EPSS — System zur Vorhersage von Exploit-Wahrscheinlichkeiten

EPSS schätzt die Wahrscheinlichkeit, dass eine Schwachstelle innerhalb der nächsten 30 Tage tatsächlich ausgenutzt wird, als Wert zwischen 0 und 1. Es beantwortet damit eine andere Frage als CVSS: nicht „wie schwer wäre eine Ausnutzung“, sondern „wie wahrscheinlich ist sie“. Beide Werte gemeinsam richten die Patch-Reihenfolge an der realen Bedrohung statt an theoretischer Schwere aus.

Historie. EPSS wurde 2019 auf der Black Hat erstmals vorgestellt; 2020 bildete sich innerhalb von FIRST eine eigene Special Interest Group, ab 2021 wurden Werte öffentlich publiziert. Das Modell wurde mehrfach grundlegend überarbeitet — Version 2 (2022), Version 3 (2023) und die aktuelle Version 4, veröffentlicht am 17. März 2025, die zusätzliche Bedrohungsdaten und genauere Modellierung einführte. Fakten. EPSS ist ein datengetriebenes, maschinell trainiertes Modell, das Merkmale einer Schwachstelle mit beobachteter Ausnutzungsaktivität verknüpft und täglich aktualisierte Wahrscheinlichkeiten für alle öffentlichen CVEs liefert. Es ersetzt CVSS nicht, sondern ergänzt es; die US-Behörde CISA empfiehlt die kombinierte Nutzung mit ihrem KEV-Katalog. Wichtig: Ein EPSS-Wert ist nie exakt null. Ausblick & Empfehlung. Angesichts zehntausender neuer CVEs pro Jahr kann niemand alles patchen — EPSS verschiebt den Fokus von „theoretisch kritisch“ auf „realistisch gefährdet“. In der Priorisierung entfaltet es seinen Wert erst im Verbund: hohe Schwere (CVSS) und hohe Ausnutzungswahrscheinlichkeit (EPSS) bei gleichzeitiger Relevanz für das eigene Asset markieren die Fälle, die zuerst gehören.

Auch interessant