Bei der Behebung von Softwareschwachstellen verlässt sich die IT-Sicherheit seit Jahren auf einen Standard: den CVSS-Score (Common Vulnerability Scoring System), der Sicherheitslücken auf einer Skala von 0 bis 10 bewertet. Höhere Werte bedeuteten bislang höhere Priorität beim Einspielen von Updates. Doch diese pauschale Herangehensweise ist zu simpel für die Realität moderner IT-Landschaften.
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat diesen Ansatz nun revidiert und ein praxisorientiertes Modell eingeführt: das sogenannte Risk-Based Patching. Statt sich allein auf die technischen Merkmale einer Schwachstelle zu verlassen, rückt nun der konkrete geschäftliche Kontext in den Fokus.
Das neue Modell arbeitet mit vier zentralen Fragen: Wird die Schwachstelle aktuell aktiv ausgenutzt? Ist die betroffene Software in der eigenen Infrastruktur überhaupt im Einsatz? Wie kritisch ist der Geschäftsprozess, den diese Software unterstützt? Welche Abwehrmassnahmen sind bereits vorhanden? Diese Fragen ermöglichen eine viel bessere Einschätzung der tatsächlichen Gefahr für das einzelne Unternehmen.
Der praktische Vorteil liegt auf der Hand: Ein hochbewerteter CVSS-Score für ein spezialisiertes Entwickler-Werkzeug erfordert möglicherweise weniger Eile als ein niedrig bewerteter Score für ein unternehmensweites Anwendungssystem. Mit dem risikobasierten Ansatz lassen sich Patch-Ressourcen deutlich effizienter einsetzen und kritische Updates schneller identifizieren.
Für kleine und mittlere Unternehmen ist diese Neuerung besonders wertvoll. Viele KMUs haben begrenzte IT-Sicherheitsteams und können nicht alle Updates sofort einspielen. Der risikobasierte Ansatz hilft ihnen, zielgerichtet vorzugehen und ihre beschränkten Ressourcen auf die wirklich wichtigen Patches zu konzentrieren. Damit steigt nicht nur die Sicherheit, sondern auch die Effizienz der Patch-Management-Prozesse erheblich.