Ergänzung oder Alternative zur CVE-Datenbank? Neue EU-Datenbank für Sicherheitslücken geht an den Start

Anbieter zum Thema

Fsas Technologies GmbH

peoplefone GmbH

ECHO eG

Nachdem die Finanzierung der CVE-Datenbank von Mitre nur noch bis Mitte März 2026 besteht, kommt der Start der EU-eigenen Datenbank zur Kate­gorisierung von Schwachstellen gerade rechtzeitig: die European Union Vulnerability Database.

Bisher wurden IT-Sicherheitslücken hauptsächlich mit CVE-Nummern (Common Vulnerabilities and Exposures) kategorisiert. Diese wurden in die CVE-Datenbank der US-Organisation Mitre aufgenommen, über die Unternehmen wie auch Privatnutzer Einsicht erhalten, wie schwerwiegend eine Schwachstelle ist, welche Komponenten sie betreffen und welche Informationen es vom Hersteller dazu gibt. Nun hat die EU-Cybersicherheitsagentur Enisa eine eigene Schwachstellendatenbank für die EU gestartet: die European Union Vulnerability Database, kurz EUVD.

Unterschied zwischen CVE und EUVD

Die Enisa erläutert auf der Website der EUVD, dass die neue EU-Datenbank einen ganzheitlichen Ansatz verfolge und auf eine umfassende Vernetzung von Informationsquellen abziele. Dafür setzt sie auf die Open-Source-Software „Vulnerability-Lookup“. Die Software, deren Code seit 2023 öffentlich zugänglich ist, erlaubt es Nutzern, gezielt nach Informationen über bekannte Sicherheitslücken zu suchen.

Neben Bewertungen des Schweregrades und Beschreibungen der Sicherheitslücken, wie sie auch die CVE-Datenbank liefert, erhalten Nutzer der EUVD-Datenbank auch Hinweise dazu, ob eine Schwachstelle bereits ausgenutzt wird und wie hoch die Wahrscheinlichkeit ist, dass sie in den kommenden30 Tagen ausgenutzt wird. Dafür nutzt EUVD das Exploit Prediction Scoring System (EPSS). Zudem gibt es konkrete Abhilfemaßnahmen wie etwa bereits veröffentlichte Sicherheitsupdates. Zusätzliche Informationen zu den Schwachstellen liefern die nationalen CSIRTs mit ihren Hinweisen und Warnungen, Anbieter, die Richtlinien zur Schadensbegrenzung und zum Patchen veröffentlichen, sowie die Kennzeichnungen bereits ausgenutzter Schwachstellen. Für Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) Mitglied im CIRTs-Netzwerk. Somit ist die EUVD auf die europäische Gesetzgebung zugeschnitten. Außerdem kann die Datenbank Unternehmen, die der NIS2-Richtlinie unterliegen, dabei helfen, effiziente Prozesse zur Risiko- und Schwachstellenbewertung zu etablieren.

Die EUVD-Datenbank bietet drei Ansichten für die erfassten Sicherheitslücken:

• für kritische Schwachstellen

• für bereits aktiv ausgenutzte Schwachstellen

• für Schwachstellen, die aus dem EU-Netzwerk der IT-Notfallteams (Computer Incident Response Teams, CIRTs) heraus koordiniert werden

Die katalogisierten Schwachstellen stehen in der EUVD-Datenbank zuerst mit der EUVD-Kennung, also beispielsweise „EUVD-2025-14705“ und dahinter als Alternative mit der CVE-Kennung, also beispielsweise „CVE-2025-32756“.

Henna Virkkunen, Exekutiv-Vizepräsidentin der Europäischen Kommission für Technologiesouveränität, Sicherheit und Demokratie, erklärte: „Die EU-Schwachstellendatenbank ist ein wichtiger Schritt zur Stärkung der Sicherheit und Widerstandsfähigkeit Europas. Indem wir für den EU-Markt relevante Informationen zu Schwachstellen zusammenführen, erhöhen wir die Cybersicherheitsstandards und ermöglichen es Akteuren des privaten und öffentlichen Sektors, unsere gemeinsamen digitalen Räume effizienter und autonomer zu schützen.“

Wer meldet die Schwachstellen?

Für die EUVD-Datenbank kooperiert die Enisa etwa mit der bekannten US-Schwachstellen-Datenbank CVE. Dadurch ist die Enisa berechtigt, CVE-Kennungen für Schwachstellen zu vergeben, die von einem Mitglied des CIRTs-Netzwerks entdeckt oder an dieses Mitglied gemeldet wurden. Koordiniert und organisiert wird das CIRTs-Netzwerk direkt druch Enisa.

Doch auch Hersteller, Sicherheitsforscher, Open-Source-Projektmitwirkende, Bug-Bounty-Anbieter und andere koordinierte Stellen können sogenannte IDs vergeben. Dafür müssen sie von Mitre zur CVE Numbering Authority (CNA) ernannt werden. Ihre Aufgabe ist es dann, aktiv Sicherheitslücken zu identifizieren, zu analysieren und CVE-Kennungen zu vergeben. Dabei müssen sich die CNAs an die CNA-Richtlinien von Mitre halten. Mittlerweile gibt es 23 Unternehmen aus Deutschland, die sich als CNA engagieren. Zuletzt konnte sich das IT-Sicherheitsberatungsunternehmen Schutzwerk als CNA akkreditieren.

Finanzierung der CVE-Datenbank – Wie geht es weiter?

Zwar kooperieren die Enisa und Mitre für die Kategorisierung der Schwachstellen, doch die EUVD-Datenbank könnte möglicherweise schon in weniger als einem Jahr eine wichtige Alternative zum CVE-Urgestein sein. Die CVE-Datenbank gibt es seit 1999 und wird seither vom US-Heimatschutzministerium finanziert. Seit ihrer Gründung im Jahr 2018 ist die Cisa, die Teil des Heimatschutzministeriums ist, die operative Stelle, die das CVE-Programm finanziert und operativ steuert.

Doch im April 2025 kündigten die Cisa und das Heimatschutzministerium kurzfristig an, die Finanzierung des CVE-Systems zum 16. April 2025 zu stoppen. Kurz darauf ruderte das Ministerium jedoch zurück und bestätigte die Freigabe der Fördermittel bis Mitte März 2026. Als Reaktion darauf gründeten ebenfalls im April 2025 Mitglieder des CVE-Boards von Mitre sowie weitere Akteure der Security-Community die CVE Foundation. Ihr Ziel ist eine langfristige Unabhängigkeit, Stabilität sowie die globale Zugänglichkeit für das CVE-Programm sicherzustellen. Um dies zu erreichen will die gemeinnützige Organisation weg von der Finanzierung durch einen einzigen staatlichen Sponsor und hin zu einem diversifizierten Finanzierungsmodell. Dieses soll Beiträge von Regierungen, Unternehmen und anderen Organisationen aus der ganzen Welt umfassen. Dabei sollen externe politische und wirtschaftliche Einflüsse außenvor bleiben, damit die Integrität und Objektivität des CVE-Programms gestärkt wird.

Doch nicht überall wird die europäische Schwachstellendatenbank gefeiert. Denn ihr langfristiger Erfolg hängt von der regelmäßigen und zuverlässigen Pflege der Daten ab. An dieser Stelle ist noch offen, ob die Open-Source-Community oder Sicherheits­forschende die Meldungen von Sicherheitslücken verarbeiten werden. Ob sich die EUVD überhaupt als Alternative zur schon lange bestehenden und beliebten CVE-Datenbank eignet, oder sich als unnötiger Zeit- und Verwaltungsaufwand entpuppt, wird sich zeigen.

Finanzierung gestoppt

Das CVE-Programm steht vor dem Aus

(ID:50429149)