EPSS
System zur Vorhersage von Exploit-Wahrscheinlichkeiten
Exploit Prediction Scoring System
EPSS schätzt die Wahrscheinlichkeit, dass eine Schwachstelle innerhalb der nächsten 30 Tage tatsächlich ausgenutzt wird, als Wert zwischen 0 und 1. Es beantwortet damit eine andere Frage als Allgemeines Schwachstellen-Bewertungssystem (CVSS): nicht „wie schwer wäre eine Ausnutzung“, sondern „wie wahrscheinlich ist sie“. Beide Werte gemeinsam richten die Patch-Reihenfolge an der realen Bedrohung statt an theoretischer Schwere aus.
Historie. EPSS wurde 2019 auf der Black Hat erstmals vorgestellt; 2020 bildete sich innerhalb von Internationaler Verbund von Notfall- und Sicherheitsteams (FIRST) eine eigene Special Interest Group, ab 2021 wurden Werte öffentlich publiziert. Das Modell wurde mehrfach grundlegend überarbeitet — Version 2 (2022), Version 3 (2023) und die aktuelle Version 4, veröffentlicht am 17. März 2025, die zusätzliche Bedrohungsdaten und genauere Modellierung einführte.
Fakten. EPSS ist ein datengetriebenes, maschinell trainiertes Modell, das Merkmale einer Schwachstelle mit beobachteter Ausnutzungsaktivität verknüpft und täglich aktualisierte Wahrscheinlichkeiten für alle öffentlichen CVEs liefert. Es ersetzt Allgemeines Schwachstellen-Bewertungssystem (CVSS) nicht, sondern ergänzt es; die Vereinigte Staaten von Amerika (US)-Behörde US-Behörde für Cyber- und Infrastruktursicherheit (CISA) empfiehlt die kombinierte Nutzung mit ihrem Katalog bekannter ausgenutzter Schwachstellen (KEV)-Katalog. Wichtig: Ein EPSS-Wert ist nie exakt null.
Ausblick & Empfehlung. Angesichts zehntausender neuer CVEs pro Jahr kann niemand alles patchen — EPSS verschiebt den Fokus von „theoretisch kritisch“ auf „realistisch gefährdet“. In der Priorisierung entfaltet es seinen Wert erst im Verbund: hohe Schwere (CVSS) und hohe Ausnutzungswahrscheinlichkeit (EPSS) bei gleichzeitiger Relevanz für das eigene Asset markieren die Fälle, die zuerst gehören.