Security · 20.9.2026
Die US-Behörde CISA verabschiedet sich vom CVSS-Wert als alleinigem Maßstab für Patch-Fristen. IT-Verantwortliche müssen ihre Priorisierung anpassen.
Die US-Sicherheitsbehörde CISA hat den Common Vulnerability Scoring System (CVSS)-Wert als alleinigen Maßstab für die Festlegung von Patch-Fristen verabschiedet. Stattdessen rückt ein risikobasierter Ansatz (Risk-Based Patching) in den Fokus, der auf praxisnahen Entscheidungsfragen basiert. IT-Abteilungen müssen umdenken, da die reine Orientierung an rein theoretischen CVSS-Scores oft zu einem ineffizienten Ressourceneinsatz führt.
Für IT-Verantwortliche und Administratoren im DACH-Raum ist diese Kehrtwende von großer Bedeutung. Viele Unternehmen priorisieren Updates bisher stur nach der nominellen Schwere einer Schwachstelle. Dabei wird jedoch vernachlässigt, ob für die Sicherheitslücke überhaupt ein aktiver Exploit existiert oder ob das betroffene System im eigenen Netzwerk exponiert ist. Ein stures Abarbeiten nach CVSS führt dazu, dass kritische Ressourcen für theoretische Bedrohungen verschwendet werden, während tatsächlich ausgenutzte, aber niedriger bewertete Lücken offenbleiben. Dies erhöht das reale Risiko für Ransomware-Angriffe signifikant.
IT-Verantwortliche sollten ihre Patch-Management-Prozesse modernisieren und auf ein risikobasiertes Modell umstellen. Konkret bedeutet dies, Schwachstellen anhand von praxisrelevanten Kernfragen zu bewerten:
Zudem empfiehlt sich die Nutzung von Datenbanken wie dem CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) als primäre Priorisierungsquelle. Auch der Einsatz moderner Lizenzlösungen für Schwachstellen-Scanner, die Echtzeit-Bedrohungsdaten einbeziehen, sollte geprüft werden.
Der Abschied vom reinen CVSS-Fokus ist ein wichtiger Schritt hin zu mehr Effizienz in der IT-Sicherheit. Admins sollten den Fokus auf die tatsächliche Bedrohungslage legen, statt blind rein statistische Zahlenwerte abzuarbeiten.
Quelle: Golem Security