Von allen bekannten Sicherheitslücken wird nur ein Teil tatsächlich angegriffen. Genau diese Lücken sammelt die Cybersecurity and Infrastructure Security Agency (CISA) im KEV-Katalog. Eingerichtet wurde er mit der Weisung BOD 22-01 vom 3. November 2021 für US-Bundesbehörden. Seit 10. Juni 2026 gilt dort die neue Weisung BOD 26-04, die BOD 22-01 ablöst; der Katalog bleibt darin zentral. CISA empfiehlt allen Organisationen, auch außerhalb der Verwaltung, KEV-Lücken umgehend zu beheben.
Wann kommt eine Lücke in den KEV-Katalog?
CISA nimmt eine Schwachstelle nur auf, wenn drei Bedingungen erfüllt sind:
- Sie hat eine CVE-Kennung.
- Es gibt verlässliche Belege, dass sie aktiv ausgenutzt wird.
- Es gibt eine klare Abhilfe, etwa ein Update des Herstellers oder eine Ausweichmaßnahme.
Jeder Eintrag nennt Hersteller, Produkt, Aufnahmedatum, die geforderte Maßnahme und ob die Lücke bekanntermaßen in Ransomware-Kampagnen genutzt wurde. Den Katalog gibt es als Webseite, CSV- und JSON-Datei, sodass Werkzeuge ihn automatisch abgleichen können. Am 25. Oktober 2026 enthielt er 1.756 Einträge.
Was BOD 26-04 ändert
Für US-Bundesbehörden galten bisher feste Fristen: zwei Wochen für Lücken mit CVE-Kennung ab 2021, sechs Monate für ältere. BOD 26-04 ersetzt das durch Fristen, die sich nach Erreichbarkeit aus dem Internet, KEV-Status, Automatisierbarkeit und technischer Auswirkung richten. Ist zusätzlich eine forensische Nachprüfung vorgeschrieben, muss die Lücke binnen drei Tagen behoben oder entschärft sein. Für Unternehmen in Österreich sind diese Fristen nicht verbindlich, sie zeigen aber, wie ernst die Behörde ausgenutzte Lücken nimmt.
Praxis für KMU und Gemeinden
- Abgleichen statt lesen: Viele Scanner und Patch-Werkzeuge markieren KEV-Lücken automatisch. Prüfen Sie, ob Ihr Werkzeug oder Ihr IT-Dienstleister das tut.
- Sofort-Regel festlegen: Eine KEV-Lücke auf einem System, das aus dem Internet erreichbar ist, etwa Firewall, VPN, E-Mail-Server oder Webportal, gehört nicht in den nächsten Monatszyklus, sondern in ein Notfall-Update. Grundlage ist ein geübtes Patch-Management.
- Nach dem Update prüfen: Wurde die Lücke ausgenutzt, bevor sie geschlossen war? Hinweise dazu stehen oft in der Herstellermeldung oder in Warnungen von CERT.at.
Grenzen
- Kein vollständiges Bild: Der Katalog enthält nur Lücken, für die CISA belastbare Belege hat. Fehlt eine Lücke, ist sie nicht automatisch harmlos.
- US-Perspektive: Produkte, die vor allem in Europa verbreitet sind, können unterrepräsentiert sein. Ergänzend zeigt die EU-Datenbank EUVD der ENISA eine Übersicht ausgenutzter Schwachstellen.
- Zeitverzug: Zwischen erster Ausnutzung und Aufnahme können Tage vergehen. Für die Frühphase hilft die Wahrscheinlichkeitsschätzung EPSS.
Bezug zu TOMORIS
GRID.patch verbindet Wartungsfenster, gestaffelte Updates und Überwachung zu einem nachvollziehbaren Prozess, GRID.scout macht betroffene Systeme sichtbar.