CVE

CVE steht für Common Vulnerabilities and Exposures: ein weltweites Verzeichnis öffentlich bekannter Schwachstellen in Software und Hardware. Jede registrierte Schwachstelle erhält eine eindeutige Kennung wie CVE-2021-44228, damit alle über dieselbe Lücke sprechen.

Was es bedeutet

Eine CVE-Nummer besteht aus dem Präfix CVE, dem Jahr der Vergabe und einer laufenden Nummer: CVE-2024-3094 ist also eine Schwachstelle, die 2024 registriert wurde. Das CVE-Programm existiert seit 1999 und wird von der US-amerikanischen Non-Profit-Organisation MITRE betrieben, im Auftrag der US-Cybersicherheitsbehörde CISA, die es auch finanziert. Wie heikel diese Abhängigkeit ist, zeigte sich im April 2025: Der Vertrag lief beinahe aus, und die CISA verlängerte ihn in letzter Minute. Nach Angaben der CISA ist das Programm inzwischen voll finanziert; Mitglieder des CVE Board haben zudem die CVE Foundation gegründet, um ihm eine breitere, unabhängige Finanzierung zu verschaffen.

Die Nummern werden von sogenannten CVE Numbering Authorities (CNAs) vergeben: Softwarehersteller, Sicherheitsfirmen und Forschungsinstitute, die für Schwachstellen in ihrem eigenen Bereich selbst Kennungen ausstellen dürfen. Ein CVE-Eintrag enthält eine kurze Beschreibung, die betroffenen Produkte und Verweise auf Advisories. Die US-amerikanische National Vulnerability Database (NVD) reichert diese Einträge seit Langem unter anderem mit einem CVSS-Score an, der den Schweregrad ausdrückt. Wegen der stark gestiegenen Zahl neuer Einträge tut das NIST dies seit April 2026 nur noch für priorisierte CVEs, etwa solche, deren Ausnutzung bekannt ist, und ergänzt keinen eigenen Score mehr routinemäßig, wenn die CNA bereits einen geliefert hat. In Europa betreibt die ENISA seit Mai 2025 die European Vulnerability Database (EUVD), die CVE-Daten mit Informationen von Herstellern und nationalen CSIRTs zusammenführt.

Warum es wichtig ist

Ohne gemeinsame Benennung würde jede Sicherheitsfirma dieselbe Lücke anders nennen, genau das Problem, das vor 1999 bestand. Dank CVE-Nummern können Scanner, Patch-Management-Tools, Advisories und Nachrichten auf exakt dieselbe Schwachstelle verweisen. Für Administratoren ist die CVE-Nummer der Ausgangspunkt: Sie schlagen sie im Advisory des Herstellers oder in einer Datenbank wie der NVD oder der EUVD nach, sehen, welche Versionen betroffen sind, und prüfen, ob ein Patch oder Workaround verfügbar ist.

Beachten Sie: Nicht jede Schwachstelle hat eine CVE. Lücken, die nie öffentlich gemeldet werden, etwa im Stillen ausgenutzte Zero-Days, sind nirgendwo registriert. Eine leere CVE-Suche bedeutet also nicht, dass Ihre Software sicher ist.

Beispiel

Eines der bekanntesten Beispiele ist CVE-2021-44228, besser bekannt als Log4Shell: eine im Dezember 2021 bekannt gewordene Schwachstelle in der Java-Logging-Bibliothek Apache Log4j mit dem maximalen CVSS-Score von 10.0. Weil die Lücke eine eindeutige Kennung hatte, konnten Organisationen weltweit innerhalb weniger Stunden prüfen, ob ihre Software betroffen war, und gezielt patchen.