CVSS ist die Bewertung, die eine Sicherheitslücke technisch in eine Zahl von 0 bis 10 fasst. Die Abkürzung steht für Common Vulnerability Scoring System; gepflegt wird es von einem internationalen Zusammenschluss von Notfallteams.
- CVSS
Die Bewertung, die eine Sicherheitslücke technisch in eine Zahl von 0 bis 10 fasst.
Beispiel: „Der CVSS-Wert lag bei 9,8, weil die Lücke ohne Anmeldung aus dem Netz zu erreichen war.“Auch: Ab 9,0 gilt eine Lücke als kritisch, ab 7,0 als hoch. Die aktuelle Fassung 4.0 stammt aus dem Jahr 2023.
Abgrenzung zur CVE-Nummer: Die benennt die Lücke. CVSS bewertet, wie schwer sie technisch wiegt.
Woraus sich der CVSS-Wert ergibt
Aus einer Reihe von Merkmalen, die sich am Angriff selbst ablesen lassen: ob er über das Netz oder nur vor Ort möglich ist, wie aufwendig er ist, ob eine Anmeldung nötig ist, ob jemand mitwirken muss, und was danach mit Vertraulichkeit, Unversehrtheit und Verfügbarkeit geschieht. Aus dieser Kombination rechnet eine feste Formel den Grundwert.
Dazu kommen zwei weitere Gruppen, die in der Praxis kaum jemand ausfüllt: Angaben zur Bedrohungslage, etwa ob Angriffscode kursiert, und Angaben zur eigenen Umgebung. Wer sie benutzt, bekommt eine Zahl, die der eigenen Lage deutlich näher kommt.
Was die Fassung 4.0 geändert hat
Mehr Zwischentöne und eine klarere Trennung. Die neue Fassung unterscheidet genauer zwischen der Wirkung auf das angegriffene System und auf alles, was dahinter liegt, und sie bietet eigene Angaben für Geräte in Anlagen und Fahrzeugen. Der Umstieg lief über das Jahr 2025, weshalb in Meldungen noch beide Fassungen nebeneinander auftauchen.
Warum der CVSS-Wert allein nicht genügt
Weil er die eigene Lage nicht kennt. Dieselbe Lücke wiegt anders, je nachdem, ob das Bauteil im offenen Formular steckt oder hinter einer Anmeldung in einem abgetrennten Netz. Dazu kommt: Nur ein kleiner Teil der bewerteten Lücken wird je angegriffen. Für die Reihenfolge der Arbeit zählen deshalb zwei Fragen mehr als die Zahl, nämlich ob das Bauteil überhaupt läuft und ob für die Lücke bereits Angriffscode kursiert, siehe Exploit.