Was ist CVE?

CVE einfach erklärt

Fast jedes Buch im Handel hat eine ISBN. Ob im Laden, online oder in der Bibliothek: Mit dieser Nummer ist eindeutig klar, welches Buch gemeint ist. CVE leistet dasselbe für Sicherheitslücken. Die Abkürzung steht für „Common Vulnerabilities and Exposures“, auf Deutsch etwa „allgemein bekannte Schwachstellen und Gefährdungen“.

Eine Schwachstelle ist ein Fehler in Software oder Hardware, den Angreifer ausnutzen können. Wird eine solche Lücke öffentlich bekannt, erhält sie meist eine CVE-Nummer. Der zugehörige Eintrag beschreibt kurz, welches Produkt in welchen Versionen betroffen ist. Außerdem verweist er auf weitere Quellen, etwa auf Sicherheitshinweise des Herstellers.

Ein bekanntes Beispiel ist CVE-2021-44228, besser bekannt als „Log4Shell“. Die Lücke steckte in Log4j, einer weit verbreiteten Programmbibliothek für die Programmiersprache Java – also einem fertigen Baustein, den sehr viele Anwendungen mitnutzen. Dank der eindeutigen Kennung konnten Unternehmen weltweit gezielt prüfen, ob sie betroffen waren. Wie gefährlich eine Lücke ist, verrät die Nummer allein übrigens nicht. Dafür gibt es eine eigene Bewertung, meist nach dem Standard CVSS.

So funktioniert das CVE-System

Hinter dem System steht das CVE-Programm, das die Vergabe der Nummern koordiniert. Ausgegeben werden sie von zahlreichen autorisierten Stellen weltweit, den CVE Numbering Authorities (CNAs). Dazu gehören Softwarehersteller, Sicherheitsunternehmen und Computer-Notfallteams (CERTs). Der Weg einer Lücke in die Datenbank sieht meist so aus:

1. Entdeckung: Eine Sicherheitsforscherin, ein Hersteller oder ein Prüfteam findet eine Schwachstelle und meldet sie vertraulich an den Hersteller.
2. Reservierung: Eine CNA reserviert eine Kennung. Sie besteht aus „CVE“, einer Jahreszahl und einer fortlaufenden Nummer. Die Jahreszahl zeigt meist, wann die Nummer reserviert wurde – nicht, wann die Lücke entstand oder entdeckt wurde.
3. Veröffentlichung: Sobald ein Update bereitsteht oder die Lücke ohnehin bekannt ist, erscheint der Eintrag mit Beschreibung und betroffenen Versionen.
4. Anreicherung: Schwachstellendatenbanken ergänzen eine CVSS-Bewertung und oft den Hinweis, ob die Lücke bereits aktiv ausgenutzt wird. Seit 2025 betreibt auch die EU-Agentur für Cybersicherheit (ENISA) eine Europäische Schwachstellendatenbank (EUVD), die auf CVE-Kennungen verweist.
5. Abgleich: Ein Schwachstellenscan vergleicht die installierten Softwareversionen mit diesen Datenbanken und meldet offene CVEs.

Wichtig: Nicht jede Schwachstelle erhält eine CVE-Nummer. Lücken in individuell entwickelter Software, etwa im eigenen Webshop, bekommen in der Regel keine. Ein Scanner, der nur bekannte CVEs abgleicht, findet sie deshalb nicht.

Ein Beispiel aus der Praxis

Ein typisches Szenario: Ein mittelständischer Möbelhersteller liest in einer Warnmeldung von einer kritischen Lücke in einem verbreiteten VPN-Gateway. Über solche Geräte verbinden sich Beschäftigte von unterwegs mit dem Firmennetz. Die IT-Leiterin sucht die genannte CVE-Nummer in den Sicherheitshinweisen des Herstellers. Dort steht genau, welche Versionen betroffen sind und welches Update hilft.

Der Abgleich mit dem eigenen Inventar zeigt: Das Gerät am Zweitstandort läuft noch mit einer betroffenen Version. Es wird noch am selben Tag aktualisiert. Ohne die eindeutige Kennung hätte das Team erst klären müssen, ob die Meldung überhaupt das eigene Produkt betrifft. Diese Zeit nutzen Angreifer, um im Internet nach verwundbaren Geräten zu suchen.

Warum ist das für Unternehmen wichtig?

Viele erfolgreiche Angriffe nutzen keine unbekannten Tricks, sondern bekannte Schwachstellen, für die längst ein Update bereitsteht. Mit der Veröffentlichung einer CVE kennen auch Angreifer die Lücke. Oft folgen bald öffentlich verfügbare Exploits, also fertige Angriffswerkzeuge. Automatisierte Suchen nach verwundbaren Systemen beginnen dann häufig sehr schnell.

CVE-Nummern machen dieses Risiko beherrschbar. Sie verbinden Warnmeldungen, Herstellerhinweise und Scan-Ergebnisse eindeutig miteinander. Zudem verlangen Regelwerke wie NIS2 und ISO/IEC 27001 einen geregelten Umgang mit Schwachstellen. Wer CVEs systematisch verfolgt, kann gegenüber Kunden, Auditoren und Versicherern belegen, dass bekannte Lücken nicht liegen bleiben.

So schützen Sie sich

• Inventar führen: Erfassen Sie alle Systeme, Programme und Versionen. Nur so können Sie CVE-Meldungen zuordnen.
• Warnungen verfolgen: Abonnieren Sie die Sicherheitshinweise Ihrer Hersteller und die Warnmeldungen des BSI.
• Nach Risiko priorisieren: Kritische Lücken in Systemen, die aus dem Internet erreichbar sind, haben Vorrang – erst recht, wenn sie bereits aktiv ausgenutzt werden.
• Zügig aktualisieren: Legen Sie im Patch-Management, dem geregelten Einspielen von Updates, feste Fristen je nach Schweregrad fest.
• Regelmäßig scannen: Prüfen Sie automatisiert, wo bekannte CVEs noch offen sind.
• Über CVEs hinaus testen: Lassen Sie Eigenentwicklungen und Konfigurationen zusätzlich manuell prüfen. Dort helfen CVE-Datenbanken nicht weiter.

Wie Rootsektor unterstützt

In unserer Schwachstellenanalyse prüfen wir Ihre Systeme auf bekannte CVEs, fehlende Updates und unsichere Konfigurationen. Wir verifizieren die relevanten Befunde, sortieren Fehlalarme aus und priorisieren nach dem tatsächlichen Risiko für Ihr Unternehmen. Für Lücken, die keine Datenbank kennt, empfiehlt sich ergänzend ein Penetrationstest – mehr dazu unter Penetration Testing. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot; anfordern können Sie es über unser Pentest-Angebot.