Glossareintrag
Wir denken. KI tippt mit.
Eine CVE-Nummer ist die weltweit eindeutige Kennung einer öffentlich bekannten Sicherheitslücke. CVE steht für Common Vulnerabilities and Exposures, ein Verzeichnis, das die US-Organisation MITRE seit 1999 führt. Die Kennung besteht aus dem Kürzel CVE, der Jahreszahl und einer laufenden Nummer mit mindestens vier Stellen. Die Lücke im Java-Baustein Log4j trägt die Nummer CVE-2021-44228 und wurde als Log4Shell bekannt. Eine solche Nummer ist eine Adresse, keine Bewertung. Sie sorgt dafür, dass Hersteller, Behörden, Sicherheitsforscher und Virenschutz-Programme weltweit dieselbe Lücke meinen.
Der CVSS-Score (Common Vulnerability Scoring System) beantwortet die zweite Frage, wie schwer die Lücke wiegt. Er reicht von 0,0 bis 10,0 und teilt sich in fünf Stufen, keine (0,0), niedrig (0,1 bis 3,9), mittel (bis 6,9), hoch (bis 8,9) und kritisch (ab 9,0). Das Forum of Incident Response and Security Teams (FIRST) pflegt den Standard, dessen Spezifikation zu CVSS 4.0 seit November 2023 gilt. Zu jedem Wert gehört ein Vektor-String, der die Bewertung offenlegt, in der Spezifikation z. B. CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Sein Präfix verrät die benutzte Version. CVE benennt die Lücke, CVSS bewertet sie.
Die CVE-ID ist die reine Nummer, der CVE-Record der zugehörige Datensatz mit Beschreibung, betroffenen Versionen und Quellen. Die Stelle, die die Nummer vergeben hat, veröffentlicht auch den Record. Er kennt drei Zustände, reserviert, veröffentlicht und abgelehnt. Ein abgelehnter Record verschwindet nicht, er bleibt als ungültig markiert stehen.
Ein Netz zugelassener Organisationen vergibt die Nummern, die CVE Numbering Authorities (CNA). Eine Zentralstelle dafür gibt es nicht. Im Quartalsbericht des CVE-Programms vom August 2026 waren es 543 Organisationen aus 43 Ländern, darunter 27 deutsche wie Siemens, SAP, Bosch, TeamViewer, den Medizintechnik-Hersteller B. Braun und CERT@VDE, das als einzige deutsche Stelle selbst weitere CNAs betreut. Die Zulassung kostet nichts und kennt nur drei Bedingungen, eine öffentliche Meldestelle für Schwachstellen, eine öffentliche Quelle für Veröffentlichungen und die Zustimmung zu den Nutzungsbedingungen. Über den CNAs stehen mehrere Roots, an der Spitze MITRE und die US-Behörde CISA.
Im Normalfall ist der Hersteller für seine eigenen Produkte zuständig. Wordfence und Patchstack vergeben deshalb die Nummern für WordPress-Plugins, Microsoft für Windows, GitHub für viele Open-Source-Pakete. Seit dem 28. Juli 2026 läuft ein auf sechs Monate angelegter Pilotversuch mit KI-Laboren als CNA, an dem nur zwei Häuser teilnehmen, Anthropic und OpenAI. Beide dürfen Nummern für Lücken vergeben, die sie in fremder, weit verbreiteter Software finden, sofern keine andere CNA dafür zuständig ist.
2025 veröffentlichte das Programm 48.244 Records, im ersten Halbjahr 2026 bereits 35.872. FIRST korrigierte seine Jahresprognose für 2026 im Juni auf rund 66.000 Schwachstellen, nachdem die Veröffentlichungen von Januar bis April die Februar-Schätzung um 46,3 Prozent übertroffen hatten. Das BSI registrierte im Berichtszeitraum seines Lageberichts 2025 119 neue Schwachstellen pro Tag, 24 Prozent mehr als im Jahr davor, teilweise bedingt durch Methodeneffekte.
Im April 2025 stand das Verzeichnis kurz vor dem Stillstand. MITREs Vertrag lief am 16. April aus, einen Tag vorher erfuhr das CVE Board, dass keine Verlängerung vorlag. CISA zog in letzter Minute eine Vertragsoption über elf weitere Monate. Aus dem CVE Board heraus entstand daraufhin die CVE Foundation, die das Programm unabhängiger und aus mehreren Quellen finanzieren will. In der Sitzung des CVE Board am 21. Januar 2026 hieß es dann, es gebe keine Finanzierungsklippe im März, weil die Mittel inzwischen aus einer geschützten Linie des CISA-Budgets stammen. Die Abhängigkeit von einer einzigen Regierung bleibt. Vertragslaufzeit und Leistungskennzahlen sind nicht öffentlich.
Die ENISA betreibt seit Mai 2025 die European Vulnerability Database (EUVD), die auf der NIS2-Richtlinie fußt und am 8. September 2026 gut 386.000 Einträge umfasste. Sie verknüpft eigene Kennungen im Format EUVD-Jahr-Nummer mit den CVE-IDs und hebt kritische sowie aktiv ausgenutzte Lücken in eigenen Übersichten hervor. Innerhalb des CVE-Programms ist die ENISA seit 2024 CNA und seit November 2025 außerdem Root für europäische Stellen.
FIRST legt nur die Rechenregeln fest, die konkrete Zahl vergibt die CNA, also meist der Hersteller selbst, oder die US-Datenbank NVD. Beide kommen oft zu verschiedenen Ergebnissen. Eine Auswertung von VulnCheck zu widersprüchlichen CVSS-Werten fand 2023 unter rund 25.000 doppelt bewerteten Lücken bei 56 Prozent abweichende Zahlen. Bei CVE-2023-21557 stufte das NIST 9,1 als kritisch ein, Microsoft dagegen 7,5 als hoch. Red Hat begründet seine häufig niedrigeren Werte damit, dass ein produktunabhängiger Score bei Open-Source-Bausteinen danebenliegt. Jede Distribution übersetzt und konfiguriert sie anders. Das Unternehmen betreibt dafür einen eigenen Neubewertungs-Prozess mit der NVD.
Seit April 2026 findet sich zu vielen Lücken überhaupt kein NIST-Score mehr. Das NIST stellte den Betrieb der NVD um und reichert nur noch vorrangig an, was im Katalog der aktiv ausgenutzten Lücken steht, in Bundesbehörden läuft oder als kritische Software gilt. Alles andere bleibt gelistet, bekommt aber den Vermerk niedrigste Priorität ohne Termin. Alle bis dahin unbearbeiteten Einträge mit Veröffentlichung vor März 2026 rutschten pauschal in diese Kategorie, ausgenommen die im KEV-Katalog gelisteten. Als Grund nennt das NIST einen Anstieg der Einreichungen um 263 Prozent zwischen 2020 und 2025. Ein fehlender NIST-Score ist seitdem Absicht und kein Versehen.
CVSS 4.0 gilt seit November 2023, die ältere Version 3.1 ist nicht abgekündigt und in der Praxis weiter der Normalfall. Nur 25,9 Prozent der 2025 veröffentlichten Lücken erhielten laut einer Analyse von VulnCheck zur CVSS-Verbreitung überhaupt einen Wert nach 4.0. Wer zwei Zahlen vergleicht, sollte deshalb auf das Präfix im Vektor-String sehen. Zu den wichtigsten Neuerungen von 4.0 zählen die getrennte Bewertung des verwundbaren Systems und der Folgesysteme, die den alten Sammelbegriff Scope ersetzt, und die neue Metrik Attack Requirements für nötige Vorbedingungen. Dazu kommt eine eigene Gruppe von Zusatzangaben, die den Zahlenwert unberührt lassen.
Im Spezifikationsdokument zu CVSS 4.0 hält FIRST unter einer eigenen Überschrift fest, dass der Basiswert die Schwere misst und nicht das Risiko. Er bilde allein die Eigenschaften der Lücke ab, unabhängig von der Bedrohungslage und von der Umgebung, in der das verwundbare System steht. Wer nach dem Basiswert sortiert, sortiert kaum etwas aus. Von den 2025 veröffentlichten Lücken galten laut einer Auswertung aller CVE-Daten des Jahres 2025 8,3 Prozent als kritisch und 31,1 Prozent als hoch, zusammen also fast vier von zehn. Nur ein Bruchteil davon wird je angegriffen. Das Cyentia Institute beobachtete in einer Auswertung von 237.687 Schwachstellen bei rund 6 Prozent jemals Angriffsaktivität. Umgekehrt bewertet der Score immer nur eine einzelne Lücke. In einer Exploit-Kette wird auch eine mäßig bewertete Lücke zum notwendigen Glied. Bei der Exchange-Kette ProxyShell von 2021 lag einer der drei Werte bei 6,6.
Deshalb stehen neben dem Score zwei weitere Werkzeuge. Das Exploit Prediction Scoring System (EPSS) schätzt täglich neu, wie wahrscheinlich eine Lücke in den nächsten 30 Tagen angegriffen wird, seit Mitte 2026 in Version 5 und für über 318.000 CVEs. Der KEV-Katalog der CISA listet nur, was nachweislich angegriffen wurde, und umfasste am 4. September 2026 genau 1.695 Einträge. FIRST warnt ausdrücklich davor, EPSS und CVSS miteinander zu multiplizieren. Die CISA selbst sortiert ihre Fristen nicht mehr nach einem Zahlenwert. Ihre seit Juni 2026 geltende Direktive BOD 26-04 löst die festen Fristen der Vorgängerregel ab, zwei Wochen für neuere und sechs Monate für ältere Einträge. An ihre Stelle treten fünf Stufen, deren kürzeste drei Tage samt forensischer Prüfung vorsieht. Welche Stufe greift, entscheidet das Modell SSVC anhand von Erreichbarkeit, Ausnutzung, Automatisierbarkeit und technischer Wirkung.
Hierzulande kommt noch eine dritte Skala dazu. Der Warn- und Informationsdienst des CERT-Bund bewertet Schwachstellen in fünf BSI-Risikostufen von sehr gering bis sehr hoch. Anders als der CVSS-Basiswert bezieht diese Einstufung das Eintrittspotenzial mit ein, also ob eine Lücke nur theoretisch besteht, ausnutzbar ist oder bereits aktiv angegriffen wird. Eine Lücke ohne verfügbares Update ist ein Zero-Day-Exploit und bekommt ihre CVE-Nummer meist erst, wenn der Hersteller sie im Zuge der Coordinated Vulnerability Disclosure öffentlich macht.
Am häufigsten begegnet einem kleinen Betrieb eine CVE-Nummer über die eigene Website. Patchstack zählte für 2025 in seinem Bericht zur Lage der WordPress-Sicherheit 2026 11.334 neue Schwachstellen im WordPress-Umfeld, 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins, im WordPress-Kern selbst nur sechs. Rund die Hälfte der Lücken mit hoher Auswirkung wird demnach binnen 24 Stunden angegriffen, der gewichtete Median bis zum ersten Angriff liegt bei fünf Stunden. Im August 2026 traf es Elementor Pro mit CVE-2026-32475, einer Lücke, über die sich PHP-Dateien hochladen und ausführen ließen. Sie zeigt nebenbei, wie weit zwei Bewertungen auseinanderliegen. Die zuständige CNA Patchstack vergab 9,0, Wordfence 9,8. Wordfence blockierte bis Anfang September über 190.000 Angriffsversuche, die kurz nach dem Erscheinen des Updates begannen.
Dieselben Nummern stehen in den Update-Hinweisen der Geräte im Büro. Synology schloss im März 2026 mit CVE-2026-32746 eine Lücke im Telnet-Dienst seiner Netzwerkspeicher, Schweregrad 9,8. Sie stammte aus dem quelloffenen Baustein GNU inetutils und betraf damit nicht nur diesen Hersteller. Vor dem LTE-Router D-Link DWR-M961 warnte das BSI im August 2026 mit der Risikostufe hoch, weil in der alten Firmware 18 Schwachstellen mit 15 CVE-Nummern steckten. Der Microsoft-Patchday im August 2026 umfasste je nach Zählung rund 400 bis 421 einzelne CVE-Nummern. Und das Packprogramm WinRAR stand mit CVE-2025-8088 im Sommer 2025 auf der Liste der aktiv ausgenutzten Lücken, nachdem Angreifer präparierte Archive als Bewerbungsunterlagen verschickt hatten.
Fehlt zu einem Sicherheitsupdate eine CVE-Nummer, heißt das nicht, dass nichts Ernstes geschlossen wurde. AVM listet die sicherheitsrelevanten Änderungen an FRITZ!OS in einer eigenen Übersicht zu Sicherheitsinformationen bei FRITZ!-Updates, nennt dort aber meist keine Nummern. Bei kleineren Anbietern von Branchen- und Bürosoftware ist es ähnlich, weil sie meist keine CNA sind. Große Häuser wie SAP und Siemens vergeben ihre Nummern selbst, für andere übernimmt das eine Sammelstelle wie CERT@VDE. Eine Nummer bekommt eine Lücke nur, wenn jemand sie beantragt.
Aus einer CVE-Meldung wird so eine Entscheidung:
Wer KI-Software im Betrieb einsetzt, verwaltet damit dieselbe Art von Nummern. In der lokalen Modell-Software Ollama steckte mit CVE-2026-7482 eine Lücke mit Schweregrad 9,1, über die sich benachbarter Arbeitsspeicher auslesen ließ, darunter Umgebungsvariablen und hinterlegte API-Schlüssel. Im Programmier-Editor Cursor ließ sich über CVE-2026-50548 der Schreibbereich der Sandbox ausweiten, ohne dass der Nutzer mehr tat, als einen harmlosen Auftrag zu geben. Im Paket mcp-remote rund um den Werkzeugstandard MCP erlaubte CVE-2025-6514 einem fremden Server, Befehle auf dem Rechner auszuführen. Solche Programmierfehler sind die zweite Angriffsfläche neben der Prompt Injection, bei der eingeschleuste Anweisungen einen Agenten steuern, obwohl die Software fehlerfrei arbeitet. Wer solche Programme auf dem Bürorechner installiert, übernimmt für sie die Update-Pflicht, anders als bei den Cloud-Diensten von OpenAI, Anthropic und Google.
Der europäische Cyber Resilience Act verpflichtet Hersteller ab dem 11. September 2026 zur Meldung an eine europäische Plattform, sobald eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall auftritt. Die Fristen sind gestaffelt, 24 Stunden für die Frühwarnung, 72 Stunden für die förmliche Meldung, 14 Tage für den Abschlussbericht. Ab dem 11. Dezember 2027 kommen die übrigen Herstellerpflichten aus der Verordnung (EU) 2024/2847 über Cybersicherheitsanforderungen dazu, darunter ein dokumentierter Unterstützungszeitraum von mindestens fünf Jahren und Sicherheitsupdates, die in dieser Zeit nichts kosten dürfen. Kürzer darf der Zeitraum nur ausfallen, wenn das Produkt erwartbar kürzer genutzt wird. Die schärferen Pflichten aus NIS2 treffen Handwerksbetriebe dieser Größe dagegen meist nicht, in Deutschland geregelt seit Dezember 2025 im neuen BSI-Gesetz. Dort greifen die Vorgaben in bestimmten Sektoren ab 50 Beschäftigten oder ab einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro, von einigen größenunabhängig erfassten Bereichen abgesehen. Wer sicher sein will, kann die NIS-2-Betroffenheitsprüfung des BSI durchklicken.
