IT SBIT Services
Schneeberger
DEEN
CVE-Tracker

Begriffe erklärt

Was bedeuten CVSS, EPSS, KEV oder Zero-Day? Kurz und verständlich erklärt – damit klar ist, was die Zahlen auf dieser Seite aussagen.

CVE
Common Vulnerabilities and Exposures: eine weltweit eindeutige Nummer für eine öffentlich bekannte Sicherheitslücke, z. B. CVE-2026-12345. So sprechen Hersteller, Behörden und Fachleute sicher von derselben Lücke.
NVD
National Vulnerability Database des US-Instituts NIST: öffentliche Datenbank aller CVE mit Bewertung (CVSS), betroffenen Produkten und Referenzen. Hauptquelle dieses Trackers.
CNA
CVE Numbering Authority: eine Organisation, die CVE-Nummern vergeben darf – meist der Hersteller selbst, z. B. Microsoft oder Adobe. Darüber ordnen wir eine CVE dem Patch-Tag des Herstellers zu.
CVSS (Score 0–10)
Common Vulnerability Scoring System des FIRST: bewertet die technische Schwere einer Lücke von 0 bis 10 – etwa ob sie übers Netzwerk ohne Anmeldung ausnutzbar ist und was ein Angreifer danach kann. Der Wert sagt nicht, ob die Lücke tatsächlich angegriffen wird.
Schweregrad
Stufe aus dem CVSS-Wert: kritisch 9.0–10.0, hoch 7.0–8.9, mittel 4.0–6.9, niedrig 0.1–3.9. Microsoft nutzt eine eigene Skala (kritisch, hoch, mittel, niedrig), die sich nach den Folgen in typischen Einsatzszenarien richtet.
EPSS und Perzentil
Exploit Prediction Scoring System des FIRST: täglich neu berechnete Wahrscheinlichkeit (0–100 %), dass eine Lücke in den nächsten 30 Tagen ausgenutzt wird. Das Perzentil vergleicht mit allen CVE: 95. Perzentil heisst, der Wert ist höher als bei 95 % aller CVE.
KEV (aktiv ausgenutzt)
Known Exploited Vulnerabilities: Katalog der US-Behörde CISA mit Lücken, deren Ausnutzung in der Praxis belegt ist. US-Bundesbehörden müssen sie bis zu einer Frist beheben – für alle anderen ein klares Signal, sofort zu handeln.
SSVC (Einschätzung der CISA)
Stakeholder-Specific Vulnerability Categorization: Entscheidungshilfe, mit der die CISA neue CVE bewertet (Programm Vulnrichment). Ausnutzung: keine bekannt, Proof of Concept öffentlich oder aktiv ausgenutzt. Automatisierbar: ob ein Angreifer die Ausnutzung ohne menschliches Zutun wiederholen kann. Technische Auswirkung: teilweise oder vollständig (volle Kontrolle über das betroffene System).
Zero-Day
Eine Lücke, die bereits ausgenutzt wird oder öffentlich bekannt ist, bevor der Hersteller ein Update bereitstellt. Am Patch Tuesday kennzeichnet Microsoft solche Lücken als „ausgenutzt“ bzw. „öffentlich bekannt“.
Öffentlich bekannt
Angabe von Microsoft: Details zur Lücke waren schon vor dem Update öffentlich, z. B. in einem Fachbeitrag. Angreifer konnten sich also vorbereiten, auch wenn noch keine Angriffe bekannt sind.
Proof of Concept (PoC)
Öffentlicher Code, der zeigt, dass eine Lücke tatsächlich ausnutzbar ist. Wir verweisen auf die Sammlung PoC-in-GitHub; die Repositories sind nicht geprüft und können selbst Schadcode enthalten.
Metasploit-Modul
Metasploit (Rapid7) ist ein verbreitetes Werkzeug für Penetrationstests. Gibt es ein Modul, lässt sich die Lücke mit wenig Aufwand ausnutzen – das Risiko steigt deutlich.
Exploit-DB
Öffentliches Archiv von Exploits, betrieben von OffSec. Ein Eintrag heisst: Angriffscode ist frei verfügbar. Wir zeigen nur Verweise, keinen Code.
Patch Tuesday
Der monatliche Update-Tag von Microsoft: der 2. Dienstag im Monat, gegen 10 Uhr Pazifikzeit (in der Schweiz meist 19 Uhr). Viele weitere Hersteller veröffentlichen am selben Tag.
MSRC
Microsoft Security Response Center: veröffentlicht im Security Update Guide alle von Microsoft behobenen Lücken. Wir lesen die offizielle Schnittstelle (CVRF) aus.
Einschätzung der Ausnutzbarkeit
Exploitability Index von Microsoft: wie wahrscheinlich ein Angriff ist – festgestellt, wahrscheinlicher, weniger wahrscheinlich oder unwahrscheinlich.
Critical Patch Update
So nennt Oracle seine vierteljährlichen Sammel-Updates (3. Dienstag im Januar, April, Juli und Oktober). Seit Mai 2026 kommt in den übrigen Monaten das Critical Security Patch Update dazu.
Patch-Tag
Ein fester, im Voraus bekannter Termin, an dem ein Hersteller Sicherheitsupdates gebündelt veröffentlicht. IT-Abteilungen können so Tests und Installation planen. Dringende Lücken werden trotzdem ausserhalb des Termins geschlossen (Out-of-Band).
Out-of-Band
Ein Update ausserhalb des festen Patch-Tags – meist, weil eine Lücke schon angegriffen wird und nicht bis zum nächsten Termin warten kann.
Auswirkungsarten
Was ein Angreifer mit der Lücke erreichen kann:
  • Remotecodeausführung (Remote Code Execution): eigener Code läuft auf dem angegriffenen System, oft über das Netzwerk – meist die gefährlichste Art.
  • Rechteausweitung (Elevation of Privilege): wer schon eingeschränkten Zugang hat, erlangt höhere Rechte, etwa Administrator oder SYSTEM.
  • Offenlegung von Informationen (Information Disclosure): geschützte Daten wie Speicherinhalte, Kennwörter oder Dateien werden lesbar.
  • Dienstverweigerung (Denial of Service, DoS): ein Dienst oder System wird zum Absturz gebracht oder lahmgelegt.
  • Umgehung von Sicherheitsfunktionen (Security Feature Bypass): ein Schutz wie Mark of the Web oder Secure Boot wird ausgehebelt.
  • Spoofing: der Angreifer gibt sich als jemand anderes aus oder fälscht Inhalte, etwa eine Absenderadresse oder Anzeige.
  • Manipulation (Tampering): Daten oder Einstellungen lassen sich unbefugt verändern.
Betroffene Produkte und Versionen
Welche Programme in welchen Versionen die Lücke enthalten. „Behoben in“ nennt die erste Version mit der Korrektur – alle älteren sind verwundbar.
KB-Nummer und Update
Microsoft-Updates tragen eine Nummer der Knowledge Base, z. B. KB5126836. Darüber findet man das Paket im Microsoft Update-Katalog oder in WSUS/Intune. Andere Hersteller nennen Versionen oder Patches.

Quellen

Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:

Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.

Betroffen? Wir helfen.

Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.

Kontakt aufnehmenRSS-Feed