Ein CVE bekommt einen CVSS-Wert von 9,8 und landet damit automatisch ganz oben auf der Patch-Liste. Klingt logisch, ist aber oft falsch: Laut einer Analyse von Picus Security wurden nur rund 2,3 % aller mit CVSS 7 oder höher bewerteten Schwachstellen in einem gegebenen Monat tatsächlich in freier Wildbahn angegriffen. Gleichzeitig trugen 28 % der im ersten Quartal 2025 tatsächlich ausgenutzten Lücken nur ein „Medium”-Basisscore. Genau diese Lücke zwischen theoretischer Schwere und realer Ausnutzung soll das Exploit Prediction Scoring System (EPSS) schließen. Doch wie gut funktioniert das in der Praxis, und sollten Security-Teams in Deutschland, Österreich und der Schweiz ihre Patch-Workflows deshalb umbauen? Dieser Vergleich rechnet mit aktuellen Zahlen von FIRST.org, CISA, dem BSI und mehreren 2025/2026-Studien nach.
CVSS vs. EPSS: Der Unterschied in einem Satz
Der Common Vulnerability Scoring System (CVSS) beantwortet die Frage: Wie schlimm wäre es, wenn diese Schwachstelle ausgenutzt wird? Das Exploit Prediction Scoring System (EPSS) beantwortet eine andere Frage: Wie wahrscheinlich ist es, dass genau das in den nächsten 30 Tagen passiert? Beide Systeme werden von derselben Organisation gepflegt, dem Forum of Incident Response and Security Teams (FIRST.org), verfolgen aber komplementäre Ziele. Ein CVSS-Score ist statisch: Er beschreibt Angriffsvektor, Komplexität, benötigte Rechte und die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Ein EPSS-Score ist dynamisch: Er wird täglich neu berechnet, weil sich die Datenbasis (Exploit-Code, Scanner-Aktivität, Mailinglisten-Erwähnungen) ständig ändert. Wer nur den CVSS-Score liest, sieht die Verwundbarkeit. Wer nur den EPSS-Score liest, sieht das Angriffsrisiko. Für ein vollständiges Bild braucht es beide, ergänzt um Kontext wie die Kritikalität des betroffenen Assets.
Diese Unterscheidung ist keine akademische Feinheit. Sie entscheidet in vielen Unternehmen darüber, welche von durchschnittlich 119 neuen Schwachstellen pro Tag (laut BSI-Lagebericht 2025, ein Anstieg von rund 24 % gegenüber dem Vorjahreszeitraum) zuerst gepatcht werden und welche warten müssen. Bei begrenzter Patch-Kapazität ist diese Reihenfolge geschäftskritisch, denn kein Team, weder in einem 20-köpfigen Mittelständler noch in einem DAX-Konzern mit eigenem SOC, kann jede einzelne dieser Schwachstellen am selben Tag schließen. Genau deshalb hat sich in den vergangenen Jahren eine parallele Bewertungslandschaft entwickelt, in der CVSS und EPSS nicht mehr konkurrieren, sondern zusammen mit dem CISA-KEV-Katalog eine dreistufige Priorisierung bilden, wie dieser Vergleich im Detail zeigt.
Was ist CVSS? Schweregrad statt Wahrscheinlichkeit
CVSS ist der De-facto-Standard zur Bewertung der technischen Schwere einer Schwachstelle. Der Score setzt sich aus Basis-Metriken (Angriffsvektor, Angriffskomplexität, benötigte Rechte, Nutzerinteraktion, Scope) sowie optionalen Temporal- und Environmental-Metriken zusammen und ergibt am Ende eine Zahl zwischen 0,0 und 10,0. Diese Zahl ist überall dort verpflichtend, wo Meldepflichten greifen: im NIS2-Umsetzungsgesetz, im geplanten KRITIS-Dachgesetz oder in Lieferantenverträgen, die einen maximalen CVSS-Schwellenwert für kritische Systeme festlegen. Der große Vorteil: CVSS ist herstellerunabhängig vergleichbar und ändert sich in der Regel nicht mehr, sobald er einmal vergeben wurde. Der Nachteil zeigt sich erst im Betrieb: Zwei Schwachstellen mit demselben CVSS-Wert können in der Praxis völlig unterschiedlich gefährlich sein, je nachdem, ob bereits öffentlicher Exploit-Code kursiert oder nicht. Genau diese Information blendet CVSS bewusst aus, weil der Score als zeitlich stabiler Referenzwert gedacht ist und nicht als Echtzeit-Bedrohungslage. Das FIRST-Konsortium selbst hat diese Grenze nie verschwiegen: CVSS wurde von Anfang an als Maß für die technische Schwere konzipiert, nicht als Vorhersageinstrument, und genau diese bewusste Beschränkung war 2021 der Auslöser für die Entwicklung von EPSS als eigenständiges, ergänzendes Projekt.
Zur Einordnung, wie CVSS-Zahlen in der Praxis in Kategorien übersetzt werden, zeigt die folgende Tabelle die offiziellen Schweregrade nach CVSS v3.1 und v4.0, wie sie auch in den meisten deutschen SOC- und Patch-Management-Prozessen als Grundlage dienen.
| CVSS-Bereich | Schweregrad | Typische Reaktionszeit in DACH-Unternehmen |
|---|---|---|
| 0,0 | Keine (None) | Kein Patch-Zwang |
| 0,1 – 3,9 | Niedrig (Low) | Im nächsten regulären Wartungsfenster |
| 4,0 – 6,9 | Mittel (Medium) | Innerhalb von 30 bis 90 Tagen |
| 7,0 – 8,9 | Hoch (High) | Innerhalb von 14 Tagen |
| 9,0 – 10,0 | Kritisch (Critical) | Innerhalb von 24 bis 72 Stunden |
CVSS v4.0: Der langsame Umstieg
Seit November 2023 gibt es mit CVSS v4.0 eine neue Hauptversion, die zusätzliche Environmental- und Threat-Metriken einführt und die vieldiskutierte Scope-Metrik ersetzt. Zwei Jahre später ist die Umstellung aber noch lange nicht abgeschlossen: Laut einer Auswertung von VulnCheck wurden nur 25,9 % der 43.002 im Jahr 2025 veröffentlichten CVEs überhaupt mit einem CVSS-v4-Score angereichert. Die National Vulnerability Database (NVD) veröffentlicht neue CVEs zwar inzwischen parallel mit v3.1- und v4.0-Werten, eine rückwirkende Neubewertung des kompletten Altbestands ist laut NVD aber nicht geplant. Für die Praxis heißt das: CVSS v3.1 bleibt 2026 der gemeinsame Nenner, an dem sich die meisten Scanner, Ticketsysteme und SLAs orientieren.
Was ist EPSS? Die Wahrscheinlichkeit der Ausnutzung
EPSS verfolgt einen komplett anderen Ansatz. Statt technischer Merkmale schätzt ein maschinelles Lernmodell täglich neu, mit welcher Wahrscheinlichkeit eine bestimmte CVE innerhalb der kommenden 30 Tage tatsächlich ausgenutzt wird. Das Ergebnis ist keine binäre Aussage, sondern eine Rangordnung: ein EPSS-Wert von 3 % bedeutet nicht “sicher”, sondern lediglich “unwahrscheinlicher als eine CVE mit 80 %”. FIRST.org selbst betont, dass EPSS als probabilistisches Ranking-Signal gedacht ist und nicht als harter Ja/Nein-Filter für Patch-Entscheidungen.
Anders als CVSS wird EPSS nicht von einem Gremium vergeben, sondern vollautomatisch aus Beobachtungsdaten berechnet. Damit entfällt der manuelle Aufwand komplett, gleichzeitig verliert der Wert aber die Stabilität eines CVSS-Scores: Eine CVE, die heute bei 2 % liegt, kann in zwei Wochen bei 60 % stehen, sobald ein funktionierender Exploit öffentlich auftaucht. Für Security-Teams bedeutet das einen Wechsel der Denkweise weg von “einmal bewerten, dann abhaken” hin zu “kontinuierlich beobachten”. Wer EPSS-Werte nur einmalig beim Eingang einer neuen CVE abruft, verpasst genau die Bewegung, die den Wert überhaupt nützlich macht. In der Praxis empfiehlt sich deshalb ein automatisierter täglicher Abgleich statt einer manuellen Stichprobe, weil sich gerade die entscheidenden Sprünge oft innerhalb weniger Stunden nach Veröffentlichung von Exploit-Code ereignen und ein wöchentlicher Blick diese Fenster regelmäßig verpasst.
Wie EPSS-Werte entstehen: über 1.600 Variablen pro CVE
Die aktuelle Modellversion EPSS v4 wurde am 17. März 2025 veröffentlicht und verarbeitet laut CrowdStrike inzwischen mehr als 1.600 Merkmale pro CVE, unter anderem Referenzen zu Metasploit- und ExploitDB-Modulen, Erwähnungen in Sicherheits-Mailinglisten, Scanner-Traffic und die Aufnahme in den CISA-KEV-Katalog. Nach Angaben von FIRST.org fließen dabei täglich über 250.000 Bedrohungsdatenpunkte in die Neuberechnung ein, wodurch EPSS auch CVEs bewerten kann, die im NVD-Rückstau auf eine offizielle CVSS-Einstufung warten. Wer den aktuellen EPSS-Wert einer beliebigen CVE selbst abrufen will, kann das kostenlos über die offene FIRST-API tun:
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2021-44228"
# Antwort (Auszug, Stand 30.08.2026):
# {"cve":"CVE-2021-44228","epss":"0.999990000","percentile":"1.000000000"}Der Score wird täglich neu berechnet und ist über API oder als CSV-Datei (epss_scores-current.csv.gz) frei zugänglich, ganz ohne Lizenzkosten. Das Modell selbst wird laut FIRST.org auf Drift gegen eine Zufallsbaseline überwacht, zeigt sich anhaltende Drift, folgt ein Retraining-Zyklus, der in der Praxis etwa einmal jährlich stattgefunden hat.
CVSS vs. EPSS im direkten Vergleich: die Spezifikationstabelle
Die folgende Tabelle stellt beide Bewertungssysteme entlang der wichtigsten technischen und organisatorischen Kriterien gegenüber. Sie zeigt, warum ein reiner CVSS-vs-EPSS-Vergleich eigentlich ein Vergleich zweier komplementärer Werkzeuge ist, nicht zweier Konkurrenten. Wer beide Zeilen für dieselbe CVE nebeneinanderlegt, zum Beispiel einen CVSS-Wert von 9,8 neben einem EPSS-Wert von 0,4 %, versteht auf einen Blick, warum ein alleiniger Blick auf CVSS in der Praxis so oft zu falschen Prioritäten führt.
| Kriterium | CVSS | EPSS |
|---|---|---|
| Vollständiger Name | Common Vulnerability Scoring System | Exploit Prediction Scoring System |
| Verwaltet von | FIRST.org (CVSS-SIG) | FIRST.org (EPSS-SIG) |
| Erstveröffentlichung | 2005 | 2021 |
| Aktuelle Hauptversion | CVSS v4.0 (November 2023) | EPSS v4 (17. März 2025) |
| Was wird gemessen | Technischer Schweregrad / potenzielle Auswirkung | Wahrscheinlichkeit der Ausnutzung binnen 30 Tagen |
| Wertebereich | 0,0 – 10,0 | 0 – 100 % (bzw. 0–1) |
| Update-Häufigkeit | Bei manueller Neubewertung | Täglich, automatisiert |
| Datenbasis | Statische technische Merkmale (Vektor, Komplexität, Rechte) | 1.600+ Variablen: Exploit-Code, Mailinglisten, KEV-Status, Scanner-Traffic |
| Modelltyp | Regelbasierte Formel | Maschinelles Lernmodell |
| Zugriff / Kosten | Kostenlos, offener Standard | Kostenlos über API/CSV (FIRST.org) |
| Adoptionsstand 2025 | v4.0 bei 25,9 % aller CVEs (VulnCheck) | v4 seit März 2025 produktiv im Einsatz |
| Pflicht für Compliance | Ja (u. a. NIS2, viele Meldewege) | Nein, dient als ergänzendes Signal |
| Typischer Einsatzzweck | Ersteinstufung, Meldepflicht, Audit | Priorisierung der Patch-Reihenfolge |
Drei Studien, ein Befund: Wie zuverlässig ist EPSS wirklich?
Der CVSS-Score gilt seit Jahren als zu grob, weil er reale Ausnutzung ignoriert. Doch wie gut schneidet EPSS als Ersatz oder Ergänzung tatsächlich ab? Drei unabhängige Auswertungen aus 2025 und 2026 liefern ein differenziertes Bild.
Erstens, die Deckungslücke bei bestätigt ausgenutzten Schwachstellen. CISA hat ihren Known Exploited Vulnerabilities (KEV)-Katalog im Jahr 2025 um 245 neue Einträge erweitert und damit laut SecurityWeek um rund 20 % auf über 1.480 Einträge insgesamt vergrößert. Eine Auswertung aller 2025 neu aufgenommenen KEV-Einträge zeigt, dass zum Zeitpunkt der Aufnahme nur für rund 83 % dieser Schwachstellen überhaupt ein EPSS-Score vorlag, für die restlichen 17 % fehlte er. Wird ein EPSS-Schwellenwert von 1 % als Patch-Kriterium verwendet, werden davon nur rund 32 % aller KEV-Einträge erfasst, bei einem Schwellenwert von 10 % sinkt die Trefferquote auf etwa 22 %. Wer EPSS also als harte Grenze statt als Rangordnung nutzt, verpasst nach dieser Auswertung bis zu 68 % der von CISA bestätigt ausgenutzten Schwachstellen. Diese Zahl ist der wohl wichtigste einzelne Datenpunkt in diesem gesamten Vergleich, weil sie zeigt, dass die verbreitete Praxis “EPSS über X Prozent = patchen, darunter = warten” in ihrer einfachsten Form nachweislich zu kurz greift und ohne einen zusätzlichen KEV-Abgleich gefährliche blinde Flecken produziert.
Zweitens, das Timing-Problem. Nucleus Security untersuchte 22 der 122 CVEs, die zwischen Oktober 2025 und März 2026 neu in den CISA-KEV-Katalog aufgenommen wurden (rund 18 % aller Neuzugänge in diesem Zeitraum). Ergebnis: Der EPSS-Score bewegte sich im Median 121-mal stärker nach der KEV-Aufnahme als davor, und bei allen 22 untersuchten Fällen zeigte sich der deutlichste Sprung erst zwei Tage nach der KEV-Listung. Die Autoren ziehen daraus einen klaren Schluss: EPSS wirkt in dieser Stichprobe nicht als Frühwarnsystem, sondern reagiert erst, nachdem eine Ausnutzung öffentlich bestätigt wurde.
Drittens, das Rauschen bei hohen CVSS-Werten. Laut einer Analyse von Picus Security wurden im Beobachtungszeitraum nur etwa 2,3 % aller mit CVSS 7 oder höher eingestuften Schwachstellen tatsächlich beobachtet ausgenutzt, während 28 % der im ersten Quartal 2025 real ausgenutzten Lücken lediglich einen mittleren CVSS-Basiswert trugen. CVSS allein sortiert Teams also regelmäßig in die falsche Richtung: zu viele False Positives bei kritischen Werten, zu viele übersehene Risiken im mittleren Bereich.
In der Summe ergeben die drei Studien kein Plädoyer gegen EPSS, sondern eine Gebrauchsanweisung. EPSS schätzt die Ausnutzungswahrscheinlichkeit im Rückblick erstaunlich treffsicher, taugt aber laut Nucleus Security nicht als Frühwarnsystem und deckt laut der KEV-2025-Auswertung nicht jede CVE ab. CVSS wiederum beschreibt zuverlässig, wie schlimm ein Angriff im Erfolgsfall wäre, sagt aber laut Picus Security kaum etwas über die reale Wahrscheinlichkeit aus. Wer eines der beiden Systeme isoliert einsetzt, akzeptiert automatisch die jeweilige Schwäche des anderen.
Rechenbeispiel: 200 offene CVEs neu sortiert
Wie stark sich die Priorisierung durch die Kombination beider Systeme verändert, lässt sich an einem vereinfachten, aber praxisnahen Beispiel zeigen. Ein mittelständisches Unternehmen mit 200 offenen Schwachstellenmeldungen wählt klassisch den CVSS-Schwellenwert 9,0 als Kriterium für “sofort patchen”. Nach den in diesem Vergleich zitierten Quoten (Picus Security: rund 2,3 % reale Ausnutzung bei CVSS 7+, KEV-2025-Auswertung: rund 83 % EPSS-Abdeckung bei bestätigt ausgenutzten CVEs) lässt sich grob überschlagen, dass von, sagen wir, 40 CVEs mit CVSS ≥ 9,0 nur eine niedrige einstellige Zahl in den kommenden 30 Tagen real angegriffen wird. Ergänzt das Team stattdessen einen CISA-KEV-Abgleich und sortiert die verbleibenden CVEs nach EPSS-Perzentil, verschiebt sich die Bearbeitungsreihenfolge deutlich: KEV-gelistete Schwachstellen wandern unabhängig von ihrem CVSS-Wert nach ganz oben, während CVSS-9-Funde ohne KEV-Eintrag und mit niedrigem EPSS-Wert (wie die Veeam- oder Citrix-NetScaler-Beispiele aus der Tabelle oben) in eine spätere, aber nicht ignorierte Kategorie rutschen. Das Ergebnis ist keine kleinere Liste, sondern eine begründbare Reihenfolge, die sich gegenüber Auditoren und der Geschäftsführung mit konkreten Zahlen statt mit Bauchgefühl rechtfertigen lässt. Gerade in Berichten an die Geschäftsleitung zahlt sich das aus: Eine Folie mit “40 CVSS-9-Funde” wirkt bedrohlich, aber wenig greifbar, während “3 bestätigt ausgenutzte Schwachstellen, priorisiert nach KEV und EPSS” eine klare Handlungsgrundlage liefert und die begrenzten Personalressourcen der IT-Sicherheit rechtfertigt.
Regulatorischer Druck in der DACH-Region
Für deutsche, österreichische und Schweizer Unternehmen ist die CVSS-vs-EPSS-Frage nicht nur eine technische Priorisierungsdebatte, sondern zunehmend eine regulatorische. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz, von dem laut BSI rund 29.500 Unternehmen betroffen sind, wie auch unser Beitrag zur NIS2-Umsetzung zeigt. Doch nur rund 11.500 dieser Unternehmen hatten sich zum Stichtag fristgerecht beim BSI registriert. Meldepflichten nach NIS2 verlangen in aller Regel eine CVSS-basierte Einstufung der betroffenen Schwachstelle, EPSS-Werte werden bislang in keinem deutschen Meldeformular explizit gefordert. Gleichzeitig zeigt der BSI-Lagebericht 2025, dass 87 % aller befragten deutschen Unternehmen in den vergangenen zwölf Monaten Ziel eines Cyberangriffs wurden und 34 % von Ransomware betroffen waren, wovon wiederum 15 % Lösegeld zahlten. Verschärft wird der Druck durch das geplante KRITIS-Dachgesetz, das laut unserem Beitrag zum KRITIS-Dachgesetz Bußgelder von bis zu 1 Million Euro vorsieht und Betreibern kritischer Infrastruktur eine feste Umsetzungsfrist auferlegt. Vor diesem Hintergrund reicht eine rein formale CVSS-Meldung nicht aus, um Angriffe tatsächlich zu verhindern, sie erfüllt die Pflicht, aber nicht den Zweck. Die vollständigen Zahlen zur Bedrohungslage hat das BSI im Lagebericht zur IT-Sicherheit in Deutschland 2025 veröffentlicht. EPSS und der CISA-KEV-Abgleich schließen genau diese operative Lücke zwischen Compliance-Erfüllung und echter Risikoreduktion, ohne die CVSS-Meldepflicht zu ersetzen. In Österreich und der Schweiz gibt es mit dem Netz- und Informationssystemsicherheitsgesetz (NISG) beziehungsweise den Vorgaben des Nationalen Zentrums für Cybersicherheit (NCSC) vergleichbare, wenn auch nicht identische Meldepflichten, die ebenfalls überwiegend auf CVSS-Klassifizierungen aufbauen. Für internationale DACH-Konzerne bedeutet das in der Praxis, dass ein einheitlicher CVSS-Prozess über alle drei Länder hinweg Pflicht bleibt, während EPSS als zusätzliche, freiwillige Priorisierungsebene je nach Landesgesellschaft unterschiedlich tief integriert werden kann.
CVSS, EPSS und CISA KEV: die Überschneidungslücke
Neben CVSS und EPSS gibt es mit dem CISA-KEV-Katalog noch ein drittes, oft unterschätztes Signal: eine reine Liste von Schwachstellen, deren Ausnutzung bereits nachweislich stattgefunden hat. Der wichtige Unterschied zu EPSS ist, dass KEV keine Wahrscheinlichkeit schätzt, sondern eine Tatsache dokumentiert, wenn auch mit Verzögerung. Wie unser Vergleich von NVD, EUVD und CISA KEV zeigt, konkurrieren die großen Schwachstellendatenbanken inzwischen selbst um Aktualität, während sich ein Rückstau von rund 29.000 unbewerteten CVEs aufgebaut hat. Für die Praxis bedeutet das: Eine KEV-Mitgliedschaft sollte in jedem Fall Vorrang vor CVSS- und EPSS-Werten haben, weil sie bestätigte Ausnutzung statt geschätzter Wahrscheinlichkeit abbildet. Anschließend sortiert EPSS die verbleibenden, noch nicht bestätigten Schwachstellen nach Dringlichkeit, während CVSS die Auswirkung im Ernstfall beschreibt.
Die drei Systeme lassen sich deshalb am besten als aufeinander aufbauende Filterstufen verstehen statt als konkurrierende Rankings. Stufe eins ist der KEV-Abgleich: Steht eine CVE bereits auf der Liste, ist die Diskussion über Wahrscheinlichkeiten beendet, gepatcht wird sofort. Stufe zwei ist CVSS: Bei allen verbleibenden offenen Schwachstellen filtert der Schweregrad grob vor, meist auf die Kategorien Hoch und Kritisch. Stufe drei ist EPSS: Innerhalb dieser vorgefilterten Menge sortiert die tagesaktuelle Ausnutzungswahrscheinlichkeit die Reihenfolge der Bearbeitung. Dieses dreistufige Modell vermeidet sowohl die Alarmmüdigkeit reiner CVSS-Listen als auch die Deckungslücken einer EPSS-only-Strategie, ohne dass eine der drei Datenquellen komplett verworfen werden muss.
Neun echte Schwachstellen im CVSS-EPSS-Vergleich
Zahlen wirken abstrakt, solange man sie nicht an konkreten CVEs sieht. Die folgende Tabelle zeigt neun bekannte Schwachstellen aus den Jahren 2021 bis 2026 mit ihrem CVSS-Score und dem tagesaktuellen EPSS-Wert, abgerufen am 30. August 2026 über die offizielle FIRST-API. Sie macht sichtbar, wie unterschiedlich beide Skalen dieselbe Schwachstelle einordnen können. Bewusst gewählt wurde eine Mischung aus historischen Fällen mit abgeschlossener, gut dokumentierter Ausnutzungsgeschichte und aktuellen 2026er-CVEs, deren EPSS-Wert sich in den kommenden Wochen noch verändern kann, je nachdem, ob und wie schnell Angreifer funktionierenden Exploit-Code veröffentlichen.
| CVE | Betroffenes Produkt | CVSS-Score | EPSS-Score (30.08.2026) | EPSS-Perzentil |
|---|---|---|---|---|
| CVE-2021-44228 (Log4Shell) | Apache Log4j | 10,0 | 99,999 % | 100,0 |
| CVE-2023-4966 (Citrix Bleed) | Citrix NetScaler ADC/Gateway | 9,4 | 99,999 % | 99,997 |
| CVE-2023-34362 | Progress MOVEit Transfer | 9,8 | 99,934 % | 99,969 |
| CVE-2026-33017 | Langflow (KI-Pipeline-Tool) | 10,0 | 96,177 % | 99,872 |
| CVE-2026-35616 | FortiClient EMS | 9,8 | 90,749 % | 99,795 |
| CVE-2026-4670 | Progress MOVEit Automation | 9,8 | 5,633 % | 92,4 |
| CVE-2026-19490 | Citrix NetScaler ADC/Gateway | 9,3 | 3,372 % | 87,9 |
| CVE-2026-21666 | Veeam Backup & Replication | 9,9 | 1,128 % | 64,1 |
| CVE-2024-0646 | Linux-Kernel (TCP-Subsystem) | 7,0 | 0,308 % | 23,1 |
Das Muster ist eindeutig: Bei CVSS drängen sich fast alle Beispiele zwischen 9,3 und 10,0, dem Bereich, den viele Organisationen pauschal als “sofort patchen” definieren. Beim EPSS-Score dagegen liegt die Spanne zwischen 1,1 % und praktisch 100 %. Log4Shell, Citrix Bleed und die MOVEit-Transfer-Lücke von 2023 wurden massenhaft ausgenutzt und tragen entsprechend extreme EPSS-Werte nahe 100 %. Die Veeam-Backup-Lücke aus 2026 und die aktuelle Citrix-NetScaler-Schwachstelle haben einen fast identischen CVSS-Wert wie Log4Shell, aber einen EPSS-Wert, der um mehrere Zehnerpotenzen niedriger liegt. Der Linux-Kernel-Fall CVE-2024-0646 zeigt das Gegenstück: ein “High”-CVSS von 7,0, aber ein EPSS-Wert von nur 0,3 %, weil ein Angriff lokalen Zugriff und sehr spezifische Bedingungen voraussetzt und damit für breit angelegte Kampagnen unattraktiv ist.
Besonders lehrreich ist der Vergleich zwischen der aktuellen Citrix-NetScaler-Lücke CVE-2026-19490 und der historischen Citrix-Bleed-Lücke CVE-2023-4966 aus demselben Produkt: Beide erhielten einen fast identischen CVSS-Wert um 9,3 bis 9,4, doch während Citrix Bleed nach massenhafter Ausnutzung durch die Ransomware-Gruppe LockBit einen EPSS-Wert nahe 100 % erreichte, liegt die 2026er-Lücke Stand heute erst bei rund 3,4 %. Ob sich das noch ändert, hängt davon ab, ob in den kommenden Wochen öffentlicher Exploit-Code auftaucht, genau die Art von Signal, die CVSS strukturell nicht erfassen kann, EPSS aber laut Aufbau schon.
Wie Anbieter CVSS und EPSS bereits kombinieren
Die drei großen kommerziellen Vulnerability-Management-Anbieter haben die Debatte um CVSS vs. EPSS längst in eigene, proprietäre Risikoscores übersetzt. Tenables Vulnerability Priority Rating (VPR) kombiniert CVSS-Basiswerte, EPSS-Wahrscheinlichkeit, eigene Threat-Intelligence-Daten, Asset-Kritikalität und das Alter der CVE zu einem Score zwischen 0 und 10. Qualys geht mit TruRisk einen ähnlichen Weg, normiert das Ergebnis aber auf eine Skala von 0 bis 1.000 und bezieht zusätzlich kompensierende Kontrollen mit ein. Rapid7 wiederum kombiniert im Real Risk Score den CVSS-Basiswert mit der tatsächlichen Verfügbarkeit von Exploit-Code, insbesondere ob ein passendes Metasploit-Modul existiert, der CISA-KEV-Mitgliedschaft und Expositionsdaten aus dem eigenen Project-Sonar-Internetscan.
| Proprietärer Score | Anbieter | Skala | Kombiniert CVSS + EPSS? |
|---|---|---|---|
| VPR (Vulnerability Priority Rating) | Tenable | 0 – 10 | Ja, plus Threat Intelligence und Asset-Alter |
| TruRisk | Qualys | 0 – 1.000 | Ja, plus KEV-Status und Kontrollen |
| Real Risk Score | Rapid7 | 0 – 1.000 | Indirekt über Exploit-Verfügbarkeit statt EPSS direkt |
Der praktische Effekt ist beachtlich: Teams, die eine nach VPR, TruRisk oder Real Risk Score gefilterte Liste statt einer reinen CVSS-Sortierung abarbeiten, reduzieren ihren Arbeitsaufwand nach Marktanalysen zum Vergleich von Qualys und Tenable um schätzungsweise 40 bis 50 %, bei vergleichbarer Abdeckung tatsächlich ausgenutzter Schwachstellen. Diese proprietären Scores sind letztlich nichts anderes als eine automatisierte, vorgefertigte Umsetzung des in diesem Artikel beschriebenen dreistufigen Modells aus CVSS, EPSS und KEV. Wer sich kein eigenes Regelwerk bauen möchte, kauft mit einer dieser Plattformen im Kern genau diese Kombination fertig ein, verliert dabei aber etwas Transparenz, weil die genaue Gewichtungsformel bei allen drei Anbietern nicht vollständig offengelegt wird. Für Organisationen mit eigenem Security-Engineering-Team ist die selbst gebaute Variante aus offenen CVSS- und EPSS-Daten deshalb oft die transparentere Wahl, auch wenn sie mehr initialen Implementierungsaufwand bedeutet als der Kauf einer fertigen Plattform.
Was kosten Tools mit CVSS- und EPSS-Support?
CVSS und EPSS sind als Standards selbst kostenlos, beide Scores lassen sich frei über FIRST.org beziehen. Der Kostenfaktor entsteht erst bei den Plattformen, die beide Werte automatisiert einsammeln, mit dem eigenen Asset-Inventar verknüpfen und in Dashboards oder Ticketsysteme übersetzen. Für viele Sicherheitsverantwortliche in DACH-Unternehmen ist genau das die eigentliche Budgetfrage: nicht, ob CVSS oder EPSS mehr kosten, sondern welches Werkzeug beide Signale zuverlässig genug zusammenführt, um die tägliche Priorisierungsarbeit überhaupt zu automatisieren. Die folgende Tabelle zeigt marktübliche Preisspannen kommerzieller und offener Werkzeuge, basierend auf öffentlich verfügbaren Preisanalysen. Exakte Enterprise-Konditionen werden von den Anbietern in der Regel individuell verhandelt.
| Tool | Modell | Preis (ca., pro Asset/Jahr) | CVSS | EPSS | KEV-Abgleich |
|---|---|---|---|---|---|
| Greenbone/OpenVAS | Open Source | 0 € (Community-Edition) | Ja | Über Zusatzfeeds | Nein, nativ |
| FIRST.org EPSS-API | Öffentliche API/CSV | 0 € | Nein | Ja, Quelle | Nein |
| Tenable Vulnerability Management | Abo, pro Asset | ca. 26–38 $ | Ja | Ja | Ja |
| Qualys VMDR | Abo, pro Asset | ca. 17–33 $ | Ja | Ja | Ja |
| Rapid7 InsightVM | Abo, pro Asset (ab 500) | ca. 23–35 $ | Ja | Ja | Ja |
| Nucleus Security | Individuelles Angebot | auf Anfrage | Ja | Ja, mit Timing-Analyse | Ja |
Für kleinere DACH-Unternehmen, die kein Budget für kommerzielle Vulnerability-Management-Plattformen haben, ist die Kombination aus einem offenen Scanner wie Greenbone (siehe unseren Vergleich von OpenVAS und Nessus) und der kostenlosen FIRST-EPSS-API eine realistische Einstiegslösung, die sich mit wenig Aufwand per Skript verknüpfen lässt. Wichtig für die Budgetplanung: Die in der Tabelle genannten Preise pro Asset beziehen sich in der Regel auf Enterprise-Verträge ab mehreren hundert bis tausend Assets. Bei ausgehandelten Großkundenverträgen jenseits von 5.000 Assets liegen die tatsächlichen Endpreise häufig 20 bis 40 % unter der Listenpreis-Spanne, während kleinere Organisationen mit wenigen hundert Assets eher am oberen Ende oder sogar darüber liegen, weil Mindestvertragswerte greifen. Ein Vergleich mehrerer Angebote lohnt sich also unabhängig von der reinen Feature-Liste.
Fünf Anwendungsfälle: Wann CVSS, wann EPSS?
Nicht jede Organisation braucht dieselbe Gewichtung zwischen den beiden Scores. Die folgenden sechs Szenarien beschreiben, wie unterschiedlich Teams mit unterschiedlichen Rahmenbedingungen CVSS und EPSS in der Praxis kombinieren sollten, von der kleinen IT-Abteilung bis zur KRITIS-Behörde.
- Kleine IT-Teams mit knapper Patch-Kapazität: Statt jede Woche Dutzende CVSS-9-Meldungen abzuarbeiten, sortiert EPSS die Liste danach, welche Lücken diesen Monat realistisch angegriffen werden. So lässt sich die begrenzte Zeit auf die wahrscheinlichsten Ziele konzentrieren.
- NIS2- und KRITIS-pflichtige Organisationen: Für Meldewege, Audits und vertragliche SLAs bleibt CVSS Pflicht, weil Aufsichtsbehörden und Lieferantenverträge einen standardisierten, nachvollziehbaren Wert verlangen, wie es auch unser Beitrag zur NIS2-Umsetzung in Deutschland beschreibt.
- Internetexponierte Systeme (VPN-Gateways, Backup-Server, Webportale): Hier sollte jede KEV-Mitgliedschaft unabhängig vom EPSS-Wert sofortige Priorität haben, EPSS dient danach nur zur Feinsortierung der übrigen offenen Lücken.
- Software-Lieferketten und SBOM-Pflege: Bei Hunderten Abhängigkeiten liefert CVSS die Erstbewertung neuer CVEs, während EPSS über Wochen beobachtet wird, ob sich das Ausnutzungsrisiko einer bereits bekannten Lücke verändert.
- DevSecOps-Pipelines mit automatisierten Deployment-Gates: Ein robustes Gate blockiert ein Deployment, wenn CVSS ≥ 7 UND (EPSS oberhalb eines definierten Perzentils ODER KEV-Mitgliedschaft) zutrifft, statt sich auf eine einzelne Kennzahl zu verlassen.
- Behörden und KRITIS-Betreiber: Öffentliche Verwaltungen und Betreiber kritischer Infrastrukturen, die unter das geplante KRITIS-Dachgesetz fallen, sollten CVSS für die formale Risikoeinstufung nutzen, EPSS aber zusätzlich heranziehen, um innerhalb der ohnehin knappen Wartungsfenster die dringendsten Fälle zuerst zu schließen, statt starr nach alphabetischer oder zufälliger Reihenfolge vorzugehen.
Migrationsleitfaden: Von CVSS-only zu CVSS+EPSS+KEV
Viele Security-Teams priorisieren noch immer ausschließlich nach CVSS-Schwellenwert. Der folgende Leitfaden beschreibt den praktischen Umstieg auf ein kombiniertes Modell, ohne bestehende Compliance-Prozesse zu gefährden.
- Bestandsaufnahme: Dokumentieren, welcher CVSS-Schwellenwert aktuell als Patch-Kriterium dient und wie viele offene Findings dadurch entstehen. Diese Ausgangsmessung ist wichtig, um den Effekt der Umstellung später überhaupt belegen zu können.
- EPSS-Datenquelle anbinden: Die kostenlose FIRST-API oder den täglichen CSV-Export in die bestehende Scanner- oder Ticketing-Pipeline einspeisen. Für die meisten Teams reicht ein einfaches Skript, das die CVE-Liste einmal täglich gegen die API abgleicht und das Ergebnis als zusätzliches Feld im Ticketsystem speichert.
- CISA-KEV-Abgleich einrichten: Jede offene CVE automatisiert gegen den KEV-Katalog prüfen, KEV-Treffer erhalten unabhängig von CVSS und EPSS höchste Priorität. Auch hier genügt ein täglicher automatisierter Abgleich, da sich der Katalog mehrfach wöchentlich ändert.
- Schwellenwerte neu definieren: EPSS nicht als harten Cut-off nutzen (siehe die 68-%-Miss-Rate weiter oben), sondern als Rangordnung innerhalb der bereits nach CVSS gefilterten Kritisch/Hoch-Kategorie. Ein sinnvoller Startpunkt ist, die oberen 10 % aller offenen CVEs nach EPSS-Perzentil als “diese Woche” zu markieren.
- Asset-Kontext einbeziehen: Kritikalität des betroffenen Systems (Internet-exponiert, Produktionsnetz, Testsystem) als zusätzlichen Faktor ergänzen, bevor die finale Reihenfolge feststeht. Ohne dieses Asset-Tagging bleibt jede Score-Kombination unvollständig, weil identische CVEs auf unterschiedlich kritischen Systemen unterschiedlich behandelt werden müssen.
- Neue Priorisierungsformel testen: Für einen Übergangszeitraum von 4–6 Wochen parallel nach altem und neuem Modell priorisieren und die Ergebnisse vergleichen. So lässt sich früh erkennen, ob die neue Reihenfolge in der Praxis zu abweichenden, aber begründbaren Entscheidungen führt.
- Reporting und SLAs anpassen: Patch-SLAs so umformulieren, dass sie KEV-Mitgliedschaft und EPSS-Perzentil neben dem CVSS-Wert berücksichtigen, ohne die für Audits benötigte CVSS-Dokumentation zu verlieren. Die ursprüngliche CVSS-Meldepflicht bleibt dabei unangetastet bestehen.
- Kontinuierlich nachjustieren: EPSS-Werte täglich neu abrufen, da sich die Rangordnung durch neue Exploit-Aktivität innerhalb weniger Tage verschieben kann. Ein monatlicher Review-Termin, an dem das Team die Trefferquote der eigenen Priorisierung gegen tatsächliche Vorfälle prüft, hilft, das Modell laufend zu justieren.
Vorteile und Nachteile von CVSS
Vorteile: Herstellerunabhängig standardisiert, seit 2005 etabliert, in nahezu jedem Scanner und jeder Ticketing-Lösung verankert, Pflichtbestandteil vieler Meldewege und Verträge, stabil über Zeit statt tagesaktuell schwankend. Weil sich ein einmal vergebener Score nur bei einer offiziellen Neubewertung ändert, eignet sich CVSS auch für langfristige Trendauswertungen und Lieferanten-Audits, bei denen Vergleichbarkeit über Jahre hinweg wichtiger ist als Tagesaktualität.
Nachteile: Berücksichtigt keine realen Bedrohungsdaten, führt laut Picus-Security-Analyse bei CVSS 7+ zu einer Trefferquote von nur rund 2,3 % tatsächlicher Ausnutzung, die neue Version v4.0 wird erst von 25,9 % aller CVEs genutzt, was Vergleichbarkeit erschwert, und hohe Scores ohne Kontext führen regelmäßig zu Alarmmüdigkeit in überlasteten Teams. Zudem bewertet CVSS eine Schwachstelle isoliert vom tatsächlichen Einsatzkontext: Eine kritische Lücke in einem isolierten Testsystem erhält denselben Score wie dieselbe Lücke auf einem öffentlich erreichbaren Produktionsserver, obwohl das reale Risiko völlig unterschiedlich ist.
Vorteile und Nachteile von EPSS
Vorteile: Basiert auf realen Bedrohungsdaten statt rein technischer Merkmale, täglich aktualisiert, kostenlos über die FIRST-API verfügbar, deckt auch CVEs im NVD-Rückstau ab und eignet sich gut zur Priorisierung bei begrenzter Patch-Kapazität. Weil das Modell laut FIRST.org kontinuierlich auf Drift überwacht und bei Bedarf neu trainiert wird, bleibt die Vorhersagequalität auch bei neuen Angriffstechniken vergleichsweise aktuell, ohne dass Nutzer selbst eingreifen müssen.
Nachteile: Kein verlässliches Frühwarnsystem, da der Score laut Nucleus-Security-Studie im Schnitt erst nach einer KEV-Aufnahme deutlich ansteigt, für rund 17 % der 2025 bestätigten KEV-Einträge fehlte zum Entscheidungszeitpunkt überhaupt ein Score, feste Schwellenwerte verpassen laut der KEV-2025-Auswertung bis zu 68 % der real ausgenutzten Schwachstellen, und ohne CVSS fehlt die Information, wie schwerwiegend ein erfolgreicher Angriff tatsächlich wäre. Als Machine-Learning-Modell ist EPSS zudem eine Blackbox: Anders als bei CVSS lässt sich ein einzelner Wert nicht durch eine nachvollziehbare Formel aus einzelnen Metriken herleiten, was die Nutzung in formalen Audit-Prozessen erschwert.
Das Urteil: Welches System gewinnt?
Keins von beiden allein. Die Datenlage aus diesem Vergleich zeichnet ein klares Bild: CVSS beschreibt zuverlässig die Auswirkung, versagt aber bei der Frage nach der Wahrscheinlichkeit. EPSS beschreibt die Wahrscheinlichkeit erstaunlich gut im Rückblick, kommt aber laut der Nucleus-Analyse als Frühwarnsystem regelmäßig zu spät und lässt sich wegen der 17-%-Deckungslücke nicht als alleiniges Kriterium nutzen. Erst die Kombination aus CVSS (Schwere), EPSS (Wahrscheinlichkeit), CISA-KEV-Mitgliedschaft (bestätigte Ausnutzung) und Asset-Kontext liefert eine belastbare Priorisierung. Genau das bestätigt eine 2026 veröffentlichte Studie, die alle vier Faktoren kombiniert: Das integrierte Modell erreichte eine Risikoreduktion von rund 85 % bei nur etwa 21 % des ursprünglichen Remediation-Aufwands, umgerechnet eine rund 4,7-fache Effizienzsteigerung gegenüber reiner CVSS-Priorisierung.
Für DACH-Unternehmen, die ohnehin unter dem Druck von NIS2-Meldepflichten und einem BSI-gemeldeten Anstieg von 24 % bei neuen Schwachstellen pro Tag stehen, ist das kein akademisches Detail, sondern ein direkter Hebel gegen Überlastung der Security-Teams. Wer heute noch ausschließlich nach CVSS-Schwellenwert patcht, verbringt laut den in diesem Vergleich zitierten Zahlen einen erheblichen Teil der Kapazität mit Schwachstellen, die statistisch kaum ausgenutzt werden, während echte KEV-Fälle im selben Berg von Kritisch-Meldungen untergehen können. Der pragmatische Fahrplan lautet deshalb: CVSS für Compliance und Erstbewertung beibehalten, KEV-Abgleich als nicht verhandelbares Sofort-Kriterium einführen, und EPSS als tägliches Sortierwerkzeug für alles dazwischen nutzen. Keines der drei Signale ersetzt die anderen, aber gemeinsam liefern sie eine Priorisierung, die sich mit echten Daten statt mit einer einzelnen, isolierten Kennzahl begründen lässt.
Häufig gestellte Fragen zu CVSS und EPSS
Ist EPSS besser als CVSS?
Nein, beide messen unterschiedliche Dinge und lassen sich deshalb nicht direkt gegeneinander ausspielen. CVSS bewertet die Schwere im Erfolgsfall, EPSS die Wahrscheinlichkeit, dass es überhaupt zu einem Angriff kommt. Für eine vollständige Risikobewertung braucht es beide Werte gemeinsam, ergänzt um den Kontext des betroffenen Systems.
Kann EPSS CVSS komplett ersetzen?
Nein. EPSS liefert keine Aussage zur potenziellen Schwere eines Angriffs und ist zudem in vielen Meldewegen wie NIS2 nicht als alleiniger Bewertungsmaßstab anerkannt. CVSS bleibt für Compliance-Zwecke Pflicht, während EPSS als operatives Zusatzsignal für die tägliche Priorisierungsarbeit dient.
Was gilt als hoher EPSS-Score?
Es gibt keinen offiziellen Schwellenwert, in der Praxis gelten Werte oberhalb des 90. bis 95. Perzentils häufig als dringend. Wichtiger als ein absoluter Wert ist laut FIRST.org die relative Rangordnung im Vergleich zu anderen offenen CVEs.
Wie oft wird EPSS aktualisiert?
Täglich. Jede CVE erhält einen neuen Score, sobald sich die zugrunde liegenden Bedrohungsdaten ändern, etwa durch neuen Exploit-Code oder verstärkten Scanner-Traffic.
Sollte ich zuerst CVSS-9-Lücken oder Lücken mit hohem EPSS-Wert patchen?
Am robustesten ist die Reihenfolge KEV-Mitgliedschaft vor CVSS-Kritikalität vor EPSS-Rang. Eine CVE mit CVSS 9,8 ohne KEV-Eintrag und niedrigem EPSS-Wert, wie die Veeam- oder Citrix-NetScaler-Beispiele aus diesem Vergleich, ist typischerweise weniger dringend als ein KEV-gelisteter Fall mit niedrigerem CVSS-Score.
Verändert die Kritikalität eines Assets, wie ich beide Scores nutzen sollte?
Ja. Ein hoher EPSS-Wert auf einem isolierten Testsystem ist weniger dringend als ein mittlerer EPSS-Wert auf einem internetexponierten Backup-Server. Die reine Score-Kombination ersetzt keine Asset-Priorisierung.
Reduziert die Kombination aus CVSS und EPSS wirklich Alarmmüdigkeit?
Nach der oben zitierten 2026-Studie ja: Das kombinierte Modell erreichte rund 85 % Risikoreduktion mit nur etwa 21 % des ursprünglichen Remediation-Aufwands. Teams bearbeiten damit weniger, aber gezieltere Findings.
Wie passen CVSS und EPSS zu Patch-Management-SLAs?
Viele SLAs koppeln Reaktionszeiten weiterhin ausschließlich an CVSS-Stufen. Sinnvoller ist eine gestaffelte SLA, die KEV-Treffer innerhalb von 24 bis 72 Stunden verlangt, CVSS-Kritisch-Funde ohne KEV-Eintrag innerhalb von 14 Tagen und den Rest nach EPSS-Rang gestaffelt über die folgenden Wochen abarbeitet.
Brauche ich für EPSS eine eigene Infrastruktur oder Lizenz?
Nein. Die EPSS-Rohdaten sind über die öffentliche FIRST-API und als tägliche CSV-Datei komplett kostenlos verfügbar, ganz ohne Registrierung oder API-Schlüssel. Wer die Werte lediglich in ein bestehendes Ticketsystem einspeisen will, kommt mit einem einfachen täglichen Skript aus. Erst wenn EPSS automatisiert mit Asset-Inventar, Kompensationskontrollen und Reporting verknüpft werden soll, lohnt sich der Blick auf kommerzielle Plattformen wie die in der Preistabelle genannten.
