CVE: Das Gedächtnis für Schwachstellen

Die Auswirkungen von Sicherheitsbedrohungen sind in der Regel gravierender, wenn sie unentdeckt bleiben. Ohne Meldung oder Bekanntmachung existieren Sicherheitslücken praktisch unsichtbar. Seit rund 20 Jahren hilft das CVE-System (Common Vulnerabilities and Exposures), Cyber-Schwachstellen zu erfassen und einzuordnen – ein verlässlicher Begleiter in unserer täglichen Arbeit.

Was ist ein CVE? 

1999 wurde der Industriestandard CVE ins Leben gerufen, um weltweit eindeutige Bezeichnungen für bekannte Schwachstellen und Sicherheitslücken in IT-Systemen zu schaffen.
Diese herstellerübergreifende Liste ermöglicht es, Informationen zu Gefahren und Sicherheitslücken gemeinsam zu nutzen. 

Verwaltet wird der CVE-Katalog von der gemeinnützigen MITRE Corporation, die gemeinsam mit der US-amerikanischen CISA und dem japanischen JPCERT/CC berechtigt ist, eindeutige CVE-Nummern zu vergeben. Forscher, Hersteller und Sicherheitsunternehmen melden entdeckte Schwachstellen an sogenannte CNAs (CVE Numbering Authorities), die diese prüfen und bei Eignung in die Liste aufnehmen. 

Ergänzende Organisationen wie die National Vulnerability Database (NVD) erweitern die CVE-Daten mit Zusatzinformationen, etwa einer Risikoklassifizierung. 

Ein CVE-Datensatz umfasst: 

• CVE-ID (Prefix „CVE“, Jahr der Entdeckung, fortlaufende Nummer – z. B. CVE-2021-123456)
• Kurze Beschreibung der Schwachstelle
• Referenzen auf weitere Informationen 

Der Anstieg der Schwachstellenmeldungen 

Über ein Jahrzehnt lang blieb die Zahl gemeldeter Schwachstellen in der NVD weitgehend stabil, mit jährlichen Schwankungen von 10–20 %. 2017 verdoppelte sich die Anzahl jedoch gegenüber dem Vorjahr. Seither steigt sie kontinuierlich.
Gründe dafür sind vermutlich: 

• eine grössere Abdeckung von Softwareprodukten
• mehr erkannte Klassen von Programmierfehlern und Sicherheitsrisiken
• Präventive Nutzung von CVEs 

Neben der strukturierten Erfassung und einer gemeinsamen Fachsprache dienen CVEs auch der präventiven Überwachung von Systemen und Anwendungen. Sie erscheinen in Release Notes und liefern Grundlage für Testskripte, um installierte Softwareversionen gezielt auf bekannte Sicherheitslücken zu prüfen – oft plattformübergreifend, wenn z. B. eine Software unter Windows und Linux dieselbe Schwachstelle aufweist. 

Vulnerability Scanning bei CONVOTIS 

CVE-Daten sind fester Bestandteil unserer täglichen Sicherheitsarbeit. Wir prüfen alle gehosteten Systeme regelmässig auf drei Ebenen: 

1. Externe Tests via Internet – inklusive vorgeschalteter Systeme wie DDoS-Schutz, Firewall, WAF, Loadbalancer
2. Interne Tests innerhalb jeder Netzwerkzone, z. B. Anwendungen in einer DMZ 
3. Lokale Prüfungen mittels Scripts – Abgleich installierter Softwarepakete mit Inventarlisten 

Alle Findings werden intern und extern rapportiert. Das Patching erfolgt gemäss den jeweiligen Vorgaben. Bei PCI/DSS-Systemen sind wir verpflichtet, kritische Patches innerhalb von 30 Tagen einzuspielen. 

Unser Vulnerability Scanning as a Service (VSaaS) steht allen Interessierten offen – unabhängig davon, ob sie bereits CONVOTIS-Kunden sind oder andere Leistungen bei uns beziehen. 

Sicherheit beginnt mit Transparenz 

Die strukturierte Erfassung von Schwachstellen durch CVEs schafft Klarheit und ermöglicht schnelles Handeln. Unternehmen profitieren von einer einheitlichen Sprache, klaren Prozessen und der Möglichkeit, Sicherheitslücken frühzeitig zu schliessen. 

Mit regelmässigen Scans und konsequentem Patch-Management reduzieren Sie das Risiko erfolgreicher Angriffe deutlich.