Was wirklich angegriffen wird — und warum CVSS die falsche Reihenfolge vorgibt

Sechzehn der Lücken, die Angreifer gerade aktiv benutzen, gelten als „mittel“. Wer seine Patch-Reihenfolge am CVSS-Wert ausrichtet und bei „hoch“ den Schlussstrich zieht, hat diese sechzehn nie auf der Liste. Nicht weil jemand sie für harmlos befunden hätte — sondern weil eine Zahl das entschieden hat.

Woher die Zahlen stammen

patchletter verfolgt 722 Produkte und spiegelt den CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV). Dieser Katalog hat eine Aufnahmebedingung, die keine andere Liste stellt: Die Ausnutzung muss beobachtet sein, nicht denkbar. Stand 26. Juli 2026 betreffen 163 Einträge ein Produkt aus unserem Bestand, veröffentlicht zwischen November 2021 und Juni 2026. Die Schweregrade kommen aus der NVD.

Das sind also ausdrücklich nicht „alle CVEs“. Es ist die viel kleinere, viel brauchbarere Menge: die Lücken, durch die tatsächlich jemand gegangen ist.

Schweregrad ist nicht Dringlichkeit

Die letzte Zeile lohnt einen zweiten Blick. Diese sechzehn sind keine Grenzfälle, bei denen noch jemand einen Machbarkeitsnachweis bauen müsste. Sie werden benutzt. CVSS bewertet, wie schlimm eine Lücke im Grundsatz sein könnte; darüber, ob sich jemand die Mühe gemacht hat, sagt der Wert nichts. Eine als „mittel“ bewertete Umgehung der Anmeldung in einem Gerät am Internetrand wiegt schwerer als eine „kritische“ Lücke in einer Bibliothek, die niemand erreicht.

Die praktische Regel ist kurz: ausgenutzt schlägt nicht ausgenutzt, unabhängig vom Wert. CVSS sortiert innerhalb einer Gruppe — es entscheidet nicht, in welche Gruppe etwas gehört.

Ransomware konzentriert sich auf sehr wenige Türen

Vierzig der 163 Einträge tragen CISAs Ransomware-Kennzeichnung. Sie verteilen sich nicht gleichmäßig:

Fünfunddreißig von vierzig sitzen in vier Produkten. Ein Mailserver, zwei Firewalls, ein Wiki — alle von außen erreichbar, alle mit Zugangsdaten bestückt oder selbst der Weg hinein. Wer eines davon betreibt, sollte dessen Release-Notes anders lesen als den Rest.

Der Perimeter ist das Ziel

Auf FortiOS entfallen 14 Einträge, auf PAN-OS 12, auf Cisco IOS XE 4. Dreißig ausgenutzte Schwachstellen in drei Produkten, deren gesamte Aufgabe darin besteht, zwischen dem Internet und allem anderen zu stehen. Das Gerät, das Angreifer draußen halten soll, ist das Gerät, das sie angreifen.

Das dreht eine Gewohnheit um, die in vielen Umgebungen noch gilt: Firewall-Firmware wird langsam und vorsichtig aktualisiert, weil ein Ausfall wehtut, während Arbeitsplätze wöchentlich Patches bekommen. Die Daten legen die umgekehrte Reihenfolge nahe — eine Lücke am Arbeitsplatz braucht jemanden, der etwas anklickt; eine Lücke im Gerät am Netzrand braucht nur einen offenen Port.

Was das am Montagmorgen heißt

• Erst nach ausgenutzt sortieren, dann nach Schweregrad — nie nach Schweregrad allein.
• Geräte am Internetrand als eigene Klasse mit eigener, kürzerer Frist behandeln.
• Wissen, welche dieser vier Produkte im Haus stehen — bevor der nächste Eintrag kommt, nicht danach.

Der letzte Punkt braucht kein Urteilsvermögen, nur eine Liste. patchletter führt sie: Produkte im Katalog anhaken, und du bekommst eine Mail, sobald eines davon im KEV-Katalog auftaucht — den aktuellen Stand zeigt jederzeit die CVE-Seite. Kostenlos, ohne Tracking, gehostet in Deutschland.

Alle Zahlen aus dem eigenen Bestand, Stand 26. Juli 2026: 163 KEV-Einträge über 722 verfolgte Produkte. Schweregrade aus der NVD, Ransomware-Kennzeichnung und Ausnutzungsbeleg von CISA.