CVE-Meldungen verstehen: Was betrifft deine Geräte wirklich?

Eine Schlagzeile nennt eine kritische Sicherheitslücke. Du hast Geräte dieses Herstellers, weißt aber nicht, ob du etwas tun musst. Der Herstellername allein reicht dafür nicht aus. Entscheidend sind das genaue Produkt, die installierte Version und gegebenenfalls eine bestimmte Funktion. Mit einem festen Ablauf kannst du aus einer Warnung eine überprüfbare Aufgabe machen.

Eine CVE ist zunächst eine eindeutige Kennung

CVE-Kennungen ermöglichen es, dieselbe veröffentlichte Schwachstelle über verschiedene Quellen hinweg zuzuordnen. Die Kennung allein sagt weder, wie schwerwiegend die Lücke ist, noch, ob dein Gerät bereits angegriffen wurde. Suche deshalb nach der vollständigen Kennung und öffne den zugehörigen Herstellerhinweis.

Dort stehen gewöhnlich betroffene Produkte, Bedingungen und Abhilfen. Beachte Veröffentlichungsdatum und letzten Änderungsstand. Eine ältere Meldung kann später neue Versionsangaben oder Hinweise auf tatsächliche Angriffe erhalten. Der neuere Stand verdient deshalb einen erneuten Blick, auch wenn dir die CVE bereits bekannt vorkommt.

Trenne Schweregrad, Prognose und beobachtete Angriffe

CVSS beschreibt anhand festgelegter Merkmale den Schweregrad einer Schwachstelle. Die Bewertung hilft bei der Einordnung, ist aber keine persönliche Wahrscheinlichkeit für einen Angriff auf deinen Rechner. Lies auch, ob beispielsweise ein Konto oder eine bestimmte Erreichbarkeit Voraussetzung ist.

EPSS schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in den kommenden 30 Tagen in freier Wildbahn ausgenutzt wird. Auch das ist keine individuelle Vorhersage für dein Netz. Der CISA-Katalog KEV enthält dagegen Schwachstellen, deren Ausnutzung bekannt ist. Ein fehlender KEV-Eintrag beweist nicht, dass eine Lücke harmlos oder noch nie angegriffen worden ist.

Vergleiche den Hinweis mit deinem tatsächlichen Bestand

Notiere Produktname, Modell, Firmware beziehungsweise Softwareversion und aktivierte relevante Funktionen. Bei einem NAS können Betriebssystem und Zusatzpakete unterschiedliche Versionsstände haben. Bei einer Netzwerklösung sind Verwaltungssoftware, Gateway und Access Points ebenfalls getrennt zu betrachten.

Vergleiche diese Angaben mit der betroffenen Versionsreihe im Herstellerhinweis. Achte auf Formulierungen wie „bis einschließlich“, auf gesonderte Builds und auf ausdrücklich nicht betroffene Reihen. Ein laufendes Cloud-Angebot wird möglicherweise vom Anbieter aktualisiert; bei selbst betriebenen Komponenten musst du die Zuständigkeit selbst klären.

Nutze die passende offizielle Anlaufstelle

Für Fortinet führt der Weg zu den FortiGuard-PSIRT-Meldungen, für Microsoft zum Security Update Guide des MSRC. Bei AVM beziehungsweise FRITZ! helfen die aktuellen Sicherheitsthemen und die Update-Hinweise zum konkreten Modell. Synology veröffentlicht Product Security Advisories; beachte dort das genannte Betriebssystem oder Paket.

Cisco bündelt seine Hinweise unter Security Advisories. Ubiquiti verweist im Trust Center auf Advisory Bulletins. Die offiziellen Einstiege sind unten verlinkt. Eine Sammelmeldung kann mehrere Produkte und CVEs enthalten: Ordne jede Versionsangabe der richtigen Einzelmeldung zu, bevor du daraus eine Maßnahme ableitest.

Plane die Abhilfe und einen anschließenden Test

Bei betroffenen, erreichbaren Systemen und belegter Ausnutzung ist eine zügige Bearbeitung besonders wichtig. Prüfe das vom Hersteller empfohlene Update samt unterstütztem Upgrade-Pfad. Sichere vorher Konfiguration und wichtige Daten und plane, wie du nach einem Fehler wieder Zugang erhältst. Bei einem Produktionssystem gehören Wartungszeit und verantwortliche Person dazu.

Ein Workaround ist nur dann passend, wenn der Hersteller ihn für genau diesen Fall beschreibt. Er kann Funktionen einschränken und ersetzt nicht automatisch ein späteres Update. Installiere keine beliebige ältere „Fix-Version“, ohne zu prüfen, ob inzwischen weitere relevante Lücken oder neuere Empfehlungen existieren.

Halte fest, was erledigt wurde und was offen bleibt

Kontrolliere nach dem Neustart die tatsächlich laufende Version und wichtige Funktionen. Notiere CVE, Gerät, Quelle, Prüfdatum, Maßnahme und Ergebnis. So kannst du eine Meldung nachvollziehbar abschließen und spätere Aktualisierungen einordnen.

Ein Update allein beweist nicht, dass ein zuvor angreifbares Gerät unversehrt geblieben ist. Bei verdächtigen Konten, Konfigurationsänderungen oder anderen Auffälligkeiten brauchst du zusätzlich eine Prüfung des möglichen Vorfalls. Diese Grundlagen wurden am 18. September 2026 mit den verlinkten Quellen abgeglichen; konkrete Sicherheitsmeldungen benötigen immer ihren eigenen aktuellen Prüfstand.