NVD
US-amerikanische Schwachstellendatenbank
National Vulnerability Database (USA)
Die NVD ist die vom US-amerikanischen NIST betriebene Schwachstellendatenbank, die CVE-Einträge um Bewertungen, Produktzuordnungen (CPE) und Klassifikationen (CWE) anreichert. Sie war über Jahre die globale Standardreferenz für angereicherte Schwachstellendaten. Seit 2024 kämpft sie jedoch mit einem erheblichen Bearbeitungsrückstand.
Historie & Fakten. Die NVD wurde 2005 etabliert und lieferte zu CVE-Einträgen die maschinell nutzbare Anreicherung — CVSS-Werte, betroffene Konfigurationen, Schwächen-Klassen. Ab Anfang 2024 entstand ein wachsender Rückstand, ausgelöst durch einen Wechsel beim Bearbeitungs-Dienstleister und eine zwischenzeitliche Förderlücke; bis Ende 2025 wuchs der Stau auf über 27.000 unbearbeitete Einträge. Im April 2026 stellte das NIST auf ein risikobasiertes Modell um: Vorrangig angereichert werden nur noch Schwachstellen aus dem KEV-Katalog, in Bundessoftware oder in als kritisch eingestufter Software; ältere unbearbeitete Einträge gelten als „nicht eingeplant“.
Ausblick & Empfehlung. Die NVD-Krise markiert eine Zeitenwende: Wer seine Priorisierung allein auf NVD-Anreicherung stützte, hat nun eine Lücke. Zunehmend liefern die CNAs ihre CVSS-Werte selbst, und ergänzende Quellen wie die EUSD-nahe EUVD oder EPSS gewinnen an Bedeutung. Die Konsequenz für die Praxis: Schwachstellenmanagement darf nicht von einer einzelnen, staatlich finanzierten Quelle abhängen — Mehrquellen-Anreicherung und eigene Kontextbewertung werden zur Pflicht.