Eine Befundliste ist noch keine Priorität

Montagmorgen. Der Schwachstellenscanner meldet viertausend Befunde, sechshundert davon kritisch. Im Postfach liegt der Pentest-Bericht mit vierzig Feststellungen. Die Analyse der Angriffsfläche zeigt ein Dutzend Dienste, die aus dem Internet erreichbar sind. Jede dieser Listen stimmt. Zusammen sind sie nicht abzuarbeiten, nicht in diesem Quartal und nicht im nächsten.

Die übliche Antwort ist eine Sortierung nach CVSS-Wert, von oben nach unten. Das fühlt sich methodisch an und führt trotzdem oft an der falschen Stelle zuerst vorbei.

Was das Gesetz verlangt

Das BSI-Gesetz, mit dem NIS2 umgesetzt wurde, zählt in § 30 Absatz 2 die Mindestinhalte des Risikomanagements auf. Zwei davon betreffen genau diese Listen. Nummer 5 verlangt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung

„einschließlich Management und Offenlegung von Schwachstellen“

und Nummer 6

„Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“

Management, nicht vollständige Beseitigung. Und schon Absatz 1 nennt als Maßstab für die Verhältnismäßigkeit unter anderem „das Ausmaß der Risikoexposition“. Gefragt ist also eine begründete Reihenfolge und der Nachweis, dass sie wirkt.

Warum CVSS allein falsch sortiert

Der CVSS-Wert beschreibt, wie schwer eine Schwachstelle wäre, wenn sie ausgenutzt wird. Er sagt nicht, ob sie ausgenutzt wird. Dafür gibt es zwei öffentliche Signale: den Katalog bekanntermaßen ausgenutzter Schwachstellen (KEV) der US-Behörde CISA und das Exploit Prediction Scoring System (EPSS) von FIRST, das die Wahrscheinlichkeit einer Ausnutzung schätzt.

Eine Schwachstelle mit CVSS 7, die gerade aktiv ausgenutzt wird, gehört vor eine mit CVSS 9,8, für die es keinen bekannten Angriff gibt. Und beide gehören nach hinten, wenn das betroffene System weder erreichbar ist noch einen wichtigen Prozess trägt.

Fünf Stufen statt einer Liste

Continuous Threat Exposure Management, kurz CTEM, ist kein Werkzeug, sondern ein Kreislauf in fünf Stufen, 2022 von Gartner beschrieben:

• Scoping: Was ist uns wichtig? Systeme werden nach Geschäftsprozess, Standort oder Gruppe zusammengefasst und nach Kritikalität eingestuft.
• Discovery: Alle Quellen werden zusammengeführt, statt jede für sich zu lesen.
• Priorisierung: Tatsächliche Ausnutzung vor Wahrscheinlichkeit vor Schwere, gewichtet mit der Bedeutung des Systems.
• Validierung: Ist der Befund hier wirklich ausnutzbar? Ein Pentest-Nachweis wiegt mehr als ein Scannertreffer.
• Mobilisierung: Behebung mit Verantwortlichen und Termin, und danach die Messung, ob die Exposition gesunken ist.

Die letzte Stufe ist die, die § 30 Absatz 2 Nummer 6 meint: nicht die Zahl der geschlossenen Tickets, sondern die Frage, ob die Lage besser geworden ist.

Wie isidaten das abbildet

Das Exposure-Management liest nachts die verfügbaren Quellen zusammen, etwa CVE-Treffer, Befunde der Angriffsfläche, Greenbone und Pentest-Feststellungen. Eine Quelle, die in einer Nacht nicht gelesen werden konnte, schließt keine Befunde, denn sie hat nichts bewiesen. Die Priorität folgt der Reihenfolge KEV vor EPSS vor CVSS, ein bereitstehender Patch hebt sie, und der Exploit-Nachweis eines Pentests zählt als eigenes Signal. Der Score eines Systems ist ein abklingendes Maximum: Der höchste Befund zählt voll, der zweite halb, der dritte zu einem Viertel, sodass ein einzelner kritischer Treffer nie in der Masse untergeht. Validierungsnachweise laufen ab, und hoch exponierte Systeme ohne gültigen Nachweis erscheinen als Lücke.

Die Prüffrage

Welche drei Ihrer offenen Schwachstellen werden gerade tatsächlich ausgenutzt, und auf welchen Systemen liegen sie?

Wenn die Antwort in einer Tabelle steht, die nach CVSS sortiert ist, haben Sie eine Befundliste. Eine Priorität ist das noch nicht.

Quellen

BSI-Gesetz (BSIG), § 30 Abs. 1 und 2 Nr. 5 und 6. CISA Known Exploited Vulnerabilities Catalog. FIRST, Exploit Prediction Scoring System (EPSS).