daher sollte ein Bericht angeben, welche Version er verwendet.

CVSS 3.1 ordnet den Basiswert qualitativen Stufen zu: None (0,0), Low (0,1-3,9), Medium (4,0-6,9), High (7,0-8,9) und Critical (9,0-10,0). Diese Stufen meinen die meisten, wenn sie einen Befund „kritisch“ oder „mittel“ nennen, und mit ihnen lässt sich ein Bericht auf einen Blick nach Priorität sortieren.

Nein. CVSS misst den technischen Schweregrad einer Schwachstelle, nicht das Risiko an sich, und ist nicht für reine Konfigurations- oder Compliance-Befunde gedacht. Der Basiswert ist ein einheitlicher Ausgangspunkt. Die Temporal- und Environmental-Metriken (etwa ob ein System nur intern erreichbar oder aus dem Internet zugänglich ist) helfen, ihn im Kontext in Geschäftsrisiko zu übersetzen.

Sprechen Sie mit einem echten Praktiker.

Eine Frage, die diese Seiten nicht beantwortet haben? Sagen Sie uns, was Sie schützen möchten, und wir weisen Ihnen den Weg zum passenden Projekt. Die Erstberatung ist kostenlos.