CISA KEV (Known Exploited Vulnerabilities)

Der CISA-KEV-Katalog (Known Exploited Vulnerabilities) ist eine von der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA) gepflegte Liste von Schwachstellen, für die eine Ausnutzung in realen Angriffen nachgewiesen ist. Jeder Eintrag enthält CVE-Nummer, Hersteller, Produkt, eine Kurzbeschreibung, das Aufnahmedatum, eine Behebungsfrist für US-Bundesbehörden und seit 2023 die Angabe, ob die Schwachstelle in Ransomware-Kampagnen verwendet wird.

Warum CISA KEV wichtig ist

Der Katalog ist bewusst klein: Er umfasst nur einen Bruchteil aller CVEs, aber genau die, die Angreifer tatsächlich einsetzen. Für die Priorisierung ist das die verlässlichste Aussage überhaupt, denn im Gegensatz zu einer Vorhersage (EPSS) beschreibt KEV eine beobachtete Tatsache. Steht eine Schwachstelle im Katalog und betrifft ein aus dem Internet erreichbares System, gibt es keinen guten Grund zu warten. Auch wenn die Fristen formal nur für US-Behörden gelten, nutzen Auditoren, Versicherer und Regulierer in Europa den Katalog als Maßstab dafür, was „Stand der Technik“ im Schwachstellenmanagement bedeutet.

So funktioniert der KEV-Katalog

CISA nimmt eine Schwachstelle auf, wenn drei Kriterien erfüllt sind: Es existiert eine CVE-Nummer, es gibt verlässliche Belege für eine aktive Ausnutzung, und es gibt eine klare Handlungsanweisung (Patch, Workaround oder Abschaltung). Die Grundlage ist die Binding Operational Directive 22-01 vom November 2021, die US-Bundesbehörden verpflichtet, KEV-Einträge innerhalb der gesetzten Frist zu beheben. Der Katalog wird laufend erweitert, oft mehrmals pro Woche, und ist als JSON und CSV frei verfügbar. Das Feld „known ransomware campaign use“ zeigt, ob der Eintrag mit Ransomware in Verbindung steht.

So nutzt blacklens.io CISA KEV

blacklens.io kennzeichnet jedes Finding mit CVE, die im KEV-Katalog steht, inklusive Aufnahmedatum, Behebungsfrist und Ransomware-Kennzeichen. Der KEV-Status fließt gemeinsam mit EPSS, Exploit-Verfügbarkeit und CVSS in die Priorisierung ein und kann als Filter in jeder Liste und in BQL-Abfragen verwendet werden. Da neue CVEs in Echtzeit mit Ihrem Technologie-Inventar abgeglichen werden, erscheint eine neu in den Katalog aufgenommene Schwachstelle in einem Ihrer Produkte kurz darauf als Bedrohung im Threat Center und wird dort automatisch verifiziert.

Gilt CISA KEV auch für Unternehmen in Österreich und Deutschland?

Rechtlich verpflichtend ist der Katalog nur für US-Bundesbehörden. Fachlich ist er weltweit relevant, weil Angreifer keine Landesgrenzen kennen. Viele europäische Unternehmen nutzen die KEV-Fristen als interne SLA für die Behebung.

Wie unterscheidet sich KEV von EPSS?

KEV ist eine binäre, belegte Aussage: Diese Schwachstelle wird ausgenutzt. EPSS ist eine Wahrscheinlichkeit für alle CVEs, auch für solche, bei denen noch keine Ausnutzung beobachtet wurde. KEV ist präziser, EPSS früher. Zusammen decken sie beide Fälle ab.

Was tun, wenn eine KEV-Schwachstelle in meinem Inventar auftaucht?

Betroffene Systeme identifizieren, Erreichbarkeit aus dem Internet prüfen, Patch oder Workaround des Herstellers umsetzen und anschließend auf Kompromittierung prüfen. Da KEV-Einträge per Definition bereits ausgenutzt werden, ist ein Retest allein nicht ausreichend; Logs und Systeme sollten auf Spuren untersucht werden.