Methodik
Wie NEOSEC Intel bewertet
Jede Zahl auf dieser Plattform folgt einer festen Regel. Hier steht, welche – damit Sie jeden Wert nachvollziehen können.
Priorität (0–325)
Die Priorität ordnet Schwachstellen danach, wie dringend sie heute sind – nicht nur danach, wie schwer sie theoretisch wiegen. Sie setzt sich aus sechs Anteilen zusammen und reicht von 0 bis 325.
| Anteil | Regel | Höchstwert |
|---|---|---|
| Aktiv ausgenutzt (KEV) | 100 Punkte, wenn die CVE im CISA-Katalog „Known Exploited Vulnerabilities“ steht. | 100 |
| Ransomware | 25 Punkte, wenn CISA die Ausnutzung durch Ransomware-Gruppen vermerkt. | 25 |
| Ausnutzungswahrscheinlichkeit (EPSS) | EPSS-Perzentil (0 bis 1) zum Quadrat, mal 80. Hohe Wahrscheinlichkeiten wirken dadurch deutlich stärker als niedrige. | 80 |
| Schweregrad (CVSS) | Höchster CVSS-Basiswert aus Version 3 und 4, mal 5. | 50 |
| Aktualität | Volle 30 Punkte in den ersten 30 Tagen nach Veröffentlichung der CVE, danach logarithmisch fallend bis 0 nach fünf Jahren. BSI-Warnmeldungen zählen ab ihrem eigenen Datum. | 30 |
| Verbreitung in Deutschland | Gewicht 0 bis 1 der betroffenen Produkte, mal 40. Grundlage ist eine kuratierte Liste verbreiteter Produkte, abgeleitet aus anonymisiert zusammengefassten Inventaren aus dem NEOSEC-Betrieb. Bei mehreren Produkten zählt das höchste Gewicht. | 40 |
| Summe | 325 |
Die Priorität wird bei jeder Aufnahme oder Änderung einer Meldung neu berechnet, zusätzlich stündlich für neue Einträge und täglich vollständig nach dem Abgleich der EPSS-Werte.
XIEM® Effective CVSS (0–10)
Der XIEM® Effective CVSS ist der höchste CVSS-Basiswert, den eine Quelle für die Schwachstelle vergeben hat – über CVSS Version 3 und 4 und über die Bewertungen der NVD, des Herstellers bzw. der vergebenden Stelle (CNA) und älterer Quelldaten. Er zeigt den ungünstigsten bekannten Fall. Auf der CVE-Seite steht dabei, aus welcher Bewertung der Wert stammt. Ohne Bewertung zeigt die Seite „kein Score verfügbar“. Der XIEM® Effective CVSS ist keine Priorität: Er beschreibt die technische Schwere, die Priorität (0–325) zusätzlich Ausnutzung, Aktualität und Verbreitung.
Schweregrad
Der Schweregrad folgt dem höchsten CVSS-Basiswert aus Version 3 und 4. Ohne CVSS-Wert gilt der Schweregrad der Quelle.
| Stufe | Regel |
|---|---|
| kritisch | CVSS ab 9,0 |
| hoch | CVSS ab 7,0 |
| mittel | CVSS ab 4,0 |
| niedrig | CVSS über 0 |
| Aktiv ausgenutzt (KEV) | immer kritisch, unabhängig vom CVSS – die Ausnutzung ist bestätigt. |
Einstufung „aktiv ausgenutzt“
Eine Schwachstelle gilt als aktiv ausgenutzt, wenn mindestens eine der folgenden Quellen die Ausnutzung feststellt. Die CVE-Seite nennt die Quellen der Einstufung. In die Priorität und den Filter „Aktiv ausgenutzt (KEV)“ geht nur der CISA-KEV-Katalog ein; die übrigen Belege ändern die Exploit-Reife und die Anzeige, nicht die Priorität.
- CISA KEV: amtlicher Katalog der US-Behörde CISA.
- VulnCheck KEV: erweiterter KEV-Katalog von VulnCheck.
- CIRCL KEV: eigener Katalog des luxemburgischen CERT CIRCL. Kataloge anderer Herausgeber, die CIRCL ebenfalls führt, übernehmen wir nicht.
- CIRCL-Sightings: Meldungen „exploited“ mit Quellen-Link. Automatisch aus Telegram-Kanälen erzeugte Meldungen und Honeypot-Treffer übernehmen wir nicht.
- CERT-FR-Alertes: Alarmmeldungen der französischen ANSSI. Eine geschlossene Alerte bleibt Beleg.
- CERT.at-Warnungen mit dem Vermerk „aktiv ausgenutzt“ im Titel. Von CERT.at übernehmen wir nur Titel, Datum, Link und CVE-Nummern.
- Apple-Hinweis im CVE-Eintrag: Apple vermerkt in der Beschreibung, dass Berichte über eine mögliche Ausnutzung vorliegen. Gelesen wird nur der CVE-Eintrag, nicht die Apple-Website.
CIRCL-Sightings vom Typ „Proof of Concept“ erscheinen als gemeldete, nicht verifizierte PoC-Links unter den Exploit-Referenzen.
Abweichende Angaben
Melden mehrere Quellen unterschiedliche CVSS-Werte, gilt der höchste (siehe XIEM® Effective CVSS); die Herkunft wird angezeigt. Produktangaben werden je Quelle getrennt gespeichert und auf der CVE-Seite mit ihrer Herkunft gezeigt, statt sie zu einer Liste zu verschmelzen. Maßgeblich bleibt die verlinkte Originalquelle.
Aktualität der Daten
Jede Quelle wird in einem festen Takt abgefragt. Der Quellen-Status zeigt je Quelle den letzten erfolgreichen Abruf und den gemessenen Takt – den mittleren Abstand der letzten Abrufe. Daraus ergibt sich der Status:
- aktuell: letzter Erfolg höchstens zwei Takte zurück
- verzögert: älter als zwei Takte
- gestört: älter als sechs Takte, spätestens nach 48 Stunden, aber nie vor vier Takten
- eingestellt: seit 30 Tagen kein erfolgreicher Abruf
Übersetzung und KI-Anreicherung
Englischsprachige Meldungen werden maschinell ins Deutsche übersetzt; ein Fachglossar sorgt für einheitliche Begriffe. Liegt die Originalquelle nur auf Englisch vor, steht an der Meldung „Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt“. Branchenzuordnung und Zusammenfassungen entstehen KI-gestützt. Die Titel der CVEs entstehen regelbasiert aus Hersteller, Produkt und Schwachstellenklasse, nicht durch ein Sprachmodell. Priorität, Schweregrad und XIEM® Effective CVSS werden ausschließlich nach den Regeln auf dieser Seite berechnet.
Gewährleistung
Alle Angaben werden sorgfältig zusammengeführt, aber ohne Gewähr. Maßgeblich ist die jeweils verlinkte Originalquelle. Entscheidungen über Patches und Gegenmaßnahmen liegen beim Betreiber der betroffenen Systeme.