Sicherheitshinweise erscheinen bisher meist als Webseite oder PDF, jeder Hersteller in eigenem Aufbau. Wer viele Produkte betreibt, muss sie einzeln lesen und von Hand mit dem eigenen Bestand abgleichen. CSAF ersetzt das durch strukturierte Daten. Die Version 2.0 ist seit 18. November 2022 OASIS-Standard und seit Februar 2025 auch als internationale Norm ISO/IEC 20153:2025 veröffentlicht. Das deutsche BSI fördert CSAF aktiv und beschreibt die Anforderungen in der Technischen Richtlinie TR-03191.
Wie ist ein CSAF-Dokument aufgebaut?
Ein CSAF-Dokument ist eine JSON-Datei mit drei Kernteilen: Angaben zum Dokument und Herausgeber, ein Produktbaum mit allen betroffenen Produkten und Versionen sowie die Schwachstellen mit CVE-Kennung, Bewertung und Abhilfe. CSAF 2.0 kennt fünf Profile:
- CSAF Base als Grundgerüst,
- Security Advisory für klassische Sicherheitshinweise,
- VEX für Aussagen, ob ein Produkt von einer Lücke tatsächlich betroffen ist,
- Informational Advisory für Hinweise ohne konkrete Schwachstelle, etwa zu Konfigurationen,
- Security Incident Response für die Antwort auf einen Sicherheitsvorfall.
Was ist VEX?
VEX steht für Vulnerability Exploitability eXchange. Ein VEX-Dokument sagt zu jeder Kombination aus Produkt und Schwachstelle, ob das Produkt betroffen ist (known_affected), nicht betroffen ist (known_not_affected), bereits behoben ist (fixed) oder noch untersucht wird (under_investigation). Für „nicht betroffen“ ist eine Begründung Pflicht, für „betroffen“ eine Handlungsanweisung. Das ist besonders wertvoll zusammen mit einer SBOM: Die Stückliste zeigt, dass eine verwundbare Bibliothek enthalten ist, VEX sagt, ob die Lücke im konkreten Produkt überhaupt ausnutzbar ist.
Wie werden CSAF-Dokumente verteilt?
Der Standard definiert Rollen mit wachsenden Anforderungen: Publisher, Provider, Trusted Provider, Lister und Aggregator. Ein Provider stellt seine Dokumente an einer festgelegten Stelle bereit, sodass Werkzeuge sie automatisch abrufen können. Ein Aggregator sammelt Dokumente von mindestens zwei unabhängigen Herausgebern.
Praxis für KMU und Gemeinden
- Beim Einkauf fragen: Veröffentlicht der Hersteller von Firewall, Fachverfahren oder Steuerung Sicherheitshinweise als CSAF? Das BSI sieht die Bedeutung von CSAF im Zusammenhang mit Cyber Resilience Act und NIS2 wachsen.
- Werkzeuge nutzen: Schwachstellen- und Asset-Management-Lösungen, die CSAF einlesen, gleichen Hinweise automatisch mit dem Bestand ab.
- Selbst veröffentlichen: Wer Software oder Geräte herstellt, kann seine Hinweise im Rahmen der koordinierten Offenlegung direkt als CSAF bereitstellen.
Grenzen
CSAF ist nur so gut wie die Daten des Herausgebers. Fehlerhafte Versionsangaben im Produktbaum führen zu falschen Treffern. Die Nachfolgeversion CSAF 2.1 liegt noch als Entwurf vor; die Version 2.0 bleibt bis auf Weiteres maßgeblich.
Bezug zu TOMORIS
GRID.scout bewertet Schwachstellenbefunde mit Kontext und übersetzt sie in priorisierte Maßnahmen, die im Schwachstellenmanagement nachverfolgt werden.