Eine Warnung von CERT.at, ein Scanbericht und ein Hersteller-Update beschreiben oft dieselbe Lücke mit unterschiedlichen Worten. Die CVE-Kennung, im Alltag auch CVE-Nummer oder CVE-ID genannt, macht sie eindeutig zuordenbar. Das CVE-Programm wird von der US-Cybersicherheitsbehörde CISA gesponsert, das Sekretariat führt die gemeinnützige MITRE Corporation. Ein CVE-Eintrag (CVE Record) beschreibt die Schwachstelle, nennt betroffene Produkte und verweist auf Herstellerhinweise. Er bewertet nicht das Risiko und enthält auch kein Update.
Wie ist eine CVE-Nummer aufgebaut?
Die Kennung folgt dem Muster CVE-Jahr-Nummer, etwa CVE-2024-3094. Die Jahreszahl gibt laut CVE-Programm nicht an, wann die Lücke entdeckt wurde. Die laufende Nummer hat mindestens vier Stellen und ist nach oben offen; sechsstellige Nummern wie CVE-2026-110447 sind inzwischen Alltag. Ein Eintrag hat einen von drei Zuständen: reserviert, veröffentlicht oder zurückgewiesen, etwa wenn sich eine Meldung als Duplikat herausstellt.
Wer vergibt CVE-Nummern?
Kennungen vergeben CVE Numbering Authorities (CNA). Das sind autorisierte Stellen mit festgelegtem Zuständigkeitsbereich, zum Beispiel Softwarehersteller für ihre eigenen Produkte, Sicherheitsforschungsorganisationen und nationale CERTs. Darüber stehen Roots, die CNAs aufnehmen, schulen und beaufsichtigen. Die EU-Agentur ENISA ist seit Jänner 2024 CNA und seit November 2025 auch Root. Wer selbst eine Lücke findet, meldet sie im Rahmen einer Coordinated Vulnerability Disclosure an die zuständige Stelle.
CVE, CVSS, NVD und EUVD
- CVE benennt die Lücke eindeutig.
- CVSS beschreibt ihren technischen Schweregrad auf einer Skala von 0 bis 10.
- Die National Vulnerability Database (NVD) des US-Instituts NIST ergänzt Einträge um Bewertungen und Produktlisten. Seit April 2026 reichert NIST vorrangig ausgenutzte Lücken aus dem KEV-Katalog und bestimmte für US-Behörden wichtige Software an; andere CVEs werden aufgenommen, aber nicht mehr sofort ergänzt.
- Die European Vulnerability Database (EUVD) der ENISA ist seit Mai 2025 in Betrieb und geht auf die NIS2-Richtlinie zurück. Sie zeigt unter anderem kritische, aktiv ausgenutzte und EU-koordinierte Schwachstellen.
Praxis für KMU und Gemeinden
Für kleinere Organisationen ist die CVE-Nummer vor allem ein präziser Suchbegriff. Nennt eine Warnung eine CVE, lässt sich rasch klären, ob die Firewall, der VPN-Zugang oder eine Fachanwendung im Gemeindeamt betroffen ist. Voraussetzung ist ein aktuelles Verzeichnis aller Systeme und Versionen, siehe IT-Asset-Management. Fragen Sie Ihren IT-Dienstleister bei kritischen Meldungen gezielt nach der CVE-Kennung und dem Behebungsstand.
Risiken und Grenzen
- Nicht jede Lücke hat eine CVE. Fehler in Eigenentwicklungen oder in reinen Cloud-Diensten tauchen oft gar nicht auf.
- Eine CVE sagt nichts über Angriffe. Ob eine Lücke ausgenutzt wird, zeigen der KEV-Katalog und die Wahrscheinlichkeitsschätzung EPSS.
- Menge statt Übersicht: Ohne Priorisierung im Schwachstellenmanagement gehen wichtige Befunde in der Flut neuer Einträge unter.
- Abhängigkeit von einem Programm: Im April 2025 drohte der Betriebsvertrag für CVE auszulaufen, CISA verlängerte ihn kurzfristig. Mit ENISA als Root und der EUVD baut Europa eigene Strukturen auf.
Bezug zu TOMORIS
GRID.scout bewertet Befunde mit CVE-Kennung nach Erreichbarkeit, Auswirkung und Kontext und verfolgt die Maßnahmen nach. GRID.patch unterstützt das geplante Einspielen der Updates.