Schwachstellen-Informationen Erkenntnisse aus dem CVE-Aufruhr und die Rolle der EUVD

Anbieter zum Thema

Qualys GmbH

IBYKUS AG für Informationstechnologie

secunet Security Networks AG

Fabasoft Deutschland GmbH

Die internationale IT-Sicherheitsgemeinschaft ist es gewohnt, flexibel auf neue Bedrohungen zu reagieren. Doch im Frühjahr 2025 sorgte ausnahmsweise mal nicht eine neue Angriffsmethode oder Malware für Unruhe, sondern die Unsicherheit darüber, ob die Datenbasis für das Schwachstellenmanagement in ihrer bisherigen Form bestehen bleibt.

Die Ankündigung der US-Regierung, die Finanzierung des Common Vulnerabilities and Exposures Programms (CVE) zum 16. April 2025 einstellen zu wollen, hat die Branche in Aufruhr versetzt. CVE ist die weltweit anerkannte Referenz für die Identifikation und Kategorisierung von Sicherheitslücken. Die darauf basierenden Nummern und Klassifizierungen stellen ein gemeinsames Vokabular dar, das es Herstellern, Sicherheitsverantwortlichen und Forschern weltweit ermöglicht, Schwachstellen eindeutig zu benennen und ihre Risiken einzuschätzen.

Enisa kooperiert mit CVE

Neue EU-Datenbank listet bekannte IT-Sicherheitslücken

Die im April verkündete Entscheidung, das Programm aus finanziellen Gründen nicht mehr zu unterstützen, hätte zur Folge gehabt, dass keine neuen CVE-Nummern mehr vergeben worden wären. Dies hätte gravierende Folgen für die Transparenz und die Vergleichbarkeit von Schwachstellen-Informationen gehabt. Zwar wurde die Entscheidung wenige Wochen später wieder zurückgenommen und die Finanzierung bis März 2026 gesichert. Dennoch bleibt ein schaler Beigeschmack. Das Vertrauen in die Stabilität und politische Unabhängigkeit der Initiative ist seither angeschlagen.

Vor diesem Hintergrund gründeten Mitglieder des CVE-Boards und weitere engagierte Akteure die CVE Foundation. Ihr Ziel ist es, künftig eine breitere und stabilere Finanzierungsbasis zu schaffen, um die Abhängigkeit von US-amerikanischen Regierungsentscheidungen zu verringern. Gleichzeitig sorgt eine weitere Entwicklung für Verunsicherung. Das US National Institute of Standards and Technology (NIST) hat angekündigt, ältere Schwachstellen, die vor 2018 veröffentlicht wurden, in der National Vulnerability Database künftig nur noch eingeschränkt zu pflegen. Angesichts der Tatsache, dass gerade diese älteren Schwachstellen in vielen produktiven IT-Systemen nach wie vor vorhanden sind, entsteht hier ein potenziell riskantes Informationsdefizit.

Europas Weg zur digitalen Souveränität

Während in den USA um die Zukunft der etablierten CVE-Struktur gerungen wird, hat Europa begonnen, eigene Wege zu gehen. Mit dem Start der European Vulnerability Database (EUVD) im Mai 2025 hat die Europäische Union einen wichtigen Schritt unternommen, um ihre digitale Souveränität auch im Bereich der Schwachstellen-Informationen zu stärken.

Die EUVD, entwickelt unter der Federführung der europäischen Cybersicherheitsagentur ENISA, bietet nicht nur die klassischen Informationen zu Schwachstellen, sondern geht in mehreren Punkten darüber hinaus. Neben dem bekannten CVSS-Score, der die Schwere einer Schwachstelle bewertet, stellt die EUVD zusätzliche Informationen bereit. So erfahren Nutzer, ob eine Schwachstelle bereits aktiv ausgenutzt wird, und erhalten eine Einschätzung darüber, mit welcher Wahrscheinlichkeit sie in den kommenden 30 Tagen ausgenutzt werden könnte.

Diese zusätzlichen Informationen sollen die oft statische Bewertung von Risiken deutlich dynamisieren und helfen, priorisierte und fundierte Sicherheitsentscheidungen zu treffen. Ergänzt werden die Daten der EUVD durch Informationen aus den nationalen Computer Security Incident Response Teams (CSIRTs) der Mitgliedsstaaten, in Deutschland vertreten durch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Seit Januar 2024 ist die ENISA zudem berechtigt, selbstständig CVE-Nummern zu vergeben. Damit stärkt Europa seine Unabhängigkeit im internationalen Geflecht der Schwachstellenverwaltung.

Doch so sinnvoll und notwendig dieser Schritt ist, er steht auch vor Herausforderungen. Der langfristige Erfolg der EUVD wird maßgeblich davon abhängen, ob die Datenbank regelmäßig gepflegt und aktuell gehalten wird. Ebenso entscheidend wird sein, ob die Open Source Community und die Sicherheitsforscher bereit sind, die bereitgestellten Informationen aktiv zu nutzen und durch eigenes Feedback zu verbessern. Erst wenn die Industrie in großem Maßstab eigene Informationen und Hinweise einspeist und diese mit den bestehenden Daten zusammengeführt werden, kann die EUVD ihr volles Potenzial entfalten.

Globale Perspektive

Neben CVE und EUVD existieren weltweit weitere Datenquellen, die wertvolle ergänzende Informationen liefern. In China betreiben die nationalen Behörden mit der China National Vulnerability Database (CNVD) und der geheimdienstlich geprägten China National Vulnerability Database of Information Security (CNNVD) eigene Schwachstellendatenbanken, die insbesondere für lokal relevante Produkte wichtige Einblicke bieten. In Japan wiederum leistet die Japan Vulnerability Notes Plattform (JVN) wertvolle Dienste.

Hinzu kommt, dass viele große Softwarehersteller wie Microsoft, Cisco oder Google eigene Sicherheits-Advisories veröffentlichen, die oft schneller und detaillierter sind als zentrale Datenbanken. All diese Entwicklungen machen deutlich, dass sich Unternehmen nicht mehr auf eine einzige Quelle für Schwachstelleninformationen verlassen können.

Vielfalt und Aktualität

Um stets aktuelle und umfassende Informationen zu erhalten, bietet es sich wie im Falle von Qualys an, White-Hat-Forscher und unterschiedliche Threat-Intelligence-Feeds in Analyse und Reporting mit einzubeziehen. Die Verarbeitung von Herstellerhinweisen und Computer Emergency Response Team (CERT)-Advisories sollte unmittelbar, also ohne Verzögerung durch Drittquellen, gewährleistet sein. Nur so lassen sich relevante Sicherheitslücken identifizieren, die noch nicht offiziell als CVE registriert sind.

Ein praktisches Beispiel für diese Arbeitsweise liefert die kürzlich identifizierte Schwachstelle CVE-2025-3619, ein Heap Buffer Overflow in Google Chrome. Qualys hatte entsprechende Erkennungen bereits implementiert, bevor die Schwachstelle in offiziellen Datenbanken gelistet war. Im Zusammenspiel mit einer zentralen Plattform, die sämtliche relevanten Bedrohungsinformationen konsolidiert und anreichert, entsteht mithilfe maschinellen Lernens und fundierter Expertenanalysen ein stets aktuelles und umfassendes Lagebild.

Fazit

Die Ereignisse der vergangenen Monate haben eines deutlich gemacht. Sicherheit im digitalen Raum erfordert heute eine breite und diversifizierte Informationsbasis. Blindes Vertrauen in einzelne Datenbanken kann gefährlich werden. Unternehmen, die ihre Sicherheitsstrategie auf mehrere belastbare Quellen stützen und eigene Analysekompetenz aufbauen, sind besser gewappnet, um auf neue Bedrohungen schnell und wirksam zu reagieren.

IT-Sicherheit

NRW hilft Kommunen und Land mit „Digi-SOS“

(ID:50532405)