Zwei Schwachstellen, ein Wartungsfenster: Der höchste CVSS-Wert bestimmt nicht automatisch die Reihenfolge. Reale Angriffe zeigen, warum OT-Betreiber auch Zugangswege prüfen müssen.
Eine Dampfturbine steht still, die Prozesswasseraufbereitung fällt aus. Bei einem Angriff auf ein polnisches Heizkraftwerk am 29. Dezember 2025 gelangten Angreifer über einen privaten Mobilfunkzugang in das Netz der industriellen Betriebstechnik, kurz OT. Die schnelle Reaktion des Betreibers verhinderte eine Unterbrechung der Wärmeversorgung für rund 50.000 Menschen.
Laut dem Folgebericht von CERT Polska erlaubte eine Fehlkonfiguration die Kommunikation zwischen Geräten innerhalb eines privaten Mobilfunknetzes, eines sogenannten privaten APN. Damit bestand ein Angriffsweg in einer Infrastruktur, die als privat galt. CERT Polska hatte diesen Zugangsweg nach eigener Kenntnis zuvor bei keinem realen Cyberangriff beobachtet.
Ende Juli 2026 meldete Minnesotas IT-Behörde Angriffe auf mehr als 30 lokale Wasserversorgungssysteme. Am 30. Juli warnte die US-Behörde CISA vor Angriffen auf öffentlich erreichbare Steuerungen im Wassersektor. Sie riet, auch Mobilfunkmodems zu prüfen, die Mitarbeiter, Hersteller oder Integratoren eingebaut haben: Solche Verbindungen können in der Dokumentation und bei regelmäßigen Prüfungen der Angriffsfläche fehlen.
Für die Priorisierung folgt daraus: tatsächliche Kommunikationswege prüfen. Eine nach CVSS sortierte Liste von Softwarelücken bildet Konfigurations- und Architekturprobleme nicht vollständig ab.
Warum der CVSS-Wert allein nicht reicht
Ein Beispiel: Zwei Schwachstellen, ein Wartungsfenster. Der Fund mit CVSS 9,8 betrifft ein System mit nachweislich eingeschränkten Zugangswegen. Die niedriger bewertete Lücke sitzt im Fernwartungszugang zu einer zentralen Steuerung; ihre Ausnutzung ist bereits bekannt. Wer nur nach dem höchsten Wert sortiert, behandelt womöglich zuerst das kleinere Risiko.
Das Common Vulnerability Scoring System (CVSS) beschreibt mit seinem Base Score die technische Schwere einer Schwachstelle. Threat- und Environmental-Metriken ergänzen in Version 4.0 Bedrohungslage und Einsatzkontext. Auch Auswirkungen auf die Sicherheit von Menschen (Safety) lassen sich berücksichtigen. Eine vollständige betriebliche Risikobewertung ersetzt das nicht.
Das Exploit Prediction Scoring System (EPSS) schätzt die Wahrscheinlichkeit, dass eine veröffentlichte CVE in den nächsten 30 Tagen in freier Wildbahn ausgenutzt wird. Es ist keine Angriffsprognose für die eigene Anlage. CISAs KEV-Katalog führt Schwachstellen mit belegter Ausnutzung auf; ein fehlender Eintrag bedeutet keine Entwarnung. CISAs SSVC-Entscheidungsbaum verbindet die Ausnutzungslage mit technischen und betrieblichen Auswirkungen und leitet Handlungsstufen ab.
Der Patch ist selbst ein Change
Ein Firmware-Update kann einen Neustart erfordern. Ein Patch auf einer Engineering-Station kann die Werkzeuge beeinträchtigen, mit denen Steuerungen programmiert werden. Danach sind etwa Schnittstellen, Redundanz und Umschaltfunktionen zu prüfen.
Der Technical Report IEC TR 62443-2-3 behandelt Patch Management speziell für industrielle Automatisierungs- und Steuerungssysteme. Was kann passieren, solange die Lücke offenbleibt? Und welche Folgen kann die Änderung für die Anlage haben? Hier müssen Schwachstellenmanagement und Änderungsmanagement beide Risiken abwägen.
Fünf Fragen für die richtige Reihenfolge
Welche Funktion ist betroffen? Maßgeblich sind die Folgen für Produktion, Versorgung, Menschen und Umwelt. Auch ein scheinbar unbedeutendes Hilfssystem kann kritisch sein, wenn andere Anlagenteile davon abhängen.
Wie ist das System erreichbar? Zu prüfen sind reale Wege über Fernwartung, Mobilfunk, gemeinsame Infrastruktur oder einen kompromittierten Engineering-Rechner. „Nur intern erreichbar“ beschreibt noch keine wirksame Absicherung.
Wie konkret ist die Bedrohung? Bekannte Ausnutzung, Herstellerwarnungen und funktionierender Exploit-Code erhöhen den Handlungsdruck. EPSS und KEV sind im Kontext von Version, Konfiguration und Erreichbarkeit zu bewerten.
Welche Barriere wirkt tatsächlich? Entscheidend ist, welche Verbindung unterbunden wird und ob der Angriff über andere Wege möglich bleibt. Eine dokumentierte Firewall-Regel muss den relevanten Zugriff tatsächlich begrenzen. „Netz segmentiert“ genügt als Nachweis nicht.
Wie lässt sich die Änderung beherrschen? Zu klären sind Herstellerfreigabe, notwendige Tests, Sicherung, Rückfall- oder Wiederherstellungsplan und die Funktionsprüfung nach dem Update. Das bestimmt mit, ob das Wartungsfenster vertretbar ist oder ein Notfallchange nötig wird.
Wann der Patch warten darf
Kann der Patch noch nicht sicher installiert werden, braucht es wirksame Schutzmaßnahmen: etwa einen gesperrten Fernwartungszugang oder eine eingeschränkte Funktion. Auch diese Eingriffe sind mit dem Betrieb abzustimmen. Zusätzliche Überwachung kann Angriffe früher sichtbar machen; sie schließt aber keinen Zugangsweg. Reichen die Maßnahmen nicht aus, kann die Behandlung nicht bis zum Wartungsfenster warten.
Jede Verschiebung braucht einen Verantwortlichen, eine dokumentierte Begründung, einen Nachweis der Schutzwirkung und einen Termin zur Neubewertung. Die zuständige Stelle muss das Restrisiko ausdrücklich akzeptieren. Neue Angriffshinweise oder Zugangswege können die Entscheidung vorher hinfällig machen. Für dauerhaft nicht patchbare Systeme braucht es eine tragfähige Absicherung oder einen Plan zur Ablösung.
Vom Score zur begründeten Maßnahme
Die fünf Fragen sollen zu einer begründeten Maßnahme führen. Ein neuer Gesamtscore aus CVSS, EPSS und Anlagenkritikalität reicht dafür nicht: Er sagt noch nicht, ob ein Patch, eine Zugriffssperre oder ein Notfallchange zuerst nötig ist.
Im Zwei-Funde-Beispiel kann das heißen: den gefährdeten Fernwartungszugang kontrolliert sperren, den zugehörigen Patch vorbereiten und die Lücke mit CVSS 9,8 unter überprüften Schutzmaßnahmen im geplanten Wartungsfenster beheben. CVSS 9,8 ist eine dringende Warnung. Die nächste Änderung legt der Wert nicht fest.
