CVE ist ein weltweit genutztes Verzeichnis, das jeder öffentlich bekannten Schwachstelle eine eindeutige Kennung gibt, damit alle Beteiligten eindeutig über dieselbe Lücke sprechen können.
CVE steht für Common Vulnerabilities and Exposures. Es ist ein öffentliches Verzeichnis, das jeder bekannt gewordenen Sicherheitslücke in Software oder Hardware eine eindeutige Kennung zuweist – etwa CVE-2024-3094. Das Programm wird von der gemeinnützigen US-Organisation MITRE koordiniert und von autorisierten Stellen weltweit (CVE Numbering Authorities) gespeist, darunter große Hersteller und Behörden. Der Zweck ist denkbar einfach und zugleich grundlegend: Alle Beteiligten – Hersteller, Scanner, Behörden, Dienstleister, Verteidiger – sollen über dieselbe Lücke unter demselben Namen sprechen.
Eine CVE-Kennung sagt zunächst nur, dass eine Schwachstelle existiert und beschrieben ist. Wie gefährlich sie ist, drückt der getrennte Bewertungsstandard CVSS aus.
Aufbau und Lebenszyklus
- Kennung: Das Format lautet CVE gefolgt von Jahr und laufender Nummer. Die Nummer wird bereits vergeben, bevor Details veröffentlicht werden – oft reserviert eine CVE Numbering Authority sie vorab.
- Beschreibung: Betroffenes Produkt, betroffene Versionen, Art der Schwachstelle und Verweise auf Hersteller-Hinweise und Korrekturen.
- Anreicherung: Datenbanken wie die National Vulnerability Database (NVD) des NIST ergänzen jede CVE um einen CVSS-Wert und maschinenlesbare Angaben zum betroffenen Produkt.
- Abgrenzung zum Zero-Day: Eine Zero-Day-Schwachstelle ist eine, für die noch keine Korrektur existiert; sie erhält in der Regel ebenfalls eine CVE, sobald sie öffentlich wird.
Scanner und Attack-Surface-Management-Werkzeuge nutzen CVE-Kennungen, um gefundene Software mit bekannten Lücken abzugleichen. Im Penetrationstest und im Retest dient die Kennung als eindeutiger Bezug für jeden Befund.
Bedeutung für Unternehmen
Die CVE-Kennung ist die gemeinsame Währung des Schwachstellenmanagements. Sie erlaubt, Hersteller-Hinweise, Scanergebnisse, Bedrohungsmeldungen und eigene Tickets eindeutig zu verknüpfen. Angesichts der Menge ist das unverzichtbar: Der BSI-Lagebericht 2025 nennt durchschnittlich 119 neue Schwachstellen pro Tag, 24 Prozent mehr als im Vorjahr. Ohne eindeutige Kennungen wäre dieser Strom nicht zu verwalten.
Ein typischer Fehler ist, die Zahl der CVE-Treffer mit dem tatsächlichen Risiko gleichzusetzen. Viele CVE betreffen Komponenten, die gar nicht aktiv, nicht erreichbar oder nicht ausnutzbar sind. Umgekehrt ist nicht jede reale Schwäche eine CVE: Fehlkonfigurationen, schwache Berechtigungen im Active Directory oder Logikfehler in eigenen Anwendungen tragen keine CVE-Kennung – und sind in unseren Tests häufig die folgenreichsten Befunde.
Praxis-Hinweise
- Nutzen Sie CVE-Kennungen als verbindenden Schlüssel zwischen Scan, Ticket, Hersteller-Hinweis und Retest.
- Priorisieren Sie nach tatsächlicher Ausnutzbarkeit und Exposition, nicht nach der reinen Anzahl der Treffer.
- Beobachten Sie offizielle Quellen wie die NVD des NIST und die CISA-Liste aktiv ausgenutzter Schwachstellen.
- Denken Sie über CVE hinaus: Fehlkonfigurationen und Berechtigungsfehler ohne Kennung gehören ebenso ins Schwachstellenmanagement.