harte ABI-Richtlinie wie Linux? Da muss ich schmunzeln ...

Naja, ich meinte nicht die interne für Treiber etc., sondern die zwischen Kernel und Userspace, siehe hier. Ja, ganz selten gab es da Brüche, das hat Herr Torvalds in Interviews schon zugegeben. Aber ansonsten gilt für den Kernel: "Don't break user-space!"

Rückwärts-kompatibilität ist ein wichtiger Aspekt von FreeBSD.

Ja, ich weiß. Aber hier steht u.A.:

Backwards compatibility is very important to the FreeBSD team, and any release in a major release series is expected to be able to run any code—including kernel modules—that ran on an earlier version.

Damit unterscheidet es sich von Linux. Dort gibt es ein "Don't break user-space!" über Hauptveröffentlichungen hinaus, aber dafür wird gar keine Kompatibilität für Kernelmodule (z.B. Treiber) garantiert.

Generell ist Security ziemlich philosophisch ... [...]

Aber real sind die Auswirkungen schon, oder nicht?

Die Differenz der Anzahl der CVE-Einträge sind keine aussagekräftige Metrik für oder gegen "Sicherheit", [0-1]. Es gibt diverse Faktoren, warum diese "Metrik" irreführend ist, womit ich nicht sagen möchte dass Linux sicherer als FreeBSD wäre, sondern einfach nur, dass man aus diesen Zahlen schlicht keine belastbaren Schlüsse über die tatsächliche Sicherheit einer Software ziehen kann. Die vermutlich unsicherchsten Programme beantragen noch nicht einmal CVEs.
Man könnte also stattdessen auch den Kaffeesatz lesen...

[0] - Mozilla Blogeintrag zum Thema "CVE security metric"
[1] - Stackexchange zum Thema "CVE security metric"