Sprint 4Lernangebot 10Stufe I bis III⏱ 8 h
Hier liest du Warnmeldungen, wie sie jede Woche kommen, ordnest sie mit CVSS ein, prüfst, was davon den Hub wirklich betrifft, und schreibst das Lagebild auf einer Seite für die Geschäftsleitung.
Sprint 4Brückenstufe 3
Eure Story: Ihr erstellt ein Lagebild, versteht die Angriffe auf den Hub und prüft eure Abwehr im isolierten Labornetz.
Input · Lagebild aus aktuellen Warnungen. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 1.
Du liest fünf Übungswarnungen und eine echte aktuelle Warnung, liest die CVSS-Vektoren, beziehst sie auf die Systeme des Hubs und verdichtest alles mit deinem Team zu einem Lagebild.
0 von 6 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Der Basiswert sagt, wie schwer eine Lücke ist. Wie dringend sie ist, sagt erst der Blick auf den eigenen Betrieb.
Am Ende hast du: ein Lagebild auf einer Seite: Quellen mit Datum, jede Warnung mit CVSS-Einstufung und eigener Dringlichkeit für den Hub, Maßnahmen mit Frist und Verantwortlichen.
Erst du, dann die anderen
Im Sammelpostfach der IT-Leitung liegen jede Woche Dutzende Warnungen. Wie würdest du entscheiden, welche davon heute noch jemand lesen muss?
So gehen andere vor. Such dir einen Weg aus.
- Nach Zahl: alles ab CVSS 7 zuerst. Vorteil: schnell und für alle gleich. Preis: eine mittlere Lücke an einem offenen System rutscht nach hinten.
- Nach Bestand: erst prüfen, ob das Produkt im Hub überhaupt läuft, dann einstufen. Vorteil: nur Relevantes. Preis: braucht eine aktuelle Liste aller Systeme und Versionen.
- Nach Täterlage: zuerst, was schon ausgenutzt wird oder für das es fertige Angriffswerkzeuge gibt. Vorteil: trifft, was gerade passiert. Preis: neue Lücken ohne Meldung fallen durch.
Gute Lagebilder kombinieren alle drei. Die Strukturanalyse aus Teil 2 ist eure Bestandsliste.
Die fünf Übungswarnungen dieser Woche · aufklappen, wenn du sie brauchst
Die fünf Übungswarnungen dieser Woche
- Warnungen
-
- Kennung
- UE-2026-011 (Übungsnummer, echte Meldungen tragen eine CVE-Nummer der Form CVE-JJJJ-NNNNN)
- Betroffen
- VPN-Gateway für Fernzugänge, Firmware 9.x
- Beschreibung
- Ein Pufferüberlauf im Anmeldedienst erlaubt einem Angreifer aus dem Internet, ohne Anmeldung eigenen Code auf dem Gateway auszuführen.
- CVSS 3.1 Vektor
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- CVSS 3.1 Basiswert
- 9,8
- Ausnutzung bekannt
- ja, laut Meldung in mehreren Fällen
- Update verfügbar
- ja, Firmware 9.4.2
- Kennung
- UE-2026-012 (Übungsnummer, echte Meldungen tragen eine CVE-Nummer der Form CVE-JJJJ-NNNNN)
- Betroffen
- Bürosoftware, Textverarbeitung aller Versionen bis Stand Oktober 2026
- Beschreibung
- Ein präpariertes Dokument führt beim Öffnen Code aus, wenn die Person die Bearbeitung aktiviert.
- CVSS 3.1 Vektor
AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H- CVSS 3.1 Basiswert
- 7,5
- Ausnutzung bekannt
- nein
- Update verfügbar
- ja, monatliches Update
- Kennung
- UE-2026-013 (Übungsnummer, echte Meldungen tragen eine CVE-Nummer der Form CVE-JJJJ-NNNNN)
- Betroffen
- Webframework für Sendungsverfolgung, Versionen 3.0 bis 3.8
- Beschreibung
- Eine Eingabe im Suchfeld wird ungefiltert in die Ergebnisseite übernommen. Ein Angreifer kann über einen präparierten Link Skriptcode im Browser der Besucher ausführen (Cross-Site-Scripting).
- CVSS 3.1 Vektor
AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N- CVSS 3.1 Basiswert
- 6,1
- Ausnutzung bekannt
- nein
- Update verfügbar
- ja, Version 3.9
- Kennung
- UE-2026-015 (Übungsnummer, echte Meldungen tragen eine CVE-Nummer der Form CVE-JJJJ-NNNNN)
- Betroffen
- Videoserver und Kamerafirmware, Version 2.1
- Beschreibung
- Ein präpariertes Paket aus dem lokalen Netz bringt den Aufzeichnungsdienst zum Absturz.
- CVSS 3.1 Vektor
AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- CVSS 3.1 Basiswert
- 6,5
- Ausnutzung bekannt
- nein
- Update verfügbar
- nein, angekündigt
- Kennung
- UE-2026-016 (Übungsnummer, echte Meldungen tragen eine CVE-Nummer der Form CVE-JJJJ-NNNNN)
- Betroffen
- Druckdienst im Verzeichnisdienst
- Beschreibung
- Ein angemeldeter Benutzer kann die Namen fremder Druckaufträge lesen.
- CVSS 3.1 Vektor
AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N- CVSS 3.1 Basiswert
- 3,5
- Ausnutzung bekannt
- nein
- Update verfügbar
- ja, kumulatives Update
- Bestand im Hub
- VPN-Gateway Firmware 9.3 · Bürosoftware auf 60 PCs, Stand September 2026 · Sendungsverfolgung im Webframework 3.6 in der DMZ · Videoserver Version 2.1 · Druckdienst im Verzeichnisdienst ohne das letzte Update
Die Warnungen sind für den Unterricht erfunden und echten Meldungen nachgebildet. Die CVSS-Basiswerte sind mit der Rechenvorschrift von CVSS 3.1 aus den Vektoren bestimmt. In Aufgabe 10.4 arbeitest du mit einer echten, aktuellen Meldung.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Lagebild Hub, Woche der Abgabe
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- Quellen mit Datum des Abrufs
- Tabelle der Warnungen mit Vektor in Worten, Basiswert, Einstufung
- eigene Dringlichkeit je Warnung mit Begründung aus dem Bestand
- Maßnahmen mit Frist und Verantwortlichen
- drei Sätze für die Geschäftsleitung ganz oben
Zur Dokumentation
Das Lagebild passt auf eine Seite. Wer es liest, weiß in einer Minute, was heute zu tun ist.
In Lernangebot 11 baut ihr die dringendsten Lücken in den Angriffsbaum ein.
Deine Aufgaben
10.1Lest die fünf Übungswarnungen aus
Jetzt bist du dran · Allein · 3 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 10.1
Stufe I · Abfolge
Lest die fünf Übungswarnungen aus:
- Öffnet die Übungswarnungen oben.
- Übertragt jede in eine Tabelle: Kennung, betroffenes Produkt und Versionen, Vektor, Basiswert, Ausnutzung bekannt, Update.
- Markiert, welche Angaben in jeder echten Meldung stehen sollten und hier fehlen.
Allein Diese Aufgabe bearbeitest du allein.
10.2Lest die CVSS-Vektoren
Jetzt seid ihr dran · Zu zweit · 3 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 10.2
Stufe II · Algorithmus
Lest die CVSS-Vektoren:
- Schreibt für jede Warnung den Vektor in einem Satz aus: von wo, unter welchen Umständen, mit welchen Rechten, mit oder ohne Mitwirkung, welche Schutzziele.
- Lest zu jedem Basiswert die Einstufung in der Tabelle der Fachgrundlage ab.
- Erklärt, weshalb UE-2026-012 trotz voller Wirkung auf alle drei Schutzziele nicht kritisch ist.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
10.3Bezieht die Warnungen auf den Hub
Jetzt seid ihr dran · Im Team · 3 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 10.3
Stufe II · Algorithmus
Bezieht die Warnungen auf den Hub:
- Prüft mit dem Bestand oben und eurer Strukturanalyse aus Teil 2, ob das Produkt im Hub läuft und ob die Version betroffen ist.
- Prüft, ob ein Angreifer überhaupt an das System kommt: aus dem Internet, nur aus dem Hub-Netz oder nur am Gerät.
- Legt für jede Warnung eine eigene Dringlichkeit fest (sofort, diese Woche, im nächsten Wartungsfenster, beobachten) und begründet sie in einem Satz.
Im Team Diese Aufgabe bearbeitet ihr im Team.
10.4Recherchiert eine echte, aktuelle Warnung
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 10.4
Stufe II · Algorithmus
Recherchiert eine echte, aktuelle Warnung:
- Sucht bei CERT-Bund oder beim Hersteller eine Warnung der letzten 30 Tage zu einer Produktart, die im Hub vorkommt (VPN, Virtualisierung, Mail, Webserver, Funknetz).
- Notiert Quelle, Datum, CVE-Kennung, Vektor und Basiswert.
- Prüft in der Liste der bekannt ausgenutzten Schwachstellen (KEV), ob die Lücke dort steht, und schaut nach, ob es für sie ein öffentliches Modul im Metasploit-Rahmenwerk gibt. Nur nachsehen, nichts ausführen.
- Ordnet sie wie in 10.3 für den Hub ein.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
10.5Schreibt das Lagebild für die Geschäftsleitung
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 10.5
Stufe III · Heuristik
Schreibt das Lagebild für die Geschäftsleitung:
- Verdichtet 10.3 und 10.4 auf eine Seite.
- Stellt oben drei Sätze ohne Fachwörter: Was betrifft uns, was ist dringend, was kostet es, wenn wir es nicht tun.
- Legt fest, wer die Quellen künftig wie oft liest und wer bei „sofort“ entscheidet.
- Begründet, wo ihr bewusst von der Reihenfolge nach Basiswert abweicht.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Veränderter Fall
Zwei Tage nach eurem Lagebild ergänzt der Hersteller des Webframeworks seine Meldung UE-2026-013: Die Lücke wird jetzt in Angriffen auf Paketdienste aktiv ausgenutzt, über präparierte Links in Mails an Kunden. Der Basiswert bleibt 6,1. Was ändert sich in eurem Lagebild, und weshalb ändert sich der Basiswert nicht?