CVE
Allgemeine Schwachstellen und Risiken
Common Vulnerabilities and Exposures
Eine CVE-ID ist die weltweit anerkannte, eindeutige Kennung pro öffentlich bekannter Schwachstelle im Format CVE-JJJJ-NNNN(N). Vergeben wird sie von der MITRE Corporation und einem Netz autorisierter Partner (CNAs). Wichtig: Die CVE-ID benennt eine Schwachstelle, sagt aber für sich genommen nichts über deren Schweregrad oder Ausnutzungswahrscheinlichkeit — dafür dienen CVSS, EPSS und der KEV-Katalog.
Historie. Das CVE-Programm wurde 1999 von MITRE ins Leben gerufen, um der babylonischen Sprachverwirrung um Schwachstellen ein gemeinsames Bezugssystem entgegenzusetzen — ohne CVE würde jeder Hersteller dieselbe Lücke anders benennen. Finanziert wird es traditionell über das US-Heimatschutzministerium (DHS) via CISA. Im April 2025 stand das Programm kurz vor dem Aus, als der MITRE-Vertrag auszulaufen drohte; CISA verlängerte ihn in letzter Minute um elf Monate, und Mitglieder des CVE-Boards gründeten parallel die unabhängige CVE Foundation.
Fakten. Die eigentliche Zuteilung erfolgt dezentral über CNAs (CVE Numbering Authorities) — Hersteller, Forschungsteams und Koordinierungsstellen, die für ihren Bereich IDs vergeben dürfen. Ein CVE-Eintrag beschreibt die Schwachstelle, betroffene Produkte und Referenzen; die Bewertung des Risikos ist bewusst ausgelagert.
Ausblick & Empfehlung. Die Beinahe-Abschaltung 2025 hat die Abhängigkeit der globalen Sicherheitswelt von einem einzigen, staatlich finanzierten Programm schmerzhaft sichtbar gemacht. Als Reaktion gewinnen ergänzende Quellen wie die europäische EUVD an Bedeutung. Für die Praxis gilt: Eine CVE-Liste ist Rohmaterial, kein Maßnahmenplan — erst die Priorisierung über Ausnutzbarkeit und eigenen Kontext macht daraus Handlungsfähigkeit, wie sie etwa die NEOSEC-Intel-Plattform abbildet.