Glossar

KEV (Known Exploited Vulnerabilities)

Der KEV-Katalog (Known Exploited Vulnerabilities) der US-Cyberbehörde CISA listet ausschließlich Schwachstellen, deren aktive Ausnutzung in der Praxis nachgewiesen ist. Das unterscheidet ihn von reinen Schweregrad-Bewertungen: Während CVSS beschreibt, wie schlimm eine Lücke theoretisch sein könnte, sagt ein KEV-Eintrag, dass Angreifer sie nachweislich jetzt gerade verwenden – in Ransomware-Kampagnen, durch staatliche Akteure oder in Massen-Scans. Für die Priorisierung ist das der stärkste einzelne Indikator, den es gibt. US-Bundesbehörden sind verpflichtet, KEV-Lücken innerhalb verbindlicher Fristen zu patchen; viele Unternehmen weltweit übernehmen diese Praxis freiwillig. Die Faustregel lautet: Ein KEV-Eintrag in deinem Stack ist ein Vorfall in Wartestellung – er gehört an die Spitze jeder Patch-Liste, unabhängig davon, ob der CVSS-Wert 7.2 oder 9.8 beträgt. Der Katalog wächst laufend und enthält mehrere tausend Einträge – von brandneuen Zero Days bis zu Jahre alten Lücken, die immer noch erfolgreich angegriffen werden, weil Systeme ungepatcht bleiben. Gerade Letzteres ist eine wichtige Lehre: Die meisten erfolgreichen Angriffe nutzen bekannte, längst patchbare Schwachstellen. In der Praxis solltest du neue KEV-Einträge laufend gegen dein Inventar abgleichen. SecFeed synchronisiert den Katalog automatisch und markiert betroffene Meldungen prominent mit einem KEV-Badge („wird aktiv ausgenutzt“). In Kombination mit dem Risk Radar siehst du sofort, ob eine aktiv ausgenutzte Lücke eines deiner Produkte betrifft – und die Checkliste liefert die ersten Schritte gleich mit. Abzugrenzen ist KEV von EPSS: EPSS schätzt die Wahrscheinlichkeit künftiger Ausnutzung, KEV dokumentiert bereits beobachtete Angriffe. Beides ergänzt sich – KEV ist die höchste Eskalationsstufe, EPSS das Frühwarnsystem davor. Wichtig ist auch, was KEV nicht leistet: Der Katalog ist bewusst konservativ und listet nur belegte Fälle; dass eine Lücke (noch) nicht enthalten ist, ist kein Beleg für Sicherheit. Und da die CISA vor allem Fälle mit US-Bezug dokumentiert, kann Ausnutzung im DACH-Raum der Aufnahme vorauslaufen. Trotzdem gilt der Katalog branchenweit als bester gemeinsamer Nenner für die Frage: Was muss zuerst gepatcht werden?

Aktuelle Meldungen dazu: security · ← zum Glossar