Wer Sicherheitsberichte liest, stößt neben CVE-Nummern oft auf Angaben wie CWE-79 oder CWE-89. Dahinter stehen Fehlerarten: CWE-79 ist Cross-Site Scripting, CWE-89 SQL-Injection. Die Liste wird von der Fachgemeinschaft weiterentwickelt, von der US-Behörde CISA gesponsert und von der MITRE Corporation betrieben.
CWE und CVE: der Unterschied
MITRE unterscheidet klar: Eine Schwäche (Weakness) ist eine zugrunde liegende Bedingung, die in vielen Produkten zu Schwachstellen führen kann. Eine Schwachstelle (Vulnerability) ist ein konkreter Fall einer oder mehrerer solcher Schwächen in einem bestimmten Produkt. Die CVE-Kennung benennt also den Einzelfall, etwa eine Lücke in Version 2.4 eines Webportals. Die CWE-Kennung sagt, welcher Programmierfehler dahintersteckt. Ergänzend beschreibt der Katalog CAPEC die typischen Angriffsmuster, mit denen solche Schwächen ausgenutzt werden.
Die CWE Top 25
Jedes Jahr veröffentlicht das CWE-Programm die 25 gefährlichsten Software-Schwächen, ausgewertet aus veröffentlichten CVE-Einträgen. Die Liste 2025 vom Dezember 2025 beruht auf 39.080 CVE-Einträgen aus dem Zeitraum Juni 2024 bis Juni 2025. Die ersten fünf Plätze:
- CWE-79: Cross-Site Scripting
- CWE-89: SQL-Injection
- CWE-352: Cross-Site Request Forgery
- CWE-862: fehlende Autorisierung
- CWE-787: Schreiben außerhalb der Speichergrenzen (Out-of-bounds Write)
Auffällig ist, dass viele dieser Fehlerarten seit Jahren bekannt sind und sich mit erprobten Techniken vermeiden lassen.
Praxis für KMU und Gemeinden
- Bei Eigenentwicklung: Nutzen Sie die Top 25 als Prüfliste für Code-Reviews und Tests. Automatische Analysewerkzeuge ordnen ihre Befunde meist einer CWE zu.
- Beim Einkauf: Fragen Sie Anbieter von Webportalen, Fachverfahren oder Apps, wie sie häufige Fehlerarten verhindern und ob regelmäßige Penetrationstests stattfinden. Eine Stückliste der Komponenten, die SBOM, ergänzt das Bild.
- Bei Befunden: Ein Schwachstellenscan oder Pentest nennt die CWE. Damit lässt sich prüfen, ob derselbe Fehler auch an anderen Stellen der Anwendung steckt.
Risiken und Grenzen
CWE beschreibt Fehlerarten, keine Gefährdungslage. Eine Schwäche aus den Top 25 ist nicht automatisch dringender als eine seltenere. Auch neue Fehlerarten, etwa bei KI-Anwendungen wie Prompt Injection, sind im Katalog noch in Entwicklung. Für den 28. Oktober 2026 hat das CWE-Programm die Version 5.0 mit grundlegenden Änderungen am Datenschema angekündigt; Werkzeuge, die CWE-Daten automatisch einlesen, sollten darauf vorbereitet sein.
Bezug zu TOMORIS
TOMORIS NEXT Entwicklung plant Berechtigungs- und Sicherheitskonzepte von Beginn an mit und testet Anwendungen vor der Einführung. Für bestehende Systeme hilft EXPERTS Cyber Security, Schwachstellen nach Wirkung und Dringlichkeit zu bearbeiten.