CVSS

Das Common Vulnerability Scoring System (CVSS, deutsch: „Allgemeines Bewertungssystem für Schwachstellen“) ist ein Industriestandard zur Bewertung des Schweregrades von möglichen oder tatsächlichen Sicherheitslücken in Computer-Systemen. Im CVSS werden Sicherheitslücken nach verschiedenen Kriterien, sogenannten Metriken (engl. metrics), bewertet und miteinander verglichen, so dass eine Prioritätenliste für Gegenmaßnahmen erstellt werden kann. CVSS ist selbst kein System zur Warnung vor Sicherheitslücken, sondern ein Standard, um verschiedene Beschreibungs- und Messsysteme miteinander kompatibel und allgemein verständlich zu machen^[1]. Dieses Ziel wird jedoch auch durch mehrfache Überarbeitungen des Standards nicht uneingeschränkt erreicht, da weiterhin identische Sicherheitslücken von unterschiedlichen Akteuren unterschiedlich bewertet werden^[2]^[3]^[4]^[5]^[6].

CVSS wurde 2005 vom National Infrastructure Advisory Council (NIAC), einer Arbeitsgruppe des US-Ministeriums für Innere Sicherheit, in Auftrag gegeben^[1] und wird derzeit durch das Forum of Incident Response and Security Teams^[7] betreut. Den derzeitigen Vorsitz der Arbeitsgruppe CVSS-SIG team haben Dave Dugal und Dale Rich.^[8] In die Entwicklung von CVSS sind eingebunden: CERT, Cisco, DHS/MITRE, eBay, IBM, Microsoft, Qualys, Symantec.^[1] CVSS wird ferner unterstützt von HP, McAfee, Oracle, und Skype.^[9]

Im Juni 2007 wurde die zweite Version des Scoring Systems veröffentlicht. Mit CVSS v3.0 wurde das System im Juni 2015 neu aufgelegt und beinhaltet neben diversen Überarbeitungen der Metriken die Einführung von Schlüsselwörtern für die Schweregrade (Kein / Niedrig / Mittel / Hoch / Kritisch) sowie eine Bedienungsanleitung und daran gekoppelte Beispielberichte.^[10] Im November 2023 wurde die Version 4.0 des Standards publiziert. Neben einer feineren Aufteilung der grundlegenden Metriken führt diese Version auch eine Reihe von "Ergänzungs-Metriken" ein. Diese sollen zuvor nicht berücksichtigte Faktoren in die Schwachstellenbewertung einbeziehen und den Standard erstmals auch auf Schwachstellen in industriellen Anlagen und dem Internet der Dinge anwendbar machen.^[11]