KEV nach BOD 26-04 – EPSS sortiert den Rest

BOD 26-04 der Cybersecurity and Infrastructure Security Agency (CISA) bündelt seit dem 10. Juni 2026 die Remediation-Leitlinien und hebt BOD 19-02 sowie BOD 22-01 auf. Die Priorität steuern jetzt öffentliche Exposition, KEV-Status, Automatisierbarkeit der Ausnutzung und technischer Impact. Ein pauschales Patch-All entfällt.

Verwandt: Anthropic: Claude knackte drei Firmen  ·  Codex Security: Offener Client füttert OpenAI

BOD 26-04 steuert Dringlichkeit über vier Risikovariablen

Mit der Binding Operational Directive 26-04 (Prioritizing Security Updates Based on Risk) vom 10. Juni 2026 bündelt CISA die Remediation-Leitlinien und hebt BOD 19-02 vom 29. April 2019 sowie BOD 22-01 vom 3. November 2021 auf. Die Richtlinie gilt verbindlich für US-FCEB-Behörden. Acting CISA Director Nick Andersen betont den Fokus auf höchstes Risiko und rät allen Partnern, vergleichbare Maßnahmen in die eigene Policy zu übernehmen.

Was ist EPSS? EPSS steht für Exploit Prediction Scoring System. Es schätzt für eine Schwachstelle die Wahrscheinlichkeit, dass sie in den kommenden 30 Tagen tatsächlich ausgenutzt wird. Der CVSS-Score beschreibt dagegen die Schwere. EPSS wird täglich neu berechnet.

Die Dringlichkeit steuern vier Variablen: öffentliche Exposition, Status im Known Exploited Vulnerabilities (KEV) Catalog, Automatisierbarkeit der Ausnutzung und technischer Impact (Partial versus Total Control). Methodisch verweist BOD 26-04 im Appendix A auf die Stakeholder-Specific Vulnerability Categorization (SSVC) von CERT/CC und Carnegie Mellon SEI. Niedriges Risiko darf auf das nächste System-Upgrade verschoben werden. Die höchsten Kombinationen verlangen sehr kurze Fristen inklusive Forensic Triage. Die vollständige SLA-Matrix (Table 1: Remediation Timelines) ist auf der CISA-Seite zu zitieren; sie sollte im eigenen Plan 1:1 referenziert und nicht rekonstruiert werden.

CISA begründet den Shift von „alles gleich dringend“ zu risikofokussiertem Patchen auch mit AI-Nutzung durch Angreifer: Die Reaktionsfenster zwischen Patch und Ausnutzung verkürzen sich. Parallel gilt: Ein Update allein entfernt einen bereits vorhandenen Angreifer nicht. Forensic Triage ist bei den zeitkritischsten Fällen Teil der Policy-Antwort, nicht optionale Nacharbeit.

KEV bleibt der harte Trigger für sofortige Adressierung

CISA empfiehlt allen Organisationen, den KEV-Katalog als Input in das Priorisierungs-Framework aufzunehmen und KEV-Schwachstellen im Vulnerability-Management-Plan sofort zu adressieren. Die Aufnahme ins KEV setzt drei Kriterien voraus: eine CVE ID, belastbare Evidenz aktiver Ausnutzung in the wild und eine klare Remediation-Handlung.

Proof-of-Concept-Code, reines Scanning und Security-Research gelten laut CISA nicht als active exploitation für den KEV-Katalog. Das grenzt den Katalog von der breiten CVE-Population ab und macht ihn als harte Prioritätsliste nutzbar. Für DACH-Teams bedeutet das: KEV-Einträge in Inventar und Ticket-System mit eigener Asset-Exposition und Control-Lage koppeln, statt sie nur als Meldeliste zu archivieren. CISA-Programme wie Vulnrichment und Continuous Diagnostics and Mitigation (CDM) untermauern denselben Fokus auf verwertbare, priorisierte Signale.

EPSS misst Wahrscheinlichkeit, nicht Severity oder Gesamt-Risiko

Das Exploit Prediction Scoring System (EPSS) unter dem Dach von FIRST (Forum of Incident Response and Security Teams), betrieben von der EPSS Special Interest Group und mit Scores von Empirical Security, schätzt die Wahrscheinlichkeit, dass eine publizierte CVE in den nächsten 30 Tagen in the wild ausgenutzt wird. Die Scores sind täglich verfügbar und frei nutzbar.

FIRST definiert EPSS ausdrücklich als kalibrierte Wahrscheinlichkeit, nicht als Severity- oder vollständigen Risk-Score. Presence, Reachability und Consequence muss die Organisation selbst hinzufügen. Als Orientierung für Programme, die von CVSS Critical abwandern: Die ungefähre EPSS-Äquivalenz der 90. Perzentile liegt bei etwa 0,04 (4 Prozent). Ein Threshold von 50 Prozent depriorisiert den Großteil der CVE-Population; der Median liegt um etwa 0,7 Prozent, der Mean um etwa 2,8 Prozent.

FIRST warnt vor Score Laundering: EPSS mit ordinalen CVSS-Werten multiplizieren ergibt keinen interpretierbaren kombinierten Risk-Score. EPSS bleibt für die große Menge nicht-KEV-CVEs nützlich. Niedriger EPSS und KEV-Listing schließen sich nicht aus. Bei KEV-Listing empfiehlt FIRST die Priorisierung unabhängig vom EPSS-Score.

Vendor-Studien zeigen Grenzen von Score-Stacks und Early-Warning-Annahmen

Laut einem Beitrag von Sıla Özeren Hacıoğlu (Picus Security, 16. April 2026) kann die Kombination aus EPSS, Common Vulnerability Scoring System (CVSS) und CISA KEV die dringende Priorisierungs-Last stark reduzieren; Picus nennt „as much as 95 percent“. EPSS allein bleibt global und kennt die eigenen Controls nicht. Picus argumentiert weiter, dass Control-Validierung vor dem reinen Score-Stack steht: Ob der eigene Exploit-Pfad blockiert ist, entscheidet die lokale Lage. Das erweitert CISA- und FIRST-Logik, steht aber im Vendor-Interesse einer BAS- und Control-Validation-Plattform.

Tally Netzer (Nucleus Security, 12. Mai 2026) berichtet aus einer Stichprobe von 22 der 122 KEV-Zugänge zwischen Oktober 2025 und März 2026: Die mediane EPSS-Bewegung nach KEV-Listing war etwa 121-mal größer als davor; der stärkste EPSS-Anstieg lag bei KEV plus zwei Tagen. Nucleus argumentiert empirisch, dass Teams EPSS fälschlich als Early-Warning behandeln, obwohl der Anstieg bei vielen KEV-CVEs erst nach öffentlicher KEV-Bestätigung kommt. Das passt zur FIRST-Position: EPSS ist Populations-Wahrscheinlichkeit und kein Ersatz für KEV oder lokalen Kontext.

Prüfschritte für Vulnerability-Management im DACH-Raum

Der KEV-Katalog gehört als fester Input ins Priorisierungs-Framework: Jeder neue KEV-Eintrag triggert Asset-Abgleich, Expositionsprüfung und Remediation-Ticket mit Owner und Frist. EPSS dient der Sortierung der nicht-KEV-Menge, etwa ab der 90. Perzentile als Arbeitsgrenze, ohne CVSS und EPSS zu multiplizieren. Die vier BOD-Variablen lassen sich in eigene Policy-Felder übersetzen: internet-exponiert ja/nein, KEV ja/nein, Automatisierbarkeit, Partial- oder Total-Control-Impact.

Für die höchste Risikoklasse sind Forensic-Triage-Schritte vorab zu definieren: Log- und Endpoint-Sicht, IOC-Suche, Isolation und Nachweis, dass kein Angreifer vor dem Patch bereits aktiv war. Niedrige Kombinationen dürfen bewusst auf das nächste System-Upgrade wandern, wenn das dokumentiert und freigegeben ist. Board- und Aufsichtsberichte profitieren von Kennzahlen wie Anteil offener KEV-Treffer nach Exposition, Medianzeit bis Remediation bei KEV und Anteil der CVE-Population oberhalb der gewählten EPSS-Schwelle.

Wer den Stack aus CVSS, EPSS und KEV nutzt, sollte Control-Validierung und Reachability als vierte und fünfte Schicht behandeln. So bleibt die Priorisierung interpretierbar und vermeidet die Annahme, ein steigender EPSS-Wert ersetze den KEV-Trigger oder die lokale Asset-Lage.

Häufige Fragen

Gilt BOD 26-04 auch für Unternehmen im DACH-Raum?

Verbindlich steuert BOD 26-04 US-FCEB-Behörden. Acting CISA Director Nick Andersen rät allen Partnern, vergleichbare risikofokussierte Maßnahmen in die eigene Policy zu übernehmen. Für DACH-Organisationen ist der Text eine belastbare Blaupause für Vulnerability-Management, nicht deutsches Recht.

Wann kommt eine CVE in den CISA KEV-Katalog?

Laut CISA braucht es drei Kriterien: eine CVE ID, belastbare Evidenz aktiver Ausnutzung in the wild und eine klare Remediation-Handlung. PoC, Scanning und reine Security-Research gelten nicht als active exploitation für KEV.

Wie soll EPSS neben KEV und CVSS eingesetzt werden?

FIRST positioniert EPSS als kalibrierte 30-Tage-Ausnutzungswahrscheinlichkeit. Bei KEV-Listing priorisieren Teams unabhängig vom EPSS-Score. EPSS sortiert die große nicht-KEV-Menge. EPSS mit CVSS zu multiplizieren (Score Laundering) ergibt laut FIRST keinen interpretierbaren Risk-Score.

Warum reicht Patchen bei den kritischsten Fällen nicht aus?

BOD 26-04 betont, dass ein Update einen bereits vorhandenen Angreifer nicht entfernt. Bei den höchsten Risikokombinationen sind sehr kurze Remediation-Fristen inklusive Forensic Triage vorgesehen. CISA verweist zusätzlich auf verkürzte Reaktionsfenster durch AI-Nutzung auf Angreiferseite.

Welche EPSS-Schwelle eignet sich als Arbeitsgrenze?

FIRST nennt als Orientierung die 90. Perzentile bei ungefähr 0,04 (4 Prozent). Ein Threshold von 50 Prozent depriorisiert den Großteil der CVE-Population; Median und Mean liegen bei etwa 0,7 bzw. 2,8 Prozent. Die Schwelle muss Presence, Reachability und Consequence der eigenen Umgebung ergänzen.

Lesetipps der Redaktion

• Anthropic: Claude knackte drei Firmen
• Codex Security: Offener Client füttert OpenAI
• CERT-Bund zieht Zabbix-Warnung nach 24 Stunden zurück

Mehr aus dem MBF Media Netzwerk

Bildquelle: KI-generiert (August 2026)