Dein CISO steht in der Tür und fragt, ob ihr heute Nacht patchen müsst. Ein CVSS-Wert von 9.8 wirkt alarmierend, beantwortet die Frage aber nicht. Entscheidend ist der Kontext: Gibt es einen funktionierenden Exploit? Ist das betroffene System aus dem Internet erreichbar? Genau dafür zeige ich dir in diesem Modul einen Workflow, mit dem du ChatGPT als Analyse-Assistenten einsetzt. Am Ende hast du eine nachvollziehbare Patch-Entscheidung, die du in wenigen Minuten statt in einer Stunde erstellst.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
Wichtigste Erkenntnisse
- Der CVSS-Score allein reicht für Priorisierungen nicht aus. Du brauchst zusätzlich EPSS, die Temporal-Werte, die Exploit-Lage und die Erreichbarkeit deiner Systeme.
- Ein gut formulierter Prompt mit fester Struktur liefert dir Executive Summary, technische Details, Risikobewertung, Patch-Migration und Prioritätsempfehlung.
- Den Kontext deiner Umgebung musst du immer selbst mitgeben. Nur so prüft ChatGPT, ob eine Schwachstelle bei dir überhaupt ausnutzbar ist.
- Die Antworten der KI sind Entwürfe. Prüfe Fakten, Versionsangaben und Quellen, bevor du daraus eine Entscheidung ableitest.
Schritt 1: Die Kernfragen zur Schwachstelle klären
Bevor du ChatGPT irgendetwas fragst, solltest du wissen, welche Informationen du brauchst. Ich arbeite dazu mit fünf Fragen: Was ist die Schwachstelle, wie schlimm ist sie wirklich, gibt es Exploits, sind wir betroffen und gibt es einen Patch oder Workaround? Die ersten beiden Fragen beantwortest du mit der technischen Beschreibung und der betroffenen Software samt Versionen. Notiere außerdem den Attack Vector, also ob die Schwachstelle über das Netzwerk, lokal oder physisch ausgenutzt werden kann. Ein Netzwerkvektor ohne Authentifizierung ist deutlich kritischer als ein lokaler Angriff, der Administratorrechte voraussetzt.
Schritt 2: Den Schweregrad richtig einordnen
Der CVSS-Basiswert beschreibt die technische Schwere einer Lücke, aber nicht die Wahrscheinlichkeit eines Angriffs. Dafür brauchst du den EPSS-Score (Exploit Prediction Scoring System). Er gibt an, wie wahrscheinlich es ist, dass eine Schwachstelle in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Ergänze das Bild um die Temporal-Werte, etwa die Verfügbarkeit eines Exploits oder die Existenz eines Workarounds, und um die Environment-Werte, die deine eigene Umgebung berücksichtigen. Erst die Kombination aus diesen Werten zeigt dir, ob eine Lücke nur auf dem Papier gefährlich ist.
Schritt 3: Die Exploit-Lage prüfen
Jetzt prüfst du, ob die Schwachstelle bereits aktiv ausgenutzt wird. Die Exploit-Datenbank, GitHub und Metasploit sind die wichtigsten Anlaufstellen für öffentlich verfügbare Exploits. Ein Exploit auf GitHub oder in Metasploit bedeutet, dass auch weniger erfahrene Angreifer die Lücke nutzen können. Zusätzlich lohnt der Blick in den CISA-KEV-Katalog (Known Exploited Vulnerabilities). Dort findest du Schwachstellen, die nachweislich in echten Angriffen genutzt wurden. Achte auch auf Hinweise, ob Ransomware-Gruppen die Lücke einsetzen. Eine Lücke im KEV-Katalog mit Ransomware-Bezug gehört in der Regel an die Spitze deiner Liste.
Schritt 4: Die eigene Betroffenheit ermitteln
Eine Schwachstelle ist für dich nur dann relevant, wenn du die betroffene Software im Einsatz hast. Prüfe deshalb die installierten Versionen und ob die Komponente aus dem Internet erreichbar ist. Eine Firewall-Schnittstelle, die von außen offen steht, hat ein völlig anderes Risikoprofil als ein Dienst, der nur im internen Netz läuft. Notiere für jedes System: Version, Konfiguration, Exposition. Genau diese Angaben brauchst du im nächsten Schritt, damit die KI deine Umgebung überhaupt bewerten kann.
Schritt 5: Patch-Verfügbarkeit und Workarounds klären
Frag dich, ob bereits ein Patch verfügbar ist und seit wann. Ein Workaround kann kurzfristig helfen, etwa indem du ein Feature deaktivierst, das die Lücke erst ausnutzbar macht. Sei dabei ehrlich: Workarounds kaufen meist nur Zeit. Der Patch bleibt die eigentliche Maßnahme. Wenn ein Patch nicht sofort eingespielt werden kann, etwa weil viele Mitarbeiter gerade auf den Dienst zugreifen, musst du eine befristete Risikoakzeptanz dokumentieren. Bei einer kritischen Lücke mit öffentlichem Exploit prüfst du außerdem, ob du das betroffene System vorübergehend vom Netz nehmen kannst.
Schritt 6: Einen strukturierten Prompt erstellen
Jetzt öffnest du einen neuen ChatGPT-Chat, damit der Verlauf keine Verwirrung stiftet. Gib der KI zuerst eine klare Rolle, etwa die eines Vulnerability-Management-Analysten. Danach fügst du die gesammelten Informationen zur CVE ein und forderst eine feste Gliederung an: Executive Summary, technische Details, CVSS und Risikobewertung, Exploit-Status, Patch-Migration und Prioritätsempfehlung. Bitte außerdem ausdrücklich um aktuelle Quellen und um eine Kennzeichnung, wenn die KI unsicher ist. Dieser letzte Punkt ist wichtig, denn KI-Modelle können veraltete oder falsche Angaben liefern.
Schritt 7: Die Antwort auswerten und die Priorität ableiten
Nach wenigen Sekunden liefert dir ChatGPT die strukturierte Analyse. Lies besonders die Prioritätsempfehlung und ihre Begründung. Typischerweise ordnet die KI eine Lücke mit Exploit und Exposition als kritisch ein, mit einer Frist von 24 Stunden für exponierte Systeme und 72 Stunden für interne. Prüfe diese Fristen gegen deine eigenen Richtlinien und gegen die Angaben aus dem Herstellerhinweis. Auf diese Weise hast du innerhalb von Minuten eine belastbare Grundlage, die du sonst in 30 bis 60 Minuten manueller Recherche erarbeitet hättest.
Schritt 8: Den eigenen Systemkontext einbringen
Eine allgemeine Analyse hilft dir nur begrenzt. Ob eine Lücke bei dir greift, verrätst du der KI erst, wenn du deine Umgebung beschreibst. Im Beispiel der Lektion betreibst du drei Palo-Alto-Firewalls: Auf zwei davon ist GlobalProtect für Remote-Mitarbeiter aktiviert, die dritte dient der internen Segmentierung. Mit dieser Information fragst du gezielt nach, welche Geräte betroffen sind, in welcher Reihenfolge sie gepatcht werden sollten und ob ein Workaround bis dahin ausreicht. Die Antwort zeigt dir, dass die Schwachstelle nur in einer bestimmten Feature-Konfiguration ausnutzbar ist und GlobalProtect dabei der zentrale Faktor ist. Die zwei GlobalProtect-Firewalls müssen daher sofort gepatcht werden, die interne Firewall deutlich später.
Schritt 9: Viele CVEs gleichzeitig priorisieren
Im Scanner-Report stehen selten nur eine Handvoll Lücken, sondern oft hunderte. Dafür erstellst du eine Prioritätsmatrix. Kopiere die CVE-Liste aus dem Scanner für deine Windows-Server in den Chat und bitte ChatGPT um eine Reihenfolge. Die Antwort zeigt dir schnell, welche Systeme sofort gepatcht werden müssen und wo du noch einen zeitlichen Puffer hast. In der Lektion waren es drei Systeme mit sofortigem Handlungsbedarf. Wichtig ist, dass du die Liste als Vorschlag verstehst und die Einstufung mit deinem Fachwissen gegenprüfst.
Schritt 10: Eine Management-Zusammenfassung erstellen
Der CISO braucht keine technischen Details, sondern eine verständliche Einschätzung von Risiko und Geschäftsauswirkung. Formuliere deshalb einen Prompt, der genau das verlangt: keine technischen Details, Fokus auf Risiko und Business Impact, klare Handlungsempfehlung. Innerhalb von Sekunden erhältst du einen Entwurf, den du anschließend prüfst. Achte vor allem darauf, dass die Fakten stimmen. Bei zeitkritischen Themen ist es nebensächlich, ob der Text mit KI entstanden ist. Entscheidend ist, dass die Informationen korrekt sind und die Entscheidung nachvollziehbar bleibt.
Schritt 11: Automatische Alarmregeln definieren
Die beste Analyse nützt wenig, wenn sie zu spät kommt. Deshalb lohnt es sich, Kriterien für automatische Alarme festzulegen. Beschreibe der KI deine Systeme, also Palo-Alto-Firewalls, Windows Server, VMware, Microsoft 365 und Cisco-Switches, und frage nach Kombinationen aus Produkt, CVE-Typ und Exploit-Status, die sofort einen Alarm auslösen sollten. Typische Auslöser sind eine Remote Code Execution oder eine Privilege Escalation auf einem exponierten System, für das ein Exploit verfügbar ist oder das im CISA-KEV-Katalog steht. Die Regeln musst du anschließend in deinem Vulnerability-Management-Tool umsetzen und mit einem Testlauf überprüfen.
Schritt 12: Die Priorisierung nachvollziehbar dokumentieren
Zum Schluss hältst du fest, nach welcher Logik du priorisiert hast. Eine einfache Orientierung bietet die SSVC-Logik, die an die Entscheidungsbäume der CISA angelehnt ist. Eine Lücke gilt als kritisch, wenn sie einen hohen CVSS-Wert hat, ein Exploit existiert und das System exponiert ist. Als hohes Risiko gilt ein verfügbarer Exploit bei einem betroffenen System. Eine hohe CVSS-Bewertung ohne Exploit ergibt ein mittleres Risiko, und eine Lücke ohne Exploit auf einem nicht exponierten System ist niedrig. Dokumentiere jede Entscheidung mit Datum, Begründung und Verantwortlichem. So kannst du bei einem Audit oder einer Nachfrage jederzeit belegen, warum du wann gehandelt hast.
Zusammenfassung – CVE-Analyse mit ChatGPT: Patch-Entscheidungen datenbasiert treffen
Eine gute CVE-Analyse beginnt nicht beim CVSS-Wert, sondern bei der Frage, ob die Lücke bei dir tatsächlich ausnutzbar ist. Du sammelst die Kernfragen zur Schwachstelle, prüfst Schweregrad, Exploit-Lage und Exposition und entscheidest dann über Patch, Workaround oder Risikoakzeptanz. ChatGPT beschleunigt diesen Prozess erheblich, ersetzt aber weder deine Fachkenntnis noch die Prüfung der Quellen. Nutze die KI für Zusammenfassungen, Priorisierungslisten und Management-Berichte, und behalte die finale Entscheidung immer bei dir.
FAQ
Reicht der CVSS-Score aus, um eine Patch-Priorität festzulegen?Nein. Der CVSS-Score beschreibt die technische Schwere, berücksichtigt aber nicht, ob ein Exploit existiert oder ob dein System erreichbar ist. Ergänze ihn immer um EPSS, die Exploit-Lage und deinen Systemkontext.
Was bedeutet der EPSS-Score?EPSS steht für Exploit Prediction Scoring System. Der Wert gibt die Wahrscheinlichkeit an, dass eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird.
Wo finde ich Informationen, ob eine Lücke aktiv ausgenutzt wird?Prüfe die Exploit-Datenbank, GitHub, Metasploit und den CISA-KEV-Katalog. Der KEV-Katalog enthält Schwachstellen, die nachweislich in echten Angriffen genutzt wurden.
Darf ich vertrauliche Systemdaten in ChatGPT eingeben?Das solltest du vermeiden. Verwende anonymisierte oder fiktive Angaben, etwa Produktnamen ohne Hostnamen, IP-Adressen oder Kundendaten. Kläre außerdem mit deiner Organisation, welche Angaben erlaubt sind.
Kann ich mich auf die Antworten der KI verlassen?Nur eingeschränkt. Die Antworten sind ein Entwurf. Prüfe Versionsangaben, Fristen und Quellen anhand der Herstellerhinweise und offiziellen Datenbanken, bevor du Maßnahmen ableitest.
Was ist ein Workaround und ersetzt er den Patch?Ein Workaround ist eine Ersatzmaßnahme, etwa das Deaktivieren eines verwundbaren Features. Er verschafft Zeit, ersetzt aber in der Regel nicht den Patch.
Wie oft sollte ich meine Priorisierung überprüfen?Bei kritischen Lücken am besten täglich, da sich Exploit-Lage und Bewertungen schnell ändern. Bei weniger dringenden Themen reicht meist eine wöchentliche Überprüfung.
