CVSS – Definition und Bedeutung

Key Facts

Ausführliche Erklärung

Einführung in CVSS

Das Common Vulnerability Scoring System (CVSS) ist ein offener, herstellerneutraler Standard, der zur Bewertung des Schweregrads von Software-Schwachstellen dient. CVSS wurde im Jahr 2005 eingeführt und basiert auf einem Forschungsprojekt, das bereits 2003 begonnen wurde. Die Entwicklung und Pflege des Systems erfolgt durch die Non-Profit-Organisation FIRST.org (Forum of Incident Response and Security Teams). Die Skala von CVSS reicht von 0,0 bis 10,0, wobei höhere Werte eine größere Bedrohung anzeigen. Ziel des CVSS ist es, technische Details zu Schwachstellen in einen leicht verständlichen Score zu übersetzen, damit Entscheidungsträger Ressourcen gezielt priorisieren können.

Aufbau und Metriken von CVSS

CVSS bewertet Schwachstellen anhand einer Skala, die sich in vier Schweregrad-Kategorien unterteilt: niedrig, mittel, hoch und kritisch. Um diese Bewertungen zu erzielen, nutzt CVSS drei Hauptgruppen von Metriken: Basis-Metriken, Temporäre Metriken und Umgebungsmetriken. Diese Metriken sind wie folgt definiert:

• Basis-Metriken: Diese Metriken evaluieren die intrinsischen Eigenschaften einer Schwachstelle, die während ihrer gesamten Lebensdauer stabil bleiben.
• Temporäre Metriken: Diese Metriken berücksichtigen Faktoren, die sich im Laufe der Zeit ändern können, wie z. B. die Verfügbarkeit von Exploits oder die Bekanntheit der Schwachstelle.
• Umgebungsmetriken: Diese Metriken reflektieren die spezifische Umgebung, in der die Schwachstelle existiert, und berücksichtigen, wie die Schwachstelle in einem bestimmten Kontext wirkt.

Mit der Einführung von CVSS v4.0 am 1. November 2023 wurde eine umfassende Überarbeitung der Metriken und der Nomenklatur vorgenommen. Eine der wesentlichen Neuerungen ist die Kategorisierung der Benutzerinteraktion als aktiv oder passiv. Dies soll Bewertungs-Unstimmigkeiten, die in früheren Versionen aufgetreten sind, verringern.

Relevanz von CVSS im Schwachstellenmanagement

Die Relevanz von CVSS für das Schwachstellenmanagement wächst kontinuierlich. Im Jahr 2024 wurden 32 % mehr Schwachstellen eingereicht als im Vorjahr, was die Notwendigkeit eines standardisierten Bewertungssystems unterstreicht. Die Gesamtzahl bekannter Schwachstellen stieg von 10.702 im vierten Quartal 2025 auf 10.806 im ersten Quartal 2026, was auf einen kontinuierlichen Anstieg der Angriffsfläche hinweist. In diesem Kontext wird CVSS oft mit dem Common Vulnerabilities and Exposures (CVE)-System kombiniert, um Schwachstellen eindeutig zu kategorisieren und ihre Bedrohungsstufe objektiv zu bestimmen.

Typischer Ablauf der CVSS-Bewertung

Der typische Ablauf zur Bewertung einer Schwachstelle mit CVSS erfolgt in mehreren Schritten:

1. Identifizierung der Schwachstelle: Die Schwachstelle wird identifiziert und ihre technischen Details werden erfasst.
2. Erfassung der Basis-Metriken: Die relevanten Basis-Metriken werden ermittelt, um die intrinsischen Eigenschaften der Schwachstelle zu bewerten.
3. Erfassung der temporären und umgebungsabhängigen Metriken: Es werden relevante temporäre und umgebungsabhängige Faktoren berücksichtigt, um eine umfassende Bewertung zu erhalten.
4. Berechnung des CVSS-Scores: Anhand der gesammelten Metriken wird der CVSS-Score berechnet.
5. Dokumentation und Kommunikation: Der ermittelte Score wird dokumentiert und an relevante Stakeholder kommuniziert, um geeignete Maßnahmen zur Behebung der Schwachstelle zu ergreifen.

Abgrenzung zu anderen Bewertungssystemen

CVSS zeichnet sich durch seine offene und herstellerneutrale Natur aus, was es von anderen Bewertungssystemen unterscheidet. Während es andere Standards zur Schwachstellenbewertung gibt, wie etwa das OWASP Risk Rating Methodology, bietet CVSS eine einheitliche und weit akzeptierte Grundlage, die sowohl von Sicherheitsforschern als auch von Unternehmen weltweit genutzt wird. Diese breite Akzeptanz ermöglicht eine Vergleichbarkeit und einen einheitlichen Umgang mit Schwachstellen in verschiedenen Software- und Systemumgebungen.

Zusammengefasst ist CVSS ein essenzielles Werkzeug im Bereich der IT-Sicherheit, das es ermöglicht, Schwachstellen systematisch zu bewerten, ihre Schwere zu klassifizieren und Prioritäten im Schwachstellenmanagement zu setzen. Mit der Einführung von CVSS v4.0 wird das System kontinuierlich weiterentwickelt, um den sich verändernden Sicherheitsanforderungen gerecht zu werden.

Typische Einsatzgebiete

• Bewertung von Sicherheitslücken in Software
• Priorisierung von Schwachstellenmanagement-Maßnahmen

Vorteile

• Bietet eine standardisierte Bewertung von Schwachstellen
• Hilft Entscheidungsträgern, Ressourcen gezielt zu priorisieren

Nachteile

• Kann komplex sein und erfordert Verständnis der Metriken
• Mögliche Missinterpretationen der Scores

Praxisbeispiel

Ein Beispiel für die Anwendung von CVSS ist die Bewertung einer kritischen Schwachstelle in einer Webanwendung, die zu einem Score von 9,8 führt, was auf eine hohe Bedrohung hinweist. Bei Code

...

Voraussetzungen

• Grundkenntnisse in IT-Sicherheit
• Vertrautheit mit Schwachstellenmanagement

Typische Tools

• CVSS Calculator – Zur Berechnung von CVSS-Scores

Häufige Fehler

• Unterschätzung der Bedeutung der Benutzerinteraktion
• Ignorieren temporärer und umgebungsbezogener Metriken

Best Practices

• Regelmäßige Aktualisierung der CVSS-Werte
• Schulung von Mitarbeitern im Umgang mit CVSS

Vergleich mit ähnlichen Technologien

Lernpfad

1. Verstehen der CVSS-Metriken – Lernen, wie die Basis-, Temporären und Umgebungsmetriken zur Bewertung von Schwachstellen verwendet werden.
2. Anwendung von CVSS in der Praxis – Praktische Anwendung von CVSS zur Priorisierung von Schwachstellen in der IT-Sicherheit.
3. Interpretation von CVSS-Scores – Erlernen, wie man CVSS-Scores interpretiert und in Entscheidungsprozesse integriert.

Zertifizierungen

• Certified Vulnerability Assessor (International Association for Privacy Professionals (IAPP))
• Certified Information Systems Security Professional (CISSP) ((ISC)²)

Aktuelle Nachfrage am Arbeitsmarkt

Die Nachfrage nach Fachkräften im Bereich IT-Sicherheit, insbesondere im Umgang mit Schwachstellenmanagement und CVSS, ist in Deutschland hoch. Unternehmen suchen zunehmend nach Experten, die in der Lage sind, Schwachstellen effektiv zu bewerten und zu priorisieren, um Sicherheitsrisiken zu minimieren.

Typische Berufe

• IT-Sicherheitsanalyst
• Vulnerability Management Specialist
• Security Consultant

Gehaltsbereich

ca. 50.000 – 80.000 € brutto pro Jahr (Deutschland). Die Gehälter variieren je nach Erfahrung und Region, wobei erfahrene Fachkräfte in Ballungsgebieten tendenziell höhere Gehälter erzielen.

Passende Jobs

Passende offene IT-Stellen findest du in der Jobsuche für CVSS auf Jobriver. Gehaltsdaten liefert der Gehaltsvergleich.