Wie Sie Risiko wirklich priorisieren

BOD 26-04: das Ende der Ära „patch alles über 7.0“

Die CISA-Direktive vom 10. Juni 2026 ersetzte BOD 19-02 (Remediation nach CVSS) und BOD 22-01 (den KEV-Katalog). Statt einer Zahl stellt sie vier Ja-Nein-Fragen, die Sie für jede Schwachstelle beantworten müssen:

• Ist die Ressource öffentlich exponiert? (Publicly Exposed)
• Steht die CVE im KEV-Katalog? (über 1.300 Einträge, Stand Juni 2026)
• Lässt sich die Ausnutzung vollständig automatisieren? (Automatable)
• Erlangt der Angreifer teilweise oder vollständige Kontrolle? (Partial / Total control)

Vier Variablen ergeben sechzehn Kombinationen und fünf Fristenstufen: 3 Tage mit verpflichtender Kompromittierungsprüfung, 3 Tage, 14 Tage, 60 Tage und „beim nächsten System-Update beheben“. Der schärfste Fall, KEV plus vollständige Übernahme der Ressource, verlangt mehr als einen Patch. Sie müssen zusätzlich prüfen, ob das System nicht bereits kompromittiert ist.

Beachten Sie zwei Punkte. Erstens sind die Fristen dynamisch: Nehmen Sie eine Ressource vom Internet, ändert sich ihr Wert „Publicly Exposed“ und die Frist verschiebt sich. Zweitens verkürzt das Modell die Dringlichkeitsliste drastisch. In einer CISA-Analyse bei einer großen Zivilbehörde fielen nur 1% der Schwachstelleninstanzen in die Drei-Tage-Kategorie, und über 60% ließen sich bis zum nächsten Update aufschieben.

„Das ist eine US-Direktive“ - und betrifft Sie trotzdem

BOD 26-04 bindet US-Bundesbehörden. Sie bindet etwas anderes: die Novelle des Gesetzes über das nationale Cybersicherheitssystem vom 23. Januar 2026 (GBl. 2026 Pos. 252), die am 3. April 2026 in Kraft trat und die NIS2-Richtlinie in polnisches Recht überführte. Der Zeitplan ist konkret:

• 3. Oktober 2026: Antrag auf Eintragung in das Verzeichnis nach der Selbsteinschätzung (System S46).
• 3. April 2027: Managementsystem für Informationssicherheit und die Pflichten aus Kapitel 3 umgesetzt.
• 3. April 2028: erstes Audit für wesentliche Einrichtungen.

Die Bußgelder reichen bis 10 Mio. EUR oder 2% des Umsatzes, mit einer zweijährigen Schonfrist vor der Verhängung, und die Haftung trifft auch die Geschäftsleitung persönlich. Zwei Punkte aus dem Maßnahmenkatalog nach Art. 21 Abs. 2 NIS2 treffen das Thema dieses Beitrags direkt: „Umgang mit Schwachstellen und deren Offenlegung“ sowie Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen, also unter anderem Pentests und Audits.

Und hier beginnt das Problem, das BOD 26-04 kostenlos löst. Weder NIS2 noch das KSC-Gesetz sagen Ihnen, wie Sie priorisieren sollen. Einen CVSS-Schwellenwert oder eine Fristenliste finden Sie darin nicht. Sie müssen Ihre eigene Methode definieren, dokumentieren und verteidigen, und genau nach diesem Dokument fragt ein Auditor.

Stellen Sie sich die Frage vor: Warum hat diese Schwachstelle acht Monate gewartet? Die Antwort „weil sie 5.3 im CVSS hatte“ klingt nach Ausrede. Die Antwort „weil die Ressource nicht öffentlich exponiert war, die CVE nicht im KEV stand und die Auswirkung teilweise war, gemäß unserer Priorisierungspolitik auf Basis von CISA BOD 26-04 und SSVC“ klingt nach Risikomanagement. Die US-Direktive zu übernehmen ist der günstigste Weg, dem eigenen Prozess eine anerkannte Herkunft zu geben, ohne zu warten, bis jemand in Warschau oder Brüssel eine polnische Fassung veröffentlicht.

CVSS, EPSS, SSVC: jedes beantwortet eine andere Frage

Drei Abkürzungen, drei ganz verschiedene Aufgaben. Der Fehler beginnt, sobald Sie eine durch eine andere ersetzen.

CVSS v4.0 beantwortet: Wie gefährlich ist dieses Loch isoliert betrachtet? Es ist eine technische Baseline. Die Änderungen gegenüber v3.1 sollte man kennen: Die Gruppe Temporal wurde zu Threat, Scope wich der Trennung in Vulnerable System und Subsequent System, und Ergebnisse werden als CVSS-B, CVSS-BT, CVSS-BE oder CVSS-BTE angegeben. Die Impact-Metriken nehmen die Werte High, Low oder None an. Die Begriffe Total und Partial control stammen aus SSVC, nicht aus CVSS.

EPSS v4 (März 2025) beantwortet: Wie hoch ist die Wahrscheinlichkeit einer Ausnutzung binnen 30 Tagen? Ein Machine-Learning-Modell, gespeist mit CVE-Metadaten und Threat-Intelligence-Signalen aus vielen Feeds. Die Zahlen sind eindrücklich: Eine Behebung ab einem EPSS-Wert von 0,1 betrifft 2,7% der Schwachstellen und deckt 63,2% der tatsächlich ausgenutzten ab. FIRST selbst warnt aber, dass EPSS Ihre Umgebung nicht kennt und nicht das einzige Kriterium sein darf.

SSVC beantwortet: Was tue ich damit bei mir? Statt einer Zahl erhalten Sie eine Entscheidung: Act (sofortige koordinierte Reaktion), Attend (schneller als das normale Wartungsfenster), Track* (verschärftes Monitoring, Behebung im normalen Fenster), Track (normales Fenster). Genau diese SSVC-Entscheidungspunkte, Automatable und Technical Impact, bilden das Gerüst von BOD 26-04.

Kommerzielle Systeme: Komfort gegen die Blackbox

Tenable (VPR), Qualys (TruRisk) und Rapid7 (Active Risk) tun dasselbe, was Sie von Hand täten, nur schneller: Sie verbinden CVSS, EPSS, KEV und Daten zur Aktivität im Netz zu einem einzigen Wert. Der Gewinn kann real sein. Tenable gibt an, dass CVSS rund 60% der Schwachstellen als high oder critical markiert, während die neue VPR-Generation das Feld auf 1,6% verengt.

Der Preis für diesen Komfort ist begrenzte Transparenz. Warum ein Wert von 4 auf 8 springt, erfahren Sie selten. Behandeln Sie diese Werkzeuge als Frühwarnsystem, nicht als Orakel.

Die Sicht des Angreifers: Warum ein Medium der Königsweg sein kann

Ein Pentester sucht nicht die eine kritische Lücke. Wir suchen einen Pfad. Als Medium markierte Schwachstellen sind für uns oft die wertvollsten, weil sie sich perfekt in eine Angriffskette fügen.

Zurück zum fehlenden SMB-Signing. Nessus stuft das als Medium ein (Plugin 57608, CVSS 5.3), und zu Recht, denn die Lücke selbst gibt nichts preis. Das Problem ist, was sich darauf aufbauen lässt. Es hilft, zwei verschiedene Angriffe zu trennen, die oft in einen Topf geworfen werden:

• NTLM-Relay: Der Angreifer vergiftet LLMNR/NBT-NS/mDNS, fängt einen Authentifizierungsversuch ab und leitet ihn an einen Server ohne SMB-Signing weiter. Er authentifiziert sich als das Opfer, ohne dessen Passwort zu kennen oder zu knacken. Das ist Technik T1557.001 in MITRE ATT&CK.
• Offline-Cracking: Statt die Authentifizierung weiterzuleiten, speichern Sie den NetNTLMv2-Hash und knacken ihn lokal. Hier fällt das Passwort tatsächlich, aber nur, wenn es schwach ist.

Hinzu kommt das Erzwingen von Authentifizierung mit Werkzeugen wie PetitPotam oder Coercer (T1187), das nicht einmal geduldiges Warten auf Verkehr im Netz erfordert.

# 1. Wytypowanie hostów bez wymuszonego podpisywania SMB
nxc smb 10.10.0.0/24 --gen-relay-list unsigned_hosts.txt

# 2. Tryb relay: NAJPIERW w Responder.conf ustaw SMB = Off oraz HTTP = Off,
#    inaczej Responder zajmie porty potrzebne ntlmrelayx
sudo responder -I eth0 -v

# 3. W drugim terminalu - przekazanie uwierzytelnienia (bez znajomości hasła)
sudo ntlmrelayx.py -tf unsigned_hosts.txt -smb2support -i

# 4. Ścieżka alternatywna: łamanie przechwyconego hasha NetNTLMv2 offline
hashcat -m 5600 hashes.txt rockyou.txt

Fairerweise: Windows 11 24H2 verlangt SMB-Signing in beide Richtungen, und Windows Server 2025 erzwingt es auf der Client-Seite. Wenn Ihre Umgebung einheitlich und aktuell ist, verengt sich dieser konkrete Vektor. Der Haken ist, dass fast niemand eine solche Umgebung hat. Es bleiben NAS-Geräte, Samba unter Linux, OT-Geräte, Legacy-Systeme und LDAP-Relay, das SMB-Signing allein nicht stoppt.

Auswirkung aufs Geschäft: Warum sich das Reaktionsfenster geschlossen hat

Die Marktdaten erklären die Eile der CISA. Laut Verizon DBIR 2025 entfallen 20% der Verletzungen auf die Ausnutzung von Schwachstellen (plus 34% gegenüber dem Vorjahr), und der Anteil von Edge-Geräten und VPNs stieg von 3% auf 22%. Die mediane Behebungszeit solcher Geräte liegt bei 32 Tagen, bei einer medianen Zeit von der Offenlegung bis zur Massenausnutzung von null Tagen.

Die Google Threat Intelligence Group zählte 2025 90 in freier Wildbahn ausgenutzte Zero-Days, mit einem Rekordanteil an Enterprise-Technologie. Die durchschnittliche Time-to-Exploit fiel von 63 Tagen im Jahr 2018 auf einen negativen Wert: Die Ausnutzung läuft heute dem Patch voraus. Ein vierteljährlicher Patch-Zyklus funktioniert in dieser Realität schlicht nicht.

Empfehlungen: wie Sie Remediation in der Praxis steuern

Sie werden nicht alles beheben, und Sie sollten es nicht versuchen. Konzentrieren Sie sich hierauf:

• Holen Sie das Modell BOD 26-04 zu sich. Die vier Fragen (Exposition, KEV, Automatisierbarkeit, Umfang der Übernahme) sind ein fertiges, kostenloses Entscheidungsframework. Der volle Rollout in US-Behörden ist ab Dezember 2026 vorgesehen, Sie haben also Zeit, dem Markt voraus zu sein.
• Halten Sie es als Richtlinie fest, nicht als Gewohnheit. Sind Sie eine wesentliche oder wichtige Einrichtung, brauchen Sie bis zum 3. April 2027 ein dokumentiertes Verfahren zum Umgang mit Schwachstellen. Eine Methode auf Basis von KEV, Exposition und technischer Auswirkung ist vor einem Auditor leichter zu verteidigen als eine Tabelle mit CVSS-Schwellen.
• Kennzeichnen Sie Ihre Assets, bevor Sie Schwachstellen kennzeichnen. Das Modell zerfällt ohne verlässliche Information darüber, was nach außen exponiert und was geschäftskritisch ist. Das ist meist die schwierigste und lohnendste Stufe.
• Nutzen Sie EPSS als Filter, nicht als Urteil. Ein Schwellenwert von 0,1 räumt mit wenig Aufwand den größten Teil des Rauschens weg, aber EPSS weiß nicht, dass auf Ihrem Drucker Domänenadmin-Zugangsdaten gespeichert sind.
• Erzwingen Sie SMB-Signing und schränken Sie NTLM ein. Set-SmbServerConfiguration -RequireSecuritySignature $true, und mittelfristig der Weg zu Kerberos und das Abschalten von NTLM, wo es möglich ist.
• Bilden Sie Angriffsketten ab, nicht nur Lücken. Ein Pentest zeigt, welches Medium in Ihrem konkreten Netz faktisch kritisch ist, etwas, das kein Scanner berechnen kann.

Harte Daten (KEV, EPSS, CVSS) sagen Ihnen, was in der Welt gefährlich ist. Was bei Ihnen gefährlich ist, weiß nur jemand, der Ihre Architektur kennt: Sie oder ein erfahrener Pentester.