CVSS-Score

In fast jedem Programm stecken Fehler. Manche davon kann ein Angreifer ausnutzen, um an fremde Daten zu kommen oder einen Computer fernzusteuern. Solche Fehler nennt man Sicherheitslücken. Damit alle Beteiligten gleich über ihre Gefährlichkeit sprechen, gibt es eine einheitliche Bewertungsskala: den CVSS-Score. Er reicht von 0,0 bis 10,0, wobei 10,0 der schlimmste Fall ist. Die Abkürzung steht für Common Vulnerability Scoring System, also etwa « gemeinsames System zur Bewertung von Schwachstellen ».

Warum eine 9,8 den Feierabend kostet

Ein großes Unternehmen betreibt oft tausende Server und Programme. Jede Woche werden neue Lücken bekannt, manchmal hunderte. Niemand kann alles gleichzeitig reparieren. Der Score sortiert diese Flut. Alles ab 9,0 gilt als kritisch und wird meist sofort behandelt, notfalls nachts oder am Wochenende.

Die Zahl hat außerdem rechtliche und vertragliche Folgen. Viele Verträge zwischen Firmen und ihren IT-Dienstleistern nennen Fristen, die direkt an den Score gekoppelt sind. Eine kritische Lücke muss dann etwa binnen 24 Stunden geschlossen sein, eine mittlere binnen 30 Tagen. Auch Behörden und Versicherer greifen auf die Skala zurück, weil sie herstellerunabhängig ist.

Ein verbreiteter Irrtum ist, dass ein hoher Score automatisch echte Gefahr bedeutet. Der Wert beschreibt nur das theoretische Schadenspotenzial. Wenn die betroffene Software bei dir gar nicht läuft oder der Server ohnehin vom Internet abgeschnitten ist, ist die Lücke praktisch harmlos. Deshalb ergänzen Fachleute den Score immer durch den Blick auf die eigene Umgebung.

Woraus sich die Zahl zusammensetzt

Der Score fällt nicht vom Himmel, sondern wird nach festen Regeln berechnet. Dafür beantwortet man eine Reihe von Fragen zur Lücke. Kann der Angreifer sie über das Internet ausnutzen oder muss er im selben Raum am Gerät sitzen? Braucht er ein gültiges Passwort? Muss ein Nutzer mithelfen, etwa indem er auf einen Link klickt? Je einfacher der Angriff, desto höher der Wert.

Dazu kommt die Frage nach dem Schaden. Bewertet werden drei Dinge getrennt: ob Daten mitgelesen werden können, ob sie verändert werden können und ob der Dienst ausfällt. Eine Lücke, die alle drei Bereiche vollständig trifft und dazu noch ohne Passwort aus dem Netz funktioniert, landet bei 10,0. Aus all diesen Antworten macht eine feste Formel eine einzige Zahl.

Man kann sich das wie den Wirkungsgrad eines Einbruchs vorstellen. Eine unverschlossene Terrassentür in einem leeren Gartenhaus ist etwas anderes als eine offene Tresortür in einer Bank. Beides sind Sicherheitsmängel, aber der mögliche Schaden unterscheidet sich stark. Neben dem Grundwert gibt es optionale Zusatzwerte, etwa ob bereits fertiger Angriffscode kursiert. Diese werden in der Praxis aber seltener gepflegt.

Wo dir die Zahl in News und Software begegnet

Jede öffentlich bekannte Lücke bekommt eine Kennnummer, die mit « CVE » beginnt, zum Beispiel CVE-2021-44228. In der zugehörigen Meldung steht fast immer auch der CVSS-Score. Sicherheitsmeldungen von Microsoft, Apple oder Linux-Anbietern führen ihn ebenso auf wie die Warnungen des Bundesamts für Sicherheit in der Informationstechnik.

Auch in der Wirtschaftspresse taucht die Zahl auf. Als Ende 2021 die Lücke « Log4Shell » in einer weit verbreiteten Java-Bibliothek bekannt wurde, war der Score 10,0. Diese Zahl stand in fast jeder Schlagzeile, weil sie den Ernst der Lage in einem Wort transportierte. Für Anleger ist sie ein grobes Signal, wie teuer ein Sicherheitsvorfall für ein Unternehmen werden könnte.

Selbst als Privatperson profitierst du indirekt davon. Wenn dein Handy oder dein Browser ein dringendes Update meldet, steckt dahinter oft eine hoch bewertete Lücke. Programmierwerkzeuge prüfen automatisch, ob ein Projekt verwundbare Bausteine enthält, und zeigen deren Score an. Wer beruflich mit IT zu tun hat, begegnet der Skala daher fast täglich.