EPSS (Exploit Prediction Scoring System)

EPSS (Exploit Prediction Scoring System) ist ein vom Forum of Incident Response and Security Teams (FIRST) betriebenes Bewertungssystem, das für jede veröffentlichte CVE die Wahrscheinlichkeit schätzt, dass sie innerhalb der nächsten 30 Tage in der Praxis ausgenutzt wird. Der Score liegt zwischen 0 und 1 (0 bis 100 Prozent) und wird täglich neu berechnet. Ergänzend gibt das Perzentil an, wie der Score im Vergleich zu allen anderen CVEs steht.

Warum EPSS wichtig ist

Jedes Jahr werden zehntausende neue CVEs veröffentlicht, aber nur ein kleiner Anteil davon wird jemals in echten Angriffen genutzt. Wer nach CVSS priorisiert, behandelt eine kritische Schwachstelle in einer Software, die niemand angreift, genauso dringend wie eine, die gerade in Ransomware-Kampagnen verwendet wird. EPSS liefert die fehlende Dimension: nicht „wie schlimm wäre es“, sondern „wie wahrscheinlich passiert es“. In Kombination mit CVSS und dem CISA-KEV-Katalog lässt sich die Liste der dringend zu behebenden Schwachstellen deutlich verkleinern, ohne die wirklich ausgenutzten zu übersehen.

So funktioniert EPSS

EPSS ist ein Machine-Learning-Modell, das für jede CVE Merkmale wie Hersteller, betroffenes Produkt, CWE-Kategorie, CVSS-Metriken, das Vorhandensein öffentlicher Exploits oder Proof-of-Concepts, Erwähnungen in Sicherheits-Tools und Referenzen in der CVE-Beschreibung mit tatsächlich beobachteten Ausnutzungsversuchen aus Sensor- und Honeypot-Daten in Beziehung setzt. Daraus entsteht täglich:

• Score: die geschätzte Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen, etwa 0,92 für 92 Prozent.
• Perzentil: der Anteil aller CVEs mit einem niedrigeren Score. Ein Perzentil von 0,99 bedeutet, dass die CVE zum obersten Prozent gehört.

Das Modell wird regelmäßig überarbeitet, zuletzt mit Version 4 im Jahr 2025. Die Daten sind frei über eine API abrufbar.

So nutzt blacklens.io EPSS

blacklens.io zeigt zu jedem Finding mit CVE den EPSS-Score und das Perzentil neben CVSS v3/v4, CISA-KEV-Status, Exploit- und PoC-Verfügbarkeit und der behobenen Version. Liegt der EPSS-Wert über 0,80 und ist ein Exploit verfügbar, wird die Alert-Schwere automatisch angehoben. Die Werte werden über den Threat-Intel-Feed (unter anderem VulDB, NVD, EPSS, VulnCheck, CISA KEV) laufend aktualisiert, sodass eine Schwachstelle, die heute noch unauffällig ist und morgen aktiv ausgenutzt wird, in der Priorisierung nach oben wandert.

Ersetzt EPSS den CVSS-Wert?

Nein. CVSS beschreibt die Schwere und Auswirkung, EPSS die Wahrscheinlichkeit der Ausnutzung. Für die Priorisierung braucht es beides plus den Kontext des Assets: Ist es aus dem Internet erreichbar, welche Daten verarbeitet es, gibt es kompensierende Maßnahmen?

Ab welchem EPSS-Wert sollte ich handeln?

Es gibt keine offizielle Schwelle. In der Praxis werden häufig Schwachstellen mit EPSS über 0,1 bis 0,2 oder einem Perzentil über 0,9 als dringend behandelt; ab 0,8 ist die Ausnutzung sehr wahrscheinlich. Wichtiger als eine feste Zahl ist die Kombination mit KEV-Status und Erreichbarkeit.

Warum ändert sich der EPSS-Wert einer CVE?

Weil das Modell täglich neu rechnet und neue Informationen einfließen: ein veröffentlichter Exploit, die Aufnahme in Angriffs-Frameworks, beobachtete Scans. Eine CVE kann innerhalb weniger Tage von 0,02 auf 0,9 springen. Deshalb sollte die Priorisierung automatisch nachgeführt werden.