DefenceLevel Index · Methodik v1.30

Wie der DefenceLevel Index berechnet wird

Diese Seite beschreibt vollständig und ohne Vereinfachungen die Regel, nach der der DefenceLevel Index jedem Tag eine Stufe von 5 bis 1 zuweist. Die Regel ist deterministisch: Bei gleichen Daten liefert sie immer dasselbe Ergebnis, und jede Stufe wird mit den Gründen ausgewiesen, die sie bestimmt haben.

Version der Methodik: 1.30 · Gültig seit 4. November 2026 · Letzte Aktualisierung dieser Seite: 4. November 2026

1. Was er misst, was nicht

Der DefenceLevel Index misst die Dringlichkeit neuer Cyberbedrohungen: wie wahrscheinlich es ist, dass eine Organisation an einem bestimmten Tag schnell bei Schwachstellen in verbreiteter Software und verbreiteten Geräten handeln muss, weil reale Angreifer sie ausnutzen oder kurz davorstehen, sie auszunutzen.

Er misst nicht:

• das Risiko einer einzelnen Organisation, das davon abhängt, welche Produkte sie einsetzt, wie sie konfiguriert sind und wie stark sie im Internet exponiert ist;
• die Gesamtmenge veröffentlichter Schwachstellen: Tausende pro Monat, die meisten ohne praktische Folgen;
• gezielte Angriffe auf einzelne Opfer, Phishing-Kampagnen, Diebstahl von Zugangsdaten oder Vorfälle, die nicht über eine öffentlich bekannte Softwareschwachstelle laufen.

Eine niedrige Stufe bedeutet nicht, dass die Welt sicher ist: Sie bedeutet, dass in diesen 24 Stunden nichts Neues aufgetreten ist, das über die normale Wartung hinaus ein Eingreifen erfordert.

2. Die Skala von 5 bis 1

Die Skala folgt der militärischen DEFCON-Skala der USA: 5 ist der Normalzustand, 1 der schwerste. DefenceLevel ist weder mit dem Verteidigungsministerium der Vereinigten Staaten noch mit der Konferenz DEF CON® verbunden, einer Marke von Def Con Communications, Inc.

Die genauen Bedingungen jeder Stufe stehen in Abschnitt 8.

3. Die Quellen

Das System liest öffentliche Quellen, nach Rolle gegliedert. Die Rolle bestimmt zweierlei: wie stark die Quelle im Aufmerksamkeitssignal zählt und ob sie eine Schwachstelle oder ihre Ausnutzung bestätigen kann. Nur Behörden, CERTs und Hersteller können bestätigen, dass eine Schwachstelle existiert; Forschungslabore können außerdem aktive Ausnutzung bestätigen; Presse und soziale Medien tragen zur Aufmerksamkeit bei, bestätigen aber allein nichts.

Die Daten von VulnCheck KEV werden gemäß den Bedingungen von VulnCheck genutzt, die eine Quellenangabe verlangen: VulnCheck KEV (vulncheck.com). Die Daten des europäischen Katalogs ausgenutzter Schwachstellen werden gemäß dem Rechtshinweis der ENISA mit Quellenangabe weiterverwendet: ENISA EUVD (euvd.enisa.europa.eu).

Anreicherung: Für jede Schwachstelle werden außerdem die von FIRST veröffentlichte Ausnutzungswahrscheinlichkeit EPSS und der offizielle Eintrag auf cve.org gelesen.

Die Live-Konsole auf der Startseite zeigt, wie viele Quellen in den letzten 24 Stunden geantwortet haben. Die Liste wächst mit der Zeit: Jede Ergänzung wird in Abschnitt 14 festgehalten.

4. Der Erfassungszyklus

• Alle 30 Minuten: schnelle Quellen (Forschung, Presse, öffentliche Exploits, Code, soziale Medien).
• Jede Stunde: offizielle Quellen und Hersteller (NVD, CISA KEV, Microsoft, GitHub Advisories, CERTs, Herstellerhinweise).
• Alle 12 Stunden: Wordfence Intelligence, die Schwachstellendatenbank für WordPress-Plugins und -Themes.
• Bei jeder Erfassung wird jede betroffene Schwachstelle neu bewertet und die aktuelle Stufe über die letzten 24 Stunden neu berechnet.
• Um 04:00 UTC, an jedem Tag des Jahres, werden die Stufe des Tages und der Inhalt des Briefings festgelegt, mit den bis dahin erfassten Daten; um 05:00 UTC geht das Briefing nach der Prüfung an die Abonnenten.

Jede gesammelte Meldung hält eine Quelle, einen Zeitpunkt, eine oder mehrere erwähnte Schwachstellen (über ihre CVE-Kennung identifiziert) und einige aus dem Text gewonnene Merkmale fest, etwa die ausdrückliche Erwähnung aktiver Ausnutzung. Meldungen werden nie gelöscht: Die Berechnung nutzt stets die vollständige Historie. Eine Meldung, die einer Schwachstelle irrtümlich zugeordnet wurde, etwa ein Hinweis zu anderen Schwachstellen, der sie nur als Kontext nennt, wird nach der Prüfung für diese Schwachstelle aus der Berechnung ausgeschlossen: Die Korrektur bleibt dokumentiert, und die Stufe wird mit denselben Regeln neu berechnet. In einem Bulletin zu mehreren Schwachstellen ist eine, die seit mindestens 7 Tagen ausgenutzt wird (KEV-Katalog oder erste Bestätigung), neben neuen genannt wird (vor weniger als 14 Tagen oder noch nicht veröffentlicht) und im Titel des Hinweises nicht vorkommt, ein Verweis und kein Signal: Diese Meldung zählt für sie nicht. Ein offizieller Hinweis oder ein Herstellerhinweis, der in den 48 Stunden nach der Veröffentlichung der Schwachstelle erscheint, ist der Hinweis zu ihr: Er wird nur ausgeschlossen, wenn er ihr irrtümlich eine Ausnutzung zuschreibt. Die Mitteilung der CISA über die Aufnahme in den KEV-Katalog zählt nur für die Schwachstellen, die der Katalog mit ihrem Datum führt (oder mit dem Vortag, wegen der Zeitzone): Für die anderen, die sie nennt, zählt sie nicht.

5. Die Analyse jeder Schwachstelle

Jede Schwachstelle wird auf vier Achsen bewertet, jeweils von 0 bis 10.

5.1 Technischer Schweregrad (S)

Das ist der offizielle CVSS-Wert. Ist der CVE-Eintrag noch nicht veröffentlicht, bestätigt aber ein offizieller Hinweis eines nationalen CERT oder des Herstellers die Schwachstelle, gilt der dort angegebene Schweregrad: der CVSS-Wert oder sonst das Minimum der angegebenen Klasse (kritisch 9, hoch 7, mittel 4, niedrig 0,1); aus demselben Hinweis stammen das betroffene Produkt und die Angabe, ob ein Angriff ohne Zugangsdaten möglich ist. Andernfalls wird er aus der Kategorie der Schwachstelle geschätzt (zum Beispiel: Remote-Code-Ausführung 9; Umgehung der Authentifizierung 8,5; Schreiben beliebiger Dateien 8,5; Rechteausweitung 7,5; Offenlegung von Informationen 5,5; Cross-Site-Scripting 4,5), mit −1, wenn schwierige Voraussetzungen nötig sind (administrative Zugangsdaten, lokaler oder physischer Zugriff), und +0,5, wenn sie ohne Zugangsdaten über das Netzwerk angreifbar ist. „Ohne Zugangsdaten über das Netzwerk angreifbar“ stammt aus dem CVSS-Vektor, gilt aber nicht, wenn der Hersteller schreibt, dass lokaler Zugriff, bereits erlangte Rechte oder ein Konto oder ein authentifizierter Client nötig sind: Dann zählen die schwierigen Voraussetzungen. Hat der CVE-Eintrag weder Hersteller noch Produkt, gelten die strukturierten Angaben der Kataloge ausgenutzter Schwachstellen und von ENISA EUVD; danach die betroffenen Produkte, die der Eintrag selbst oder NVD nennt, wenn sie nur einen Hersteller nennen (bei ausschließlich Produkten einer Linux-Distribution, die die Komponente enthält, gilt die schwerere Bewertung); ohne diese das in den Titeln der Hinweise und Kataloge genannte Produkt, bei bekannten Produkten mit seinem Hersteller. Fehlt die Beschreibung, wird die Kategorie aus den Titeln der Hinweise übernommen.

5.2 Reale Ausnutzung (E)

Hängt vom am weitesten fortgeschrittenen dokumentierten Status ab:

Der Wert steigt auf bis zu 10 × EPSS, wenn die EPSS-Wahrscheinlichkeit höher ist, und auf mindestens 6, wenn die Schwachstelle laut EPSS zu den wahrscheinlichsten 5 % gehört. Er sinkt um 1,5, wenn schwierige Voraussetzungen nötig sind (außer bei aktiver Ausnutzung), und um 1, wenn die CVSS-Angriffskomplexität hoch ist.

„Aktive Ausnutzung“ wird in Texten an ausdrücklichen Formulierungen erkannt („exploited in the wild“, „actively exploited“, „under active exploitation“ und ähnliche). Sie zählt nur, wenn die Quelle offiziell, ein Hersteller oder Forschung ist; behaupten es nur die Presse oder mindestens zwei verschiedene Konten in sozialen Medien, bleibt die Schwachstelle unter Beobachtung mit dem Vermerk „Ausnutzung gemeldet, nicht bestätigt“ und landet nie im Rauschen. Erkannt werden auch Formulierungen auf Italienisch, Französisch, Spanisch, Deutsch und Niederländisch, den Sprachen der gelesenen CERTs; verneint („not aware of active exploitation“, „nicht aktiv ausgenutzt“) zählt sie nicht. In Bulletins zu mehreren Schwachstellen zählt sie nur für die im Satz über die Ausnutzung genannten; nennt dieser Satz keine, zählt sie für alle, wenn es höchstens drei sind, und bei mehr nur für die Schwachstelle, in deren Absatz der Satz steht, wenn das Bulletin sie einzeln beschreibt. Ein Presseartikel oder ein Beitrag in sozialen Medien, der im Titel oder in den ersten Zeilen nur andere CVEs nennt, zählt nicht als Meldung von Angriffen auf die Schwachstellen, die er weiter unten erwähnt, es sei denn, der Satz über die Ausnutzung nennt sie. In Zusammenfassungen mit Aufzählung zählt sie nur für die Schwachstelle in der Zeile, die sie enthält, und sie zählt nicht, wenn sie nur beschreibt, was die Schwachstelle ermöglichen würde („lets attackers…“). Ein Forschungsartikel, dessen Titel andere CVEs und nicht diese nennt, erwähnt sie als Kontext: Für sie ist er kein Signal. Ein Forschungs- oder Presseartikel über eine Schwachstelle, die seit mehr als 30 Tagen im CISA-KEV-Katalog steht, nennt sie als Kontext und zählt für sie nicht, es sei denn, der Titel oder die Adresse nennt die Schwachstelle, ihr Produkt oder ihren Hersteller oder spricht von Angriffen, oder in einem Text über mehrere Schwachstellen nennt sie der Satz über die Ausnutzung. Dasselbe gilt für jede Schwachstelle, wenn ein Forschungsartikel nur sie nennt, ohne im Titel oder in der Adresse die Schwachstelle, ihr Produkt oder ihren Hersteller zu nennen und ohne von Angriffen zu berichten: Er erwähnt sie als Kontext und zählt für sie, wie ein Verweis, nicht.

5.3 Auswirkung (I)

Ausgangspunkt ist die Kategorie (Code-Ausführung 9,5; Umgehung der Authentifizierung 9; Kompromittierung der Lieferkette 9; Schreiben beliebiger Dateien 8,5; Rechteausweitung, Speicherfehler, SQL-Injection 7; …), korrigiert um die Verbreitung des Produkts (siehe Abschnitt 6): +1,5 nahezu überall eingesetzte Komponenten, +1 Edge-Geräte, 0 verbreitete Produkte, −1,5 Nischenprodukte, −4 Erzeuger von Schwachstellen mit geringer Wirkung. +1, wenn sie laut CISA von Ransomware-Gruppen genutzt wird, +0,5, wenn sie ohne Zugangsdaten über das Netzwerk angreifbar ist. Das Ausführen beliebiger Befehle zählt als Codeausführung, auch wenn es die Folge einer SQL-Injection ist.

5.4 Aufmerksamkeit (Z)

Misst, wie viel Fachleute in den letzten 24 Stunden darüber diskutieren. Es zählen Erwähnungen aus Forschung, Code, Presse und sozialen Medien, jeweils nach der Rolle der Quelle gewichtet (Tabelle in Abschnitt 3), wobei jedes Konto, jedes Medium und jeder Autor nur einmal zählt, mit dem höchsten Gewicht seiner Erwähnungen, auch wenn er in mehreren sozialen Netzwerken unter demselben Benutzernamen veröffentlicht; offizielle Meldungen, Herstellermeldungen und Exploit-Archive fließen bereits in Schweregrad und Ausnutzung ein und zählen hier nicht:

Der Logarithmus verhindert, dass tausend wiederholte Beiträge tausendmal so viel zählen wie einer.

Nicht gezählt werden Konten, die Schwachstellen-Einträge weiterverbreiten, statt sie zu diskutieren: Konten, die in den 7 Tagen davor über mindestens 20 verschiedene Schwachstellen geschrieben haben, außer den maßgeblichen Konten aus Abschnitt 3. Derselbe Text, den verschiedene Konten im Abstand weniger Minuten veröffentlichen, wie es eine Redaktion mit mehreren Profilen tut, zählt als ein einziges Konto.

5.5 Kombinierter Wert

Die Gewichte bevorzugen Schweregrad und reale Ausnutzung; Aufmerksamkeit zählt nur 10 %, um Rauschen nicht zu belohnen. Es sind methodische Entscheidungen, hier offengelegt und nachträglich überprüft (Abschnitt 12). Der Wert dient zur Auswahl, welche Schwachstellen ins Briefing kommen (7,0 für die wichtigsten, 5,8 für „zur Beobachtung“); die Stufe folgt dagegen den ausdrücklichen Regeln aus Abschnitt 8.

6. Verbreitete und angegriffene Produkte

Eine Schwachstelle zählt mehr, wenn sie ein Produkt betrifft, das von vielen Organisationen eingesetzt wird und historisch im Visier von Angreifern steht. Die Einordnung verbindet eine öffentliche Liste nach Produkttyp mit einer objektiven Angriffshistorie:

Die Angriffshistorie stammt aus dem CISA-Katalog Known Exploited Vulnerabilities: Gezählt werden die Schwachstellen mit bestätigter Ausnutzung, die in den letzten 5 Jahren aufgenommen wurden. Die Zählung wird am ersten Tag jedes Monats (UTC) automatisch neu erstellt und bleibt den ganzen Monat unverändert; der Stand jedes Monats wird aufbewahrt. So gelangt ein Produkt, das Angreifer ins Visier nehmen, in die Einordnung, auch wenn es nicht auf der Liste stand, und ein gelistetes Produkt ohne Angriffshistorie wird nicht überbewertet. Der Hersteller wird ohne Rechtsform erkannt, wie auch immer die Quelle ihn schreibt: „PHP Group“ ist PHP, „SAP SE“ ist SAP, „IBM Corporation“ ist IBM.

Die Klasse aus der Liste gilt für die Produkte des Herstellers der Plattform: Windows von Microsoft, Android von Google oder von den Herstellern, die es auf ihren Telefonen installieren, Systemkomponenten (OpenSSL, glibc, sudo…) auch von den Linux-Distributionen, die sie enthalten. Ein Produkt eines Dritten, das ihren Namen nennt, übernimmt sie nicht: Eine Python-Bibliothek ist nicht Python, eine Android-App ist nicht Android. Ebenso wenig ein Projekt, dessen Name den Namen der Plattform mit einem Bindestrich an ein anderes Wort anfügt (node-openssl ist nicht OpenSSL); es übernimmt auch nicht die Angriffshistorie ihres Herstellers, außer wenn das Produkt allein den Namen der Plattform trägt. Dasselbe gilt für Erweiterungen (Plugins, Extensions, Themes, Add-ons): Ein WordPress-Plugin ist nicht WordPress. Diese Produkte werden eigenständig eingeordnet, mit ihrer eigenen Angriffshistorie. Hersteller und Produkt stammen aus dem CVE-Eintrag, außer in zwei Fällen, in denen die Angaben des CISA-KEV-Katalogs gelten: Der Eintrag nennt mehr als drei Produkte (Microsoft führt jede Windows-Version auf), oder er nennt einen Hersteller ohne Bezug zu dem des Katalogs, meist ein Produkt, das die betroffene Komponente enthält (Apache Struts, nicht das Huawei-Gerät, in dem es steckt). Allgemeine Namen des Katalogs („Multiple Products“) gelten nie.

Eine Schwachstelle, die mehrere Produkte desselben Herstellers betrifft, wird mit der Klasse jedes einzelnen bewertet, und es gilt das schwerste Ergebnis: Eine Lücke in Bamboo, die auch Confluence und Jira betrifft, zählt als Lücke in einem Perimetergerät. Betroffene Produkte sind die von offiziellen Quellen genannten (CVE-Eintrag, NVD, CISA-KEV-Katalog, Herstellerhinweise), ohne die, die der Eintrag als nicht betroffen ausweist; Produkte anderer Hersteller, etwa Systeme, die eine betroffene Bibliothek enthalten, und die generischen Namen des Katalogs zählen nicht.

Bei Herstellern mit breitem Portfolio (Cisco, Fortinet, Ivanti, Citrix, Palo Alto Networks, F5, Juniper, VMware, ConnectWise) gilt der Herstellername in der Liste der Edge-Geräte nur für Produkte mit eigener Angriffshistorie, mindestens 2 ausgenutzte Schwachstellen in 5 Jahren: eine Cisco-Firewall ja, ein Rechenzentrums-Switch oder ein Lizenzserver nein. Seine übrigen Produkte gelten als verbreitete Produkte.

Switches und Access Points des internen Netzes sind keine Edge-Geräte, auch nicht bei Herstellern, deren Produkte sonst als solche gelten: Sie sind verbreitete Produkte. Erkannt werden sie am Produktnamen oder, bei Zyxel, an der Modellbezeichnung.

Ein Hersteller, der die Marke eines bekannten Produkts ist (zum Beispiel NetScaler von Citrix), gilt als dieses Produkt seines Eigentümers, mit dessen Vorgeschichte. Der Linux-Kernel zählt auch dann als solcher, wenn der CVE-Eintrag ihn nur „Linux“ nennt.

7. Eindämmung von Alarmismus

Eine Schwachstelle kann die Stufe nicht anheben, wenn einer dieser Fälle vorliegt:

• Nicht bestätigt: viel diskutiert, aber von keiner offiziellen Quelle und keinem Hersteller bestätigt. Meldet die Presse jedoch ein Sicherheitsupdate des Herstellers, gehört sie zu den zu beobachtenden.
• Abgelehnt oder bestritten im CVE-Register, außer sie steht im CISA-KEV-Katalog oder hat einen Herstellerhinweis: Dann wird sie wie jede andere bewertet.
• Sensationell: Schlagzeilensprache („katastrophal“, „Milliarden Geräte gefährdet“…), keine Ausnutzung und kein glaubwürdiger Exploit, Schweregrad unter 7 oder Nischenprodukt, wenn die Aufmerksamkeit nicht durch einen offiziellen Hinweis oder einen Herstellerhinweis der letzten 3 Tage erklärt wird.
• Gefälschter oder ungeprüfter Exploit, viel geteilt, mit Schweregrad unter 9, wenn die Aufmerksamkeit nicht durch einen offiziellen Hinweis oder einen Herstellerhinweis der letzten 3 Tage erklärt wird.

Diese Fälle landen im Abschnitt „Viel diskutiert, aber heute kein Grund zur Sorge“ des Briefings, mit einer Erklärung, warum sie kein Notfall sind. Ausgenommen ist eine Schwachstelle, zu der die Presse oder mindestens zwei verschiedene Konten in sozialen Medien Angriffe melden: Auch wenn sie nicht bestätigt sind, kommt sie zu den Schwachstellen zur Beobachtung, nie in diesen Abschnitt. Die Redaktion kann einen Eintrag aus diesem Abschnitt zu den Schwachstellen zur Beobachtung verschieben, nie umgekehrt; keine Stufe ändert sich.

Außerdem ist eine alte Schwachstelle (vor mehr als einem Jahr veröffentlicht oder mit einer CVE-Kennung von vor zwei Jahren) keine Nachricht, es sei denn, CISA hat ihre Ausnutzung gerade bestätigt: In diesem Fall erreicht sie höchstens Stufe 3.

8. Die Stufe jeder Schwachstelle

Die Bedingungen werden von oben nach unten geprüft; es gilt die erste erfüllte. Nur bestätigte und nicht als Rauschen eingestufte Schwachstellen können über Stufe 5 hinausgehen.

„Aktuell“ bedeutet: vor höchstens 14 Tagen in den KEV-Katalog aufgenommen, vor höchstens 30 Tagen veröffentlicht, oder mit einem neuen Ausnutzungsbericht einer offiziellen Quelle, eines Herstellers oder der Forschung in den letzten 72 Stunden. Eine seit Langem bekannte Ausnutzung ist ein bekanntes Problem, keine Nachricht.

Unabhängige Quellen (breite Aufmerksamkeit für Stufe 2 und der halbe Punkt der Aufmerksamkeit): Jede Quelle zählt einmal; soziale Netzwerke zusammen gelten als eine einzige Quelle, weil die Aufmerksamkeit bereits misst, wie viel darüber gesprochen wird; die Mitteilung der CISA über die Aufnahme in den KEV-Katalog ist der KEV-Katalog; der Katalog VulnCheck KEV zählt nicht, wenn die Belege, die er nennt, von einer bereits vorhandenen Quelle stammen. Derselbe Benutzername in mehreren sozialen Netzwerken ist ein einziger Autor.

Stufe 2 unterscheidet den Angriff auf ein Produkt von einer Bedrohung mit breiter Wirkung. Ein angegriffenes Edge-Gerät (eine Firewall, ein VPN, ein Gateway eines bestimmten Herstellers) ist ein Notfall für alle, die es einsetzen: Wer es in My Defence mit „Nur meine Produkte“ zu seinen Produkten zählt, erhält sofort die Warnung, und alle finden es im Briefing des Tages; für sich allein bringt es den globalen Index aber nicht auf hohes Risiko, das nahezu überall eingesetzten Komponenten und von mehreren Quellen dokumentierten Kampagnen vorbehalten ist.

Daraus folgt, dass eine schwere Schwachstelle in einem verbreiteten Produkt nie auf Stufe 5 sinkt und dass eine kritische Schwachstelle mit öffentlichem Exploit in einem verbreiteten Produkt mindestens Stufe 3 hat, noch bevor Angriffe beobachtet werden.

9. Die Stufe des Tages

9.1 Die Stufe zu einem bestimmten Zeitpunkt

Zu jedem Zeitpunkt ist die Stufe die schwerste unter den Stufen der Schwachstellen im Briefing: der neuen und der weiterhin aktuellen, Letztere eine Stufe tiefer:

Hauptschwachstellen sind bestätigte Schwachstellen mit einem kombinierten Wert von mindestens 7,0 oder mit Stufe 3 oder schwerer. Ebenfalls Hauptschwachstellen sind, auch ohne bekannte Angriffe, kritische Schwachstellen (Schweregrad ≥ 9) eines Edge-Geräts, die über das Netz ohne Zugangsdaten angreifbar und vor höchstens 30 Tagen veröffentlicht sind: Sie behalten ihre Stufe und tragen den Hinweis, innerhalb der Woche zu aktualisieren. Schwachstellen „zur Beobachtung“ erscheinen im Briefing, bestimmen aber nicht die Stufe. Ein Signal ohne CVE-Kennung zu einem Produkt, das im Briefing bereits eine Schwachstelle mit CVE-Kennung hat, ist dieselbe Nachricht: Es erscheint weder als eigener Eintrag noch unter denen zur Beobachtung. Schwachstellen in Produkten, die als Rauschen eingestuft sind, sind nie Hauptschwachstellen, es sei denn, sie stehen im CISA-KEV-Katalog. Schwachstellen desselben Produkts, die zusammen mit einer Hauptschwachstelle im selben offiziellen, Hersteller- oder Forschungshinweis der letzten 7 Tage genannt werden, mit höchstens 5 Schwachstellen, kommen in deren Eintrag, auch wenn sie allein nicht ausgewählt würden: Sie sind dieselbe Angriffskette. Die Stufe des Tages ändert sich nicht.

Der Zeitpunkt der Nachricht ist der späteste aus: Veröffentlichung der Schwachstelle, Aufnahme in den KEV-Katalog (+12 Stunden), letztes Signal einer offiziellen Quelle, eines Herstellers, der Forschung oder eines Exploits, und „jetzt“, wenn es in den letzten 24 Stunden mindestens 3 Erwähnungen gibt. Eine Schwachstelle, über die weiter gesprochen wird, bleibt also in den Nachrichten; eine, über die nicht mehr gesprochen wird, fällt aus der Berechnung. Ein Hinweis, den dieselbe Quelle innerhalb von 30 Tagen mit demselben Titel erneut veröffentlicht, ist kein neues Signal; eine Aktualisierung mit anderem Titel schon. Das Datum jedes Signals ist das, an dem die Quelle es veröffentlicht hat; ein Eintrag ohne lesbares Datum zählt nur beim ersten Erscheinen als neu. Ein Signal ohne verlässliches Datum (unlesbar, vor 1999, mehr als einen Tag in der Zukunft oder auf die Millisekunde gleich bei mindestens drei verschiedenen Hinweisen derselben Quelle zu verschiedenen Schwachstellen: das ist der Zeitpunkt, zu dem die Quelle ihren Feed aktualisiert hat) zählt für seinen Inhalt, nicht für den Zeitpunkt: Es macht eine Schwachstelle nicht aktuell und bestätigt ihre Ausnutzung nicht; diese bleibt gemeldet und unbestätigt, bis eine Quelle mit Datum sie bestätigt.

Um auf Stufe 1 oder 2 und wegen aktiver Ausnutzung auf Stufe 3 zu bleiben, braucht eine Schwachstelle jedoch ein starkes Signal in den letzten 24 Stunden: Veröffentlichung, Aufnahme in den KEV-Katalog (+12 Stunden) oder ein Signal einer offiziellen Quelle, eines Herstellers, der Forschung oder eines Exploits. Ist sie nur in den Nachrichten, weil darüber gesprochen wird, zählt sie eine Stufe tiefer, in der Stufe des Tages und im Briefing.

Auf Stufe 4 oder 5 ist eine Schwachstelle, die nur aktuell ist, weil über sie diskutiert wird, ohne starkes Signal seit mehr als 7 Tagen, keine Hauptschwachstelle: Sie erscheint unter den zu beobachtenden und bestimmt die Stufe nicht.

Neu in den letzten 24 Stunden. Unter den Hauptschwachstellen mit Nachricht in den letzten 24 Stunden sind neu: die, die in den Briefings der 30 Tage davor nie unter den Einträgen waren, die mit einem starken Signal in den letzten 24 Stunden und die mit einer schwereren Stufe als beim letzten Mal, es sei denn, nur die Diskussion hat sie angehoben. Eine bereits gemeldete Schwachstelle, die nur wieder in den Nachrichten ist, weil in sozialen Medien oder in der Presse über sie gesprochen wird, ist nicht neu und kommt nicht wieder ins Briefing; hat die Diskussion ihre Stufe angehoben, erscheint sie in einer Zeile, wie die weiterhin aktuellen, die das sagt. Dieselbe Regel gilt für die zu beobachtenden Schwachstellen: Eine, die in den Briefings der 30 Tage davor schon erschienen ist, kommt nur mit einem starken Signal in den letzten 24 Stunden wieder. Eine nie gemeldete Schwachstelle, über die in den letzten 24 Stunden nur gesprochen wurde, kommt zu den zu beobachtenden, es sei denn, sie steht auf Stufe 1–3 (ausgenutzt oder kritisch mit öffentlichem Exploit): Dann ist sie neu, auch wenn sie schon unter den zu beobachtenden war. Eine Schwachstelle, die älter als ein Jahr ist und seit mehr als 30 Tagen im Katalog CISA KEV steht, kommt nur mit einem starken Signal in den letzten 7 Tagen wieder unter die zu beobachtenden Schwachstellen oder wenn in den letzten 24 Stunden mindestens zwei Konten darüber geschrieben haben.

Weiterhin aktuell. Eine aktiv ausgenutzte Schwachstelle auf Stufe 1–3, bereits gemeldet und ohne starkes Signal in den letzten 24 Stunden, bleibt 72 Stunden nach ihrem letzten starken Signal im Briefing, in einer Zeile, auch wenn niemand über sie spricht; am letzten Tag sagt die Zeile es. In der Stufe zählt sie eine Stufe tiefer: Wer noch nicht aktualisiert hat, ist weiterhin exponiert. Mit einem neuen starken Signal kommt sie wieder zu den neuen. Hat ihr Produkt eine neue Schwachstelle, erscheint sie im selben Eintrag. Die übrigen bereits gemeldeten Schwachstellen ohne Neuigkeiten verlassen das Briefing.

Weitere ausgenutzte Schwachstellen. Das Briefing hat höchstens 8 Neuigkeiten, die schwersten, und höchstens 8 Zeilen „Weiterhin aktuell“. Aktiv ausgenutzte Schwachstellen (bestätigte Ausnutzung oder KEV-Katalog), die außen vor bleiben, erscheinen in einem eigenen Abschnitt, eine Zeile pro Schwachstelle, die schwerste zuerst, höchstens 60; die übrigen bleiben außen vor. Die Stufe des Tages berücksichtigt sie bereits. Sie gelten als gemeldet: Wie die anderen kehren sie nur mit einem starken Signal in den letzten 24 Stunden oder einer schwereren Stufe unter die Neuigkeiten zurück.

Unter der Stufe sagt das Briefing, wie sie im vorherigen Briefing war und welche Schwachstellen sie bestimmen.

Nennt das Briefing ein Produkt, erinnert es auch an die weiteren Schwachstellen desselben Produkts, die in den letzten 60 Tagen ausgenutzt wurden (KEV-Katalog oder erste Ausnutzung) und heute nicht im Briefing stehen: höchstens 6, die neuesten, mit dem Datum, seit dem sie ausgenutzt werden. Das ist nur eine Erinnerung: Sie ändert weder die Stufe des Produkts im Briefing noch die Stufe des Tages.

9.2 Die Stufe des Tages im Index

Die Stufe eines Tages (Kalendertag in UTC) ist die um 04:00 UTC festgelegte und den Abonnenten im Briefing von 05:00 Uhr dieses Tages mitgeteilte. Sie ändert sich danach nicht mehr. Ergeben die Erfassungen im Laufe des Tages eine schwerere Stufe, zeigt der Index sie als Tageshöchststand mit der Uhrzeit in UTC an, ohne die Stufe des Tages zu ändern.

Die live angezeigte aktuelle Stufe wird dagegen bei jeder Erfassung neu berechnet: Ein Notfall, der nach dem Briefing auftritt, erscheint sofort in der aktuellen Stufe, wird den Abonnenten als Sofortwarnung mitgeteilt und erscheint im Index am folgenden Tag.

Warnungen gehen bei DEFCON 1, 2 und 3 hinaus: DEFCON 1 an alle Abonnenten; DEFCON 2 an alle, die jede Warnung erhalten, und an alle, die in My Defence „Nur meine Produkte“ gewählt haben, nur wenn es ihre Produkte betrifft; DEFCON 3 nur an alle, die „Nur meine Produkte“ gewählt haben, und nur wenn es ihre Produkte betrifft. Bei DEFCON 4 und 5 geht keine Warnung hinaus: Die Schwachstellen stehen im Briefing des Tages. Warnungen gehen nur bei einem starken Signal aus den letzten 24 Stunden hinaus. Stand die Schwachstelle bereits unter den Einträgen des Briefings und ist seitdem kein neues starkes Signal eingetroffen, löst eine danach erreichte höhere Stufe (etwa weil mehr darüber gesprochen wird) keine Warnung bei DEFCON 2 oder 3 aus: Das nächste Briefing berichtet darüber. DEFCON 1 geht immer hinaus. Bestätigt nur der Katalog VulnCheck KEV die Ausnutzung und nennt er als Belege nur Beiträge in sozialen Netzwerken, Seiten von Aggregatoren oder Schwachstellendatenbanken (wie den CVE-Eintrag), die die Lücke beschreiben, aber keinen Angriff belegen, bleibt die Schwachstelle mit ihrer Stufe im Briefing, die Warnung wartet aber auf eine zweite Quelle: den Katalog CISA KEV, ein CERT, den Hersteller oder einen Forschungsbericht.

In den 24 Stunden nach einer Warnung bei DEFCON 1 oder 2 fällt die Schwachstelle nicht unter die Stufe, die sie zum Zeitpunkt der Warnung hatte, nur weil Zeit vergeht, etwa weil Erwähnungen aus den 24 Stunden fallen: Diese Stufe wird mit den aktuellen Daten neu berechnet und sinkt nur, wenn sich eine Tatsache geändert hat, etwa eine nach der Prüfung ausgeschlossene Meldung, eine abgelehnte CVE oder ein niedrigerer offizieller CVSS. Im Briefing dieser 24 Stunden zählt die Warnung wie ein starkes Signal: Die Schwachstelle bleibt unter den Neuigkeiten, mit der Stufe der Warnung.

10. Die Rolle der künstlichen Intelligenz

Stufe, Auswahl und Reihenfolge der Schwachstellen werden ausschließlich mit der auf dieser Seite beschriebenen deterministischen Regel berechnet: Bei gleichen Daten ist das Ergebnis immer dasselbe, und künstliche Intelligenz entscheidet nie darüber. Wir setzen sie für die Redaktion ein: Vor dem Versand prüft ein KI-System jedes Briefing und jede Warnung anhand unserer Daten (Produkte, Belege für eine Ausnutzung, Zeitpunkte, Voraussetzungen) und verfasst die Texte. Findet es eine Meldung, die der falschen Schwachstelle zugeordnet ist, schließt es sie aus, und die Stufe wird mit der Regel neu berechnet. Bestätigen die Daten eine Warnung nicht, wird sie nicht versendet. Briefings und Warnungen gehen erst nach abgeschlossener Prüfung hinaus: Ist sie nicht fertig, wartet der Versand.

11. Die Historie des Index

Die Stufe jedes Tages wird mit den auf dieser Seite beschriebenen Regeln berechnet, ausschließlich mit den Daten, die die Quellen bis zu diesem Tag veröffentlicht hatten: Keine spätere Information fließt in die Stufe eines vergangenen Tages ein.

12. Die Überprüfung der Ergebnisse

Wir überprüfen die Methodik, indem wir ihre Stufen mit dem CISA-KEV-Katalog vergleichen, der Liste der Schwachstellen mit bestätigter realer Ausnutzung. Wir messen, wie viele ausgenutzte Schwachstellen die Methodik mindestens auf Stufe 3 bringt, wie früh oder spät im Vergleich zur offiziellen Bestätigung, und wie viele der auf Stufe 2 oder 1 gebrachten tatsächlich ausgenutzt werden.

Die Prüfung erfolgt auf zwei Arten, mit dem Katalog unter den Quellen, so wie der Dienst arbeitet, und ohne ihn, als unabhängige Kontrolle, und wird bei jeder Version der Methodik wiederholt.

13. Ausgewiesene Grenzen

• Abdeckung der Quellen. Das System sieht nur, was öffentlich ist und in den gelesenen Quellen steht. Noch nicht offengelegte oder nur in geschlossenen Kanälen offengelegte Angriffe sind nicht sichtbar.
• Abhängigkeit von CVE-Kennungen. Schwachstellen ohne CVE-Kennung werden nur erkannt, wenn sie ein bekanntes Produkt nennen; sie können unterschätzt werden. Produktnamen, die auch gewöhnliche Wörter sind (Teams, Outlook, Zoom, Entra), zählen nur mit dem Hersteller oder einem Wort, das sie näher bestimmt, wie „Microsoft Teams“. Ein Exploit ohne CVE hebt die Stufe allein nicht an: Er zählt nur zusammen mit anderen Signalen zum selben Produkt.
• Spracherkennung. Aktive Ausnutzung wird in Texten an ausdrücklichen Formulierungen in sechs Sprachen erkannt (Englisch, Italienisch, Französisch, Spanisch, Deutsch, Niederländisch); ungewöhnliche Formulierungen oder andere Sprachen können übersehen werden.
• Gewichte und Schwellen. Sie sind methodische Entscheidungen, keine physikalischen Größen: offengelegt, zeitlich stabil und nachträglich überprüft, doch eine andere Methodik ergäbe andere Stufen.
• Angriffshistorie. Der CISA-KEV-Katalog spiegelt die Prioritäten der US-Regierung und ihre Fähigkeit zur Bestätigung wider; außerhalb der USA viel genutzte Produkte können unterrepräsentiert sein.
• Produkte mit unterschiedlichen Namen. Der Abgleich von Hersteller- und Produktnamen zwischen den Quellen erfolgt automatisch und kann in mehrdeutigen Fällen falsch sein.
• Stufen vor dem 1. Oktober 2026. Sie hängen davon ab, wie viel die Quellen von vergangenen Tagen aufbewahren: Einige Quellen haben keine abrufbare Historie, und für einen fairen Vergleich über die Zeit zählen soziale Medien nur für Hashtags mit vollständiger Historie (#vulnerability, #zeroday), mit höchstens 30 Erwähnungen pro Tag. Die Stufen dieses Zeitraums können das Risiko daher unterschätzen.

14. Versionen und Änderungen

Die Methodik hat eine Versionsnummer. Jede Änderung, die eine Stufe verändern kann, wird hier mit Datum festgehalten; bereits veröffentlichte Stufen werden nicht stillschweigend umgeschrieben: Ändert eine neue Version vergangene Stufen, wird das offengelegt.

15. Nutzung und Zitierung der Daten

Die täglichen Stufen sind öffentlich und unter der Lizenz Creative Commons Namensnennung 4.0 (CC BY 4.0) mit Quellenangabe wiederverwendbar. Die CSV-Datei der letzten 12 Monate kann von der Seite des DefenceLevel Index heruntergeladen werden und enthält Datum, Stufe, Name der Stufe und Anzahl der im Briefing enthaltenen Schwachstellen.

Empfohlene Zitierung: DefenceLevel Index (defencelevel.com), Methodik v1.30, mit dem Datum des Werts.

Details zu einzelnen Schwachstellen (Namen, Produkte, empfohlene Maßnahmen) sind den Abonnenten des Briefings vorbehalten.