🔍 Was beobachte ich?

Schwachstellen bekommen einen CVSS-Wert, Bedrohungen eine DREAD-Summe, Risiken eine Farbe in der Matrix. Danach streiten alle ĂŒber die Zahl, nie ĂŒber den Weg dorthin. Ich habe frĂŒher selbst nach Score sortiert und das fĂŒr Priorisierung gehalten.

🎯 Was soll eigentlich erreicht werden?

Vergleichbarkeit. Aus vielen Einzelmerkmalen soll eine Reihenfolge werden, an der sich Aufwand, Budget und Termine festmachen lassen.

⚠ Warum funktioniert das nicht?

Wer viele Dimensionen auf eine Achse zwingt, projiziert – und jede Projektion wirft Information weg. Nachrechnen lĂ€sst sich das am Ă€lteren CVSS v3.1: 2592 mögliche Basisvektoren, aber nur 84 erreichbare Werte; allein auf die 7,5 fallen 47 davon, auf die 9,8 genau einer. Zwei Befunde mit gleichem Score beschreiben womöglich völlig verschiedene Angriffe – sie sind nicht gleich schwer, sondern unvergleichbar. Schwerer wiegt die Verzerrung: Wie stark jede Dimension zĂ€hlt, hat jemand anderes entschieden – DREAD gewichtet Entdeckbarkeit genauso wie Schaden. Das OECD-Handbuch formuliert es fĂŒr zusammengesetzte Indikatoren nĂŒchtern: Gewichte sind Werturteile.

💡 Was funktioniert besser?

Die Dimensionen so lange getrennt halten, wie es geht. SSVC vom SEI und CISA ersetzt den Score durch einen Entscheidungsbaum: heraus kommt eine Handlung, keine Note. Wer doch mit einer Zahl arbeitet, zerlegt sie vor jeder Maßnahme wieder in ihre Bestandteile. Eine 7,5 sagt nicht, was zu tun ist. Erst Angriffsvektor, nötige Rechte und betroffene Schutzziele zeigen, wo der Hebel sitzt. Und wer gewichtet, legt die Gewichte offen. Trau keiner Projektion, die du nicht selbst gewichtet hast.

📚🔍