(g+) Risk-Based Patching: Warum der Cvss-Wert allein in die Irre führt

Ein Paradigmenwechsel in der Cybersicherheit

Die US-amerikanische Cybersicherheitsbehörde Cisa hat einen grundlegenden Kurswechsel in der Bewertung und Priorisierung von Sicherheitslücken vollzogen. Mit der Einführung der Binding Operational Directive 26-04, die seit dem 10. Juni 2026 in der US-Bundesverwaltung Anwendung findet, wurde der bisher als Standard geltende CVSS-Wert (Common Vulnerability Scoring System) als alleiniges Maß für die Dringlichkeit von Patch-Maßnahmen de facto abgeschafft. Anstatt sich auf die theoretische Schwere einer Sicherheitslücke zu verlassen, fokussiert sich die Behörde nun auf ein risikobasiertes Modell. Dieses System sortiert jede identifizierte Schwachstelle in eine von fünf spezifischen Fristen ein, innerhalb derer die betroffenen Systeme aktualisiert werden müssen. Die Entscheidung, den CVSS-Wert aus dieser Gleichung zu streichen, markiert eine Abkehr von rein technischen Metriken hin zu einer pragmatischen, an der tatsächlichen Bedrohungslage orientierten Vorgehensweise, die das Ziel verfolgt, die Reaktionszeiten auf reale Angriffe signifikant zu verkürzen und Ressourcen dort einzusetzen, wo sie den größten Schutz bieten.

Konkrete Anwendung am Beispiel aktueller Bedrohungen

Die praktische Umsetzung dieses neuen Ansatzes wurde am 11. September 2026 deutlich, als die Cisa vier spezifische Schwachstellen in ihren Katalog der aktiv ausgenutzten Lücken aufnahm. Die Behörde legte dabei unterschiedliche Zeitrahmen für die Behebung fest, die nicht auf dem Schweregrad basierten. So mussten die Sicherheitslücken in Connectwise Screenconnect sowie in Gitlab innerhalb von nur drei Tagen geschlossen werden. Im Gegensatz dazu erhielten die Schwachstellen in Jfrog Artifactory eine Frist von 14 Tagen. Alle vier genannten Lücken wurden zu diesem Zeitpunkt bereits aktiv von Angreifern in der Praxis attackiert. Dass die Cisa hier unterschiedliche Zeitfenster vorgibt, verdeutlicht, dass der CVSS-Wert als alleiniges Kriterium in die Irre führen kann. Die Zuweisung der Fristen folgt nun einem festen Schema, das auf vier gezielten Fragen basiert, die für jede Schwachstelle beantwortet werden müssen. Diese methodische Neuerung soll sicherstellen, dass Administratoren und Sicherheitsteams nicht mehr durch statische Scores in die Irre geführt werden, sondern eine klare, handlungsleitende Vorgabe erhalten, die den tatsächlichen Gefahrengrad für die Infrastruktur widerspiegelt.

Der Hintergrund der neuen Direktive

Die Entwicklung hin zu diesem risikobasierten Patching-Modell ist das Ergebnis einer längeren Auseinandersetzung mit der Effektivität bestehender Sicherheitsstandards. Die Binding Operational Directive 26-04 ist das Resultat der Erkenntnis, dass der CVSS-Wert zwar eine theoretische Einordnung ermöglicht, jedoch oft keine Aussage darüber trifft, wie dringend eine Lücke in einer realen Angriffsumgebung tatsächlich geschlossen werden muss. In der Vergangenheit führte die strikte Orientierung an hohen CVSS-Werten häufig dazu, dass IT-Abteilungen ihre Kapazitäten für Lücken aufwendeten, die zwar theoretisch gefährlich waren, aber in der Praxis kaum ausgenutzt wurden. Gleichzeitig konnten kritische Lücken mit niedrigeren Werten unter dem Radar bleiben. Mit der neuen Direktive versucht die Cisa, diesen Missstand zu beheben. Die Behörde reagiert damit auf die zunehmende Professionalisierung von Cyberangriffen, bei denen Angreifer gezielt Schwachstellen ausnutzen, die schnell und effizient zu einem Systemkompromiss führen können, ungeachtet ihrer theoretischen Klassifizierung in den klassischen Datenbanken.

Die Rolle der Cisa und die betroffenen Akteure

Die Cisa nimmt hierbei eine zentrale steuernde Rolle ein, indem sie durch die Binding Operational Directive 26-04 verbindliche Vorgaben für die US-Bundesverwaltung schafft. Die Behörde fungiert dabei nicht nur als Überwachungsinstanz, sondern auch als Taktgeber für eine sicherere IT-Infrastruktur. Betroffen sind in erster Linie die IT-Verantwortlichen und Sicherheitsteams innerhalb der US-Behörden, die nun ihre Prozesse an das neue vierstufige Fragenmodell anpassen müssen. Doch auch für kleine Teams außerhalb der US-Bundesverwaltung bietet das Modell eine Orientierungshilfe. Der Ratgeber von Steffen Zahn betont, dass das System auch ohne ein hochkomplexes Schwachstellenmanagement übernommen werden kann, da es auf einer simplen Ja-Nein-Logik basiert. Die Akteure sind dazu angehalten, die vier Fragen konsequent auf jede neue Schwachstelle anzuwenden, um eine objektive Priorisierung vorzunehmen. Damit verschiebt sich die Verantwortung von einer rein automatisierten, score-basierten Entscheidung hin zu einer bewussten, risikoorientierten Analyse, die den Kontext der eigenen IT-Umgebung stärker in den Vordergrund rückt.

Einordnung und offene Fragen

Einzuordnen ist das neue Modell als notwendige Evolution der IT-Sicherheit. Den Berichten zufolge ermöglicht die Methode eine deutlich präzisere Zuweisung von personellen und technischen Ressourcen. Kritiker könnten zwar einwenden, dass die subjektive Beantwortung der vier Fragen Unsicherheiten bergen könnte, doch die Praxis zeigt, dass die bisherige Fixierung auf den CVSS-Wert oft zu einer trügerischen Sicherheit führte. Dennoch bleiben Fragen offen: Wie genau die vier Fragen im Detail formuliert sind und wie die Gewichtung der fünf Fristen in der Praxis bei komplexen Abhängigkeiten in großen IT-Landschaften funktioniert, lässt der Quelltext offen. Auch bleibt unklar, wie die Cisa die Einhaltung dieser Fristen in Echtzeit überprüft und welche Konsequenzen bei einer Nichteinhaltung für die betroffenen Behörden drohen. Es ist zudem nicht abschließend geklärt, ob und wie private Unternehmen dieses Modell offiziell adaptieren können oder ob es exklusiv auf den öffentlichen Sektor zugeschnitten bleibt. Die methodische Umstellung erfordert in jedem Fall eine hohe Disziplin und ein tiefes Verständnis für die eigene IT-Architektur, um die vier Fragen korrekt und zielführend zu beantworten.