Schutz und Abwehr
CVE und CVSS
CVE ist die weltweit eindeutige Nummer einer Sicherheitslücke, CVSS bewertet ihre Schwere auf einer Skala von 0 bis 10.
Wenn in einer Software eine Sicherheitslücke bekannt wird, bekommt sie eine eindeutige Kennung, die CVE-Nummer (Common Vulnerabilities and Exposures). Sie besteht aus dem Jahr und einer laufenden Zahl, zum Beispiel in der Form CVE-2026-12345. So reden Hersteller, Sicherheitsfachleute und IT-Betreuer weltweit sicher von derselben Lücke.
Die zweite Angabe ist der CVSS-Wert (Common Vulnerability Scoring System). Er beschreibt auf einer Skala von 0 bis 10, wie gefährlich die Lücke grundsätzlich ist. Einfließen etwa, ob ein Angriff übers Internet möglich ist, ob der Angreifer vorher Zugangsdaten braucht und was er danach anrichten kann. Grob gilt: unter 4 niedrig, ab 4 mittel, ab 7 hoch, ab 9 kritisch.
Sicherheitswarnungen tragen deshalb fast immer beide Angaben. Eine Lücke mit 9,8 in einer Firewall, die vom Internet erreichbar ist, verlangt sofortiges Handeln. Der Wert sagt aber nichts darüber, ob Ihr Betrieb das betroffene Produkt überhaupt einsetzt. Das zeigt erst ein Abgleich mit dem eigenen IT-Inventar.
Die Antwort auf eine Warnung ist fast immer dieselbe: das Update einspielen, organisiert über Patch-Management.
Für Ihren Betrieb
Wenn Sie von einer kritischen Lücke hören, fragen Sie nach der CVE-Nummer und lassen Sie prüfen, ob sie Ihre Geräte betrifft. Das spart Aufregung und bringt Klarheit.