Technischer Support
Dokumentation
Anmeldung
Kontakt
Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags 
Wie ein auslaufender Vertrag das globale Ökosystem des Schwachstellenmanagements fast zum Einsturz brachte
Es war ein typischer Dienstag in den Sicherheitszentralen der Welt. Analysten überprüften ihre SIEM-Dashboards, Schwachstellen-Scanner führten ihre täglichen Scans durch, und Incident-Responder kümmerten sich um die übliche Flut von Warnmeldungen, die sich alle auf ein System von Identifikatoren stützen, an das die meisten nicht zweimal denken.
Dann ließ MITRE eine Bombe platzen.
Am 15. April 2025 schickte der Vizepräsident und Direktor des Center for Securing the Homeland von MITRE einen Brief an die Mitglieder des CVE-Vorstands, der sich wie die Anfangsszene eines Films über eine Cybersecurity-Katastrophe las. In dem Schreiben hieß es, dass am Mittwoch, dem 16. April - also am nächsten Tag - "der derzeitige Vertragsweg für MITRE zur Entwicklung, zum Betrieb und zur Modernisierung von CVE und mehreren anderen verwandten Programmen wie CWE ausläuft".
Für uns, die wir im Bereich der Cybersicherheit tätig sind, war dies nicht nur eine weitere Finanzierungsfrage oder Programmaktualisierung. Dies war das digitale Äquivalent zu der Nachricht, dass das Fundament Ihres Hauses über Nacht verschwinden würde.
Die stille Architektur unserer Sicherheitsinfrastruktur
Um das Ausmaß dessen zu verstehen, was beinahe passiert wäre, muss man die unsichtbare Architektur verstehen, die die moderne Cybersicherheit ermöglicht. Die CVE-Kennungen (Common Vulnerabilities and Exposures - Gemeinsame Schwachstellen und Gefährdungen) sind die universelle Sprache unserer Branche - das System, das es Verteidigern auf der ganzen Welt seit 25 Jahren ermöglicht, mit Präzision und Klarheit über dieselben Sicherheitsprobleme zu sprechen.
Jeder Schwachstellenscanner, den Sie verwenden? Er ordnet die Ergebnisse den CVEs zu.
Jedes Patch-Management-System? Organisiert nach CVEs.
Jeder Bedrohungsdaten-Feed? Ist um CVEs herum strukturiert.
Alle Sicherheitshinweise der Hersteller? Nach CVEs kategorisiert.
CVE ist im Grunde der Rosetta-Stein der Cybersicherheit - die Übersetzungsebene, die die Kommunikation über Schwachstellen zwischen verschiedenen Tools, Teams, Organisationen und Nationen ermöglicht.
Sollte dieses System plötzlich verschwinden, wie es am 15. April angedroht wurde, würden wir unsere Fähigkeit verlieren, Sicherheitsrisiken gemeinsam zu verstehen und darüber zu kommunizieren. Stellen Sie sich vor, Sie kommen zur Arbeit und stellen fest, dass Ihre gesamte Sicherheitskette über Nacht ihren gemeinsamen Referenzrahmen verloren hat. Der Tag danach würde ganz anders aussehen. Das Aufspüren neuer Schwachstellen würde bedeuten, dass man die Liste der Schwachstellen jedes einzelnen Projekts verfolgen müsste, was gleichzeitig eine sysiphanische Aufgabe und absolut unmöglich ist, da die meisten Projekte nicht einmal die Schwachstellen selbst in einem brauchbaren Format aufzeichnen. Es gäbe keine zentralisierte Quelle der Wahrheit.
24 Stunden am Rande des Abgrunds
Die zeitliche Abfolge der Ereignisse macht deutlich, wie fragil unsere Sicherheitsinfrastruktur sein kann:
15. April 2025, morgens: MITRE sendet sein Schreiben an die Mitglieder des CVE-Vorstands und warnt vor dem Auslaufen des Vertrags am folgenden Tag.
15. April 2025, nachmittags: Die Nachricht verbreitet sich in der Cybersicherheits-Community, während die Vorstandsmitglieder die Auswirkungen verdauen.
16. April 2025, morgens: Eine Gruppe von langjährigen aktiven CVE-Vorstandsmitgliedern kündigt die Gründung der CVE-Stiftung an - ein verzweifelter Versuch, einen Ersatzplan für das Überleben des Programms zu schaffen.
16. April 2025, spät abends: Die CISA gibt bekannt, dass sie den Vertrag mit MITRE verlängert hat, "um sicherzustellen, dass es keine Lücke in den kritischen CVE-Diensten geben wird".
In weniger als 24 Stunden wurden wir Zeuge des potenziellen Zusammenbruchs und der Notfallrettung eines für die globale Cybersicherheit grundlegenden Systems. Es war eine knappe Angelegenheit - viel knapper als den meisten Sicherheitsexperten bewusst ist.
Was fast zerbrochen wäre
Hätte die KAG den Vertrag nicht in letzter Minute verlängert, wären die Folgen unmittelbar und schwerwiegend gewesen:
- Das Schwachstellenmanagement würde zerbrechen: Ohne die Herausgabe neuer CVEs gäbe es keine Standardmethode zur Ermittlung und Verfolgung neu entdeckter Schwachstellen.
- Sicherheitstools würden an Wirksamkeit verlieren: Schwachstellen-Scanner, SIEMs und andere Sicherheits-Tools sind auf CVE-Zuordnungen angewiesen, um Ergebnisse zu korrelieren und Probleme zu priorisieren.
- Die Patch-Verwaltung würde chaotisch werden: Ohne CVEs als Bezugspunkte würde die Nachverfolgung, welche Schwachstellen in einem Unternehmen gepatcht wurden, exponentiell schwieriger werden.
- Die Reaktion auf Vorfälle würde erschwert: Die Teams würden den gemeinsamen Bezugsrahmen verlieren, der für die Kommunikation über Sicherheitsprobleme bei Zwischenfällen verwendet wird.
- Die Informationen über Bedrohungen würden fragmentiert: Die Fähigkeit, genaue Informationen über aktive Bedrohungen organisationsübergreifend auszutauschen, würde sich verschlechtern.
All dies würde geschehen, während die Bedrohungsakteure - insbesondere Gruppen wie Black Basta (die vor kurzem durch durchgesickerte Nachrichten aufgedeckt wurden, in denen ihre Ausnutzung von über 60 CVEs erst im letzten Jahr beschrieben wurde) - weiterhin mit ihren bestehenden Spielbüchern operieren und sich Verteidigern gegenübersehen, die plötzlich ihrer gemeinsamen Schwachstellen-Sprache beraubt sind.
Keine Lösung, aber ein Aufschub der Vollstreckung
Die unmittelbare Krise wurde zwar abgewendet, aber was wir erhielten, war keine Lösung, sondern ein Aufschub. Die Vertragsverlängerung der KAG dauert nur 11 Monate - im Grunde ist es eher ein "Hinrichtungsaufschub" als eine Begnadigung.
Diese vorübergehende Maßnahme bedeutet, dass die grundlegenden Fragen über die langfristige Nachhaltigkeit des CVE-Programms ungelöst bleiben. Wir haben nun einen definierten Countdown - 11 Monate, um entweder eine dauerhafte Finanzierung zu sichern oder erfolgreich zu einem alternativen Verwaltungsmodell überzugehen.
Das unvollkommene System, dessen Verlust wir uns nicht leisten können
Das CVE-System ist alles andere als perfekt. Die Kritiker haben berechtigte Einwände gegen seine Grenzen:
- Manchmal werden dadurch Anreize geschaffen, Probleme zu melden, die kaum als Sicherheitsprobleme zu bezeichnen sind, was die Betreuer dazu zwingt, Zeit zu verschwenden, um sie zu beheben.
- Das CVSS-Scoring-System scheint oft mehr den Unternehmensinteressen als einer objektiven Risikoanalyse zu entsprechen.
- In den letzten Jahren haben wir eine Flut neuer CVEs erlebt, insbesondere nachdem der Linux-Kernel ein CNA wurde und begann, eine große Anzahl von Fehlern als CVEs zu kennzeichnen.
- Die grundlegende Konzeption spiegelt die Sicherheitslandschaft von vor 25 Jahren wider, nicht die komplexe Umgebung von heute.
Aber trotz all seiner Mängel bleibt CVE das einzige universelle System, das wir haben. Es gibt keine brauchbare, einsatzbereite Alternative. Kein Backup-System, das in den Startlöchern steht. Es gibt keine realistische Möglichkeit, Schwachstellen in Millionen von verschiedenen Projekten unabhängig voneinander zu verfolgen, ohne eine einzige Quelle der Wahrheit.
Und wenn Sie nicht glauben, wie kritisch das ist, nehmen Sie ein weniger wirkungsvolles System, das derzeit verwendet wird: eine einfache Namenskonvention für verschiedene Bedrohungsakteure. Da wir kein Standard-Äquivalent zum CVE-System für die Benennung von Bedrohungsakteuren haben, haben wir lächerliche anbieterspezifische Benennungsschemata, wie Farben und Wetterphänomene bei einem Anbieter, etwas völlig anderes bei einem anderen, wieder ein anderer Anbieter verwendet Zahlen - am Ende braucht man einen Leitfaden und ein Wörterbuch, nur um zu verstehen, ob sich eine bestimmte Aktivität in verschiedenen Situationen auf denselben Bedrohungsakteur bezieht. Dies erschwert und verlangsamt die effektive Informationsbeschaffung unnötig, insbesondere in Situationen, in denen eine klare Absicht und eine schnelle Reaktion von entscheidender Bedeutung sind. Wäre dies bei CVEs der Fall, wären die Auswirkungen um Größenordnungen größer.
Die verborgene Fragilität kritischer Infrastrukturen
Dieser Beinahe-Zusammenstoß offenbart etwas Beunruhigendes über das Ökosystem der Cybersicherheit: Viele unserer wichtigsten Ressourcen ruhen auf einem überraschend fragilen Fundament.
25 Jahre lang haben die meisten Sicherheitsexperten nie in Frage gestellt, ob das CVE-System weiterbestehen würde. Es war eine so grundlegende Infrastruktur, dass ihr mögliches Verschwinden nicht als realistisches Szenario angesehen wurde - bis es beinahe passiert wäre.
Dies wirft unangenehme Fragen auf: Welche anderen kritischen Cybersicherheitsinfrastrukturen könnten ähnlich anfällig für plötzliche Unterbrechungen sein? Welche anderen Systeme, die "zu wichtig sind, um zu versagen", könnten nur einen Vertragsablauf vom Zusammenbruch entfernt sein?
Vorwärts bewegen: Das Rennen gegen eine 11-Monats-Uhr
Die Gründung der CVE-Stiftung stellt einen möglichen Weg in die Zukunft dar - eine gemeinnützige Einrichtung, die sich ausschließlich auf die Fortführung der Mission konzentriert, qualitativ hochwertige Schwachstellenerkennung zu liefern und die Integrität und Verfügbarkeit von CVE-Daten weltweit zu erhalten.
Aber bei nur 11 Monaten, bis wir möglicherweise erneut mit dieser Krise konfrontiert werden, können wir es uns nicht leisten, einfach zu warten und zu hoffen. Dieses enge Zeitfenster erfordert sofortiges, koordiniertes Handeln an mehreren Fronten:
- ein nachhaltiges Governance-Modell zu etablieren das globale Interessen vertritt, nicht nur die einer einzelnen Nation. Dieses Modell muss politischen Veränderungen und Finanzierungsunsicherheiten standhalten können.
- Entwicklung praktischer Ersatzmechanismen für die Art und Weise, wie Schwachstellen identifiziert, katalogisiert und weltweit verbreitet werden - Mechanismen, die ohne Abhängigkeit von einem einzigen Ausfallpunkt funktionieren können.
- Unsere gesamte Toolchain anpassen um Schwachstelleninformationen aus mehreren alternativen Quellen abzurufen. Jeder Scanner, jedes SIEM, jede Threat-Intelligence-Plattform und jedes Sicherheitstool, das es gibt, muss möglicherweise aktualisiert werden, um einem neuen Ansatz gerecht zu werden.
Dies ist ein monumentales Unterfangen, das selbst bei einer mehrjährigen Umsetzungszeit eine Herausforderung darstellen würde - ein Versuch in nur 11 Monaten scheint nahezu unmöglich. Doch wie dieser Vorfall deutlich zeigt, ist die Beibehaltung des Status quo keine gangbare Alternative.
Die harte Realität ist, dass kein so kritisches System unter der Kontrolle einer einzigen Stelle bleiben sollte - sei es eine Regierungsbehörde, ein Unternehmen oder eine gemeinnützige Organisation. Das derzeitige Governance-Modell hat sich als grundlegend unsicher erwiesen, unabhängig davon, welche Partei die Schlüssel hält.
Ein Weckruf: CVE ist nur der Anfang
Die 24 Stunden, in denen wir beinahe die Grundlage des modernen Schwachstellenmanagements verloren hätten, sollten uns als Weckruf dienen. Aber es wäre ein gefährlicher Irrtum zu glauben, CVE sei ein Einzelfall.
Das CVE-System war lediglich das Opfer "du jour". Andere kritische Internet-Infrastruktursysteme leiden unter identischen Schwachstellen in der Verwaltung. Denken Sie an die DNS-Root-Server - ein weiteres System, von dem die gesamte digitale Welt abhängt, das jedoch unter den richtigen (oder falschen) Umständen theoretisch ähnlichen existenziellen Bedrohungen ausgesetzt sein könnte. Das Gleiche gilt für Zertifizierungsstellen, Zeitserver, Routing-Infrastrukturen und andere grundlegende Systeme, über die wir selten nachdenken, bis sie in Gefahr sind.
Als Sicherheitsexperten sind wir täglich damit beschäftigt, einzelne Schwachstellen in den von uns geschützten Systemen zu identifizieren. Doch irgendwie haben wir es zugelassen, dass gerade die Infrastruktur, die unseren Beruf ermöglicht, schwerwiegende Abhängigkeiten und Schwachstellen in der Verwaltung entwickelt.
Der 11-monatige Countdown tickt - nicht nur für CVE, sondern als Warnung, dass wir die fragilen Grundlagen unseres digitalen Ökosystems überdenken müssen. Wir müssen diese Gnadenfrist nutzen, um robustere Governance-Modelle für alle kritischen Cybersicherheitsinfrastrukturen zu entwickeln, die Kontrolle zu verteilen und einzelne Schwachstellen zu beseitigen, bevor wir mit einer weiteren existenziellen Krise konfrontiert werden - möglicherweise mit weit weniger Vorwarnung beim nächsten Mal.
Die Wahl ist klar: Entweder wir ändern die Art und Weise, wie wir diese grundlegenden Systeme regeln und verwalten, jetzt, oder wir taumeln weiter von Krise zu Krise und sind nur eine Vertragskündigung vom digitalen Chaos entfernt.
