CVE und CVSS

CVE steht für "Common Vulnerabilities and Exposures" und bezeichnet ein weltweit genutztes Verzeichnis, das jeder öffentlich bekannten Schwachstelle in Software oder Hardware eine eindeutige, dauerhafte Kennung im Format CVE-JJJJ-NNNNN zuweist. Das Programm wird von der MITRE Corporation koordiniert und von einem Netz sogenannter CVE Numbering Authorities (CNA) getragen, zu denen große Hersteller, CERTs und Forschungsstellen gehören. Der Zweck ist rein referenziell: Die Kennung sorgt dafür, dass Hersteller, Scanner-Anbieter, Behörden und Anwender über exakt dieselbe Schwachstelle sprechen. Angereicherte Beschreibungen und Metadaten finden sich unter anderem in der National Vulnerability Database (NVD) des NIST sowie seit 2025 in der von der ENISA betriebenen europäischen Schwachstellendatenbank (EUVD), die auf Artikel 12 der NIS2-Richtlinie zurückgeht.

CVSS – das "Common Vulnerability Scoring System" des Forum of Incident Response and Security Teams (FIRST) – liefert die dazugehörige Bewertung. Es übersetzt technische Eigenschaften einer Schwachstelle in eine Zahl zwischen 0,0 und 10,0 und in die qualitativen Stufen "None", "Low", "Medium", "High" und "Critical" (kritisch ab 9,0). Der Basiswert beschreibt die unveränderlichen Merkmale der Schwachstelle: Angriffsvektor, Komplexität, erforderliche Rechte, Nutzerinteraktion sowie die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die in der Praxis verbreitete Version 3.1 ergänzt diese Basis um temporale und umgebungsbezogene Metriken; die 2023 veröffentlichte Version 4.0 gliedert die Bewertung in Base-, Threat-, Environmental- und Supplemental-Metriken und macht den Bezug zur konkreten Umgebung expliziter.

Für die Praxis gilt: Der CVSS-Basiswert ist ein Schweregrad, kein Risiko. Er kennt weder den Schutzbedarf des betroffenen Systems noch dessen Exponierung, vorhandene kompensierende Maßnahmen oder die Frage, ob eine Schwachstelle tatsächlich aktiv ausgenutzt wird. Eine belastbare Priorisierung entsteht erst, wenn der Basiswert mit Asset-Kontext und Bedrohungslage verknüpft wird – etwa über Umgebungsmetriken, über Ausnutzungswahrscheinlichkeiten wie EPSS oder über Kataloge bekannter ausgenutzter Schwachstellen. Normativ verlangen ISO/IEC 27001:2022 in Control 8.8 und der BSI IT-Grundschutz-Baustein OPS.1.1.3 genau diese bewertete, nachvollziehbare Behandlung technischer Schwachstellen; Artikel 21 der NIS2-Richtlinie macht Schwachstellenbehandlung und -offenlegung für besonders wichtige und wichtige Einrichtungen verpflichtend. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) knüpft daran an und verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen zu melden; die Meldepflichten gelten nach dem Verordnungstext ab dem 11. September 2026, die übrigen Anforderungen ab Dezember 2027. Da einzelne EU-Digitalvorhaben derzeit im Rahmen von Vereinfachungspaketen überarbeitet werden, sollten Fristen vor der Planung gegen den aktuellen Rechtsstand geprüft werden.