CVE - Common Vulnerabilities and Exposures

Wozu braucht man CVE-IDs? Die Kernfunktion

Ohne CVE wäre Sicherheit Chaos.

Stellen Sie sich vor: Ein Hersteller findet eine Lücke und nennt sie „critical auth bug". Ein Security-Forscher veröffentlicht dazu einen PoC und nennt es „bypass-vuln-2024". Ein Scanner-Hersteller hat Daten von ihremeigenen Recherche und nennt es „MS-AUTH-001". Drei verschiedene Namen, aber alle meinen dieselbe Lücke. Mit CVE gibt es nur eine Nummer, die alle verwenden: CVE-2024-XXXXX. Das macht es möglich:

1. Hersteller-Advisories automatisch mit Scanner-Befunden abzugleichen.
2. Patch-Management-Tools zu automatisieren – wird CVE-2024-XXXXX gepacht, wissen Sie exakt, welche Systeme betroffen waren.
3. Compliance zu dokumentieren – „Wir haben CVE-2024-XXXXX bis zum <Datum> gepatched" ist nachvollziehbar.
4. Bedrohungsintelligenz weltweit auszutauschen – das BSI kann warnen, Microsoft kann berichten, Google kann analysieren – alle über die gleiche CVE-Nummer.

Wie ist eine CVE-ID aufgebaut?

Format: CVE-YYYY-NNNNN wobei YYYY das Jahr der Veröffentlichung ist und NNNNN eine Sequenznummer (5 Ziffern oder mehr).

Beispiele: CVE-2024-1234 (eine der ersten 2024), CVE-2024-55555 (später im Jahr), CVE-2023-44228 (Log4Shell aus 2021, aber 2023 häufig zitiert). Die Nummern sind nicht chronologisch – CVE-Nummern werden vergeben, wenn die Schwachstelle dem CVE-System gemeldet und akzeptiert wird, nicht nach Entdeckungsdatum. Das Jahr bezieht sich auf die Veröffentlichung, nicht die Entdeckung. Eine Lücke, die 2022 entdeckt, aber erst 2024 veröffentlicht wurde, trägt eine CVE-2024-Nummer.

Wer vergibt CVE-IDs und wie lange dauert das?

CVE-IDs werden von CVE Numbering Authorities (CNAs) vergeben. Das sind:

1. MITRE selbst (als Fallback),
2. Große Hersteller: Microsoft, Apple, Google, Oracle, Cisco, Red Hat haben jeweils eigene CNA-Status und vergeben CVE-Nummern für ihre Produkte schnell.
3. Nationale CERTs: Das deutsche BSI ist eine CNA, genauso wie belgisches, französisches, etc.
4. Sicherheitsforschungs-Organisationen wie Google Project Zero.

Die Vereinbarung: Der Entdecker oder Hersteller meldet eine Lücke bei einer CNA. Diese validiert (handelt es sich wirklich um eine neue, bedeutsame Lücke?) und vergibt dann eine CVE-Nummer. Das kann Stunden bis Tage dauern. Große Hersteller wie Microsoft vergeben CVE-Nummern intern oft vor der öffentlichen Veröffentlichung, um Konsistenz zu gewährleisten.

Im Schnitt: Eine echte, verifizierte Lücke bekommt innerhalb von 1–7 Tagen eine CVE-Nummer.

Was ist NICHT im CVE enthalten?

Wichtig für Ihr Verständnis: CVE ist nur eine ID und Basisdokumentation.

CVE sagt NICHT: wie gefährlich die Lücke ist (das macht CVSS), ob sie aktiv ausgenutzt wird (das macht KEV), wie man sie behebt (das macht der Hersteller-Advisory), oder technische Details (auch meist im Advisory). CVE ist ein Zeiger, ein Katalognummerntext. Im CVE-Eintrag selbst finden Sie meist nur: Titel, Kurzbeschreibung, Datum, Links zu Advisories und zum NVD (National Vulnerability Database). Die ganze Kontextinformation (CVSS-Score, Betroffene Versionen, Patches, Workarounds) steht im Hersteller-Advisory, nicht im CVE selbst.

CVE-Praktische Beispiele

Log4Shell (CVE-2021-44228, Apache Log4j): Entdeckt Sept. 2021, veröffentlicht Dez. 2021. Ein Forscher fand, dass Apache Log4j Remote Code Execution zuließ via manipulierte Log-Nachrichten. Die CVE-ID wurde als Basis verwendet, alle Advisories, Patches und Warnungen bezogen sich drauf. Microsoft Outlook-Lücke (CVE-2023-23397): Microsoft vergibt die Nummer selbst vor der Veröffentlichung, kommuniziert im Patch Tuesday Advisory, Sicherheitstools nutzen die CVE um zu checken, ob Sie betroffen seid. QEMU-Lücke (CVE-2023-2861): Virtualisierungs-Software QEMU, viele Linux-Distributionen betroffen – eine CVE, aber viele Hersteller-Advisories (Red Hat, Ubuntu, Debian, etc.) alle mit der gleichen CVE.

CVE-Nummern in Ihrem IT-Alltag: Patch-Management

Praktisches Szenario Ihrer KMU:

1. Sie nutzen ein Windows Server Patch-Management-System. Microsoft veröffentlicht Patch Tuesday und gibt 20 neue CVE-Nummern an.
2. Ihr Scanner (Nessus, Qualys, etc.) checkt Ihre Systeme gegen eine CVE-Datenbank und sagt: „Sie sind betroffen von CVE-2024-1234, CVE-2024-5678".
3. Sie können jetzt exakt sehen: Welche Server? Welche Software-Versionen?
4. Sie wissen: Der Patch für CVE-2024-1234 ist in Update KB123456 enthalten.
5. Sie spielen den Patch ein.
6. Der Scanner sagt: CVE-2024-1234 = fixed. So funktioniert automatisiertes Patch-Management – und die Basis ist die CVE-Nummer als eindeutige Referenz.

CVE und Regulierung: NIS2, CRA, BSI

NIS2 und der EU Cyber Resilience Act (CRA) verlangen von Herstellern, aktiv ausgenutzte Schwachstellen schnell zu melden. Das geschieht via CVE – „Wir haben CVE-2024-XXXXX gefunden und melden das bis morgen." Das BSI veröffentlicht regelmäßig Exploited Vulnerability Warnings mit CVE-Nummern. Für Sie als KMU bedeutet das: Wenn Sie eine offiziellen Warnung vom BSI erhalten, enthält sie eine CVE-Nummer, und Sie können damit automatisiert in Ihrem Patch-System checken, ob Sie betroffen sind. ISO 27001 und andere Standards verlangen Dokumentation von Schwachstellen – CVE-Nummern sind das Standard-Dokumentationsmittel.

Beispiel: „2024-06-15: CVE-2024-12345 gescannt, nicht betroffen (Komponente nicht im Einsatz)".

Häufige Verwirrung: CVE, CWE, CVSS, KEV – Unterschiede

CVE = WAS ist die Lücke? Die eindeutige Identifikation.

Beispiel: CVE-2024-1234 = eine spezifische Lücke in Apache Tomcat 9.0.56. CWE = WARUM ist die Lücke da? Der Schwachstellentyp.

Beispiel: CWE-79 = Cross-Site Scripting (XSS). Ein CVE kann mehrere CWEs haben. CVSS = WIE SCHWERWIEGEND ist sie? Die Bewertung 0–10.

Beispiel: CVSS 7.5 = High. KEV = WIRD SIE AUSGENUTZT? Der Katalog aktiv ausgenutzter Lücken.

Beispiel: Ja, CVE-2024-1234 ist im CISA KEV-Katalog = wird aktiv ausgenutzt.

Zusammenhang: CVE-2024-1234 (WHAT) ist CWE-79 (WHY) mit CVSS 7.5 (SEVERITY) und ist im KEV (ACTIVELY EXPLOITED).

Auch bekannt als

CVE-ID · CVE-Nummer

Teil des Themenbereichs: Schwachstellen identifizieren

• CWE - Common Weakness Enumeration
• STRIDE - Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege
• Exploit - Exploit / Exploit Code

Verwandte Begriffe

• CWE - Common Weakness Enumeration
• CVSS - Common Vulnerability Scoring System
• KEV - Known Exploited Vulnerabilities
• CSAF - Common Security Advisory Framework
• TARA - Threat Analysis and Risk Assessment

Quellen

• CVE.org - Offizielles CVE-Informationssystem (Autorität)
• MITRE CVE - Historische Datenbank & Details
• MITRE - CVE Numbering Authorities (CNAs)
• NVD (National Vulnerability Database) - US-Nationale Datenbank mit CVE & CVSS
• BSI - Nationale CVE Numbering Authority Deutschland

Zuletzt aktualisiert: 2026-06-19

Häufige Fragen zu CVE