Wenn kritische Dienste nicht sofort aktualisiert werden können, entscheidet nicht allein die Sicherheitslücke über das Risiko. Wichtig ist, ob Angreifer sie tatsächlich erreichen und ausnutzen können – und wie wirksam die Schutzmaßnahmen dazwischen sind.