Was ist eine Schwachstelle?
Ein Fehler oder eine Schwäche, die Angreifer ausnutzen können.
- Software-Bug, Fehlkonfiguration oder Design-Fehler
- Ausnutzung durch einen Exploit
- Ziel des Managements: schneller schließen als Angreifer nutzen
CVE
Common Vulnerabilities and Exposures – der weltweite Katalog eindeutiger Kennungen.
Format: CVE-2024-12345 (Präfix – Jahr – laufende Nummer).
- Vergeben von MITRE und CNAs (CVE Numbering Authorities)
- Eine ID pro Schwachstelle – herstellerübergreifend eindeutig
- Grundlage für Advisories und Scanner
CVSS-Score
Common Vulnerability Scoring System – bewertet den Schweregrad von 0 bis 10.
Niedrig / Mittel
0,1–3,9 / 4,0–6,9 – geringeres Risiko.
Hoch / Kritisch
7,0–8,9 / 9,0–10,0 – dringend handeln.
- Base-, Temporal- und Environmental-Metriken
- Berücksichtigt Angriffsweg, Komplexität, Auswirkung
- Hilft bei der Priorisierung – ersetzt aber keinen Kontext
Zero-Day
Eine Lücke, für die es noch keinen Patch gibt – der Hersteller hatte „null Tage“ Zeit.
- Besonders gefährlich, da keine Standardabwehr
- Zwischenlösung: Workarounds, Härtung, Monitoring
- Wird oft teuer gehandelt und gezielt eingesetzt
Der Management-Prozess
Schwachstellen-Management ist ein Kreislauf, kein Einmal-Projekt.
Scannen → Priorisieren → Beheben → Verifizieren → wiederholen.
- Regelmäßige Scans (z. B. Nessus, OpenVAS, Qualys)
- Priorisieren nach Score + Exposition + Ausnutzung
- Nach dem Patch erneut prüfen (Verifizierung)
Vom Advisory zur Aktion
Zwei Fragen entscheiden über die Dringlichkeit: Bin ich betroffen? Ist das System erreichbar?
- Betroffene Versionen abgleichen
- Workaround oder Patch einspielen
- Nachverfolgen bis zur Verifizierung
Das Wichtigste
CVE benennt, CVSS bewertet, der Prozess priorisiert – entscheidend ist, ob eine Lücke aktiv ausgenutzt und erreichbar ist.
- CVE = eindeutige ID, CVSS = Schweregrad 0–10
- Zero-Day = Lücke ohne Patch
- Management ist ein Kreislauf mit Verifizierung