CVE

In jedem Computerprogramm stecken Fehler. Manche dieser Fehler sind harmlos, andere erlauben es Angreifern, fremde Geräte zu übernehmen oder Daten zu stehlen. Solche gefährlichen Fehler nennt man Sicherheitslücken. Damit weltweit alle über dieselbe Lücke reden können, bekommt jede eine eigene Nummer. Dieses Nummernsystem heißt CVE, ausgeschrieben Common Vulnerabilities and Exposures, also etwa « gemeinsame Schwachstellen und Angriffsflächen ». Eine solche Nummer sieht so aus: CVE-2024-3094. Die erste Zahl ist das Jahr, die zweite eine laufende Nummer.

Warum eine Nummer mehr wert ist als ein Name

Ohne einheitliche Nummern herrscht Chaos. Ein Hersteller nennt dieselbe Lücke « Fehler im Login-Modul », eine Sicherheitsfirma nennt sie « Bug 4711 », eine Zeitung schreibt vom « Passwort-Leck ». Niemand weiß, ob das drei Probleme sind oder eines. Mit einer CVE-Nummer ist die Sache eindeutig geklärt.

Das ist nicht nur bequem, sondern praktisch notwendig. Große Firmen betreiben tausende Server mit hunderten Programmen. Ihre Prüfwerkzeuge scannen automatisch, welche Software installiert ist, und gleichen sie mit Listen bekannter CVE-Nummern ab. Passt eine Nummer zu einer installierten Version, meldet das Werkzeug Handlungsbedarf. Ohne gemeinsame Kennungen könnte kein Programm diesen Abgleich automatisch machen.

Auch für die Öffentlichkeit ist das System wichtig. Behörden wie das deutsche Bundesamt für Sicherheit in der Informationstechnik warnen unter Angabe der CVE-Nummer. Jeder kann dann selbst nachschlagen, welche Programme betroffen sind. Pro Jahr kommen inzwischen weit über 25.000 neue Einträge hinzu. Ohne Ordnungssystem wäre diese Menge nicht zu bewältigen.

Vom Fund bis zum Eintrag in der Liste

Am Anfang steht jemand, der die Lücke entdeckt: ein Forscher, ein Mitarbeiter der Herstellerfirma oder ein aufmerksamer Nutzer. Die Entdeckung geht an eine sogenannte CVE Numbering Authority, kurz CNA. Das sind offiziell zugelassene Stellen, die Nummern vergeben dürfen. Dazu gehören große Softwarefirmen wie Microsoft oder Google, aber auch staatliche Einrichtungen. Die Vergabe der Nummern koordiniert die US-Organisation MITRE.

Die Stelle prüft die Meldung und reserviert eine Nummer. Veröffentlicht wird der Eintrag meist erst später. Üblich ist, dem Hersteller erst Zeit für eine Reparatur zu geben. Diese Reparatur heißt Patch, also ein Update, das den Fehler schließt. Erst wenn der Patch bereitsteht, gehen die Details an die Öffentlichkeit.

Ein häufiger Irrtum: Die CVE-Nummer sagt nichts über die Gefährlichkeit aus. Sie ist reine Buchhaltung, vergleichbar mit einer Aktenzeichen-Nummer bei Gericht. Wie schlimm eine Lücke ist, bewertet ein separates Punktesystem namens CVSS. Es vergibt Werte von 0 bis 10. Ab etwa 9 gilt eine Lücke als kritisch und sollte sofort behoben werden.

CVE-Nummern in Schlagzeilen und im Arbeitsalltag

Immer wenn eine große Sicherheitslücke Nachrichten macht, taucht die Nummer im Text auf. Bekanntestes Beispiel ist CVE-2021-44228, besser bekannt als Log4Shell. Der Fehler steckte in einem winzigen Baustein, den unzählige Programme im Hintergrund nutzen. Weltweit arbeiteten IT-Abteilungen über Weihnachten, um die Lücke zu schließen.

Auch ohne IT-Beruf begegnet man dem System. Die Update-Hinweise von Windows, Android oder dem Browser listen oft die geschlossenen CVE-Nummern auf. Das ist der Grund, warum Updates lästig, aber sinnvoll sind: Sie schließen genau diese dokumentierten Lücken.

Für KI-Systeme wird das Thema zunehmend relevant. Auch Bibliotheken für maschinelles Lernen bekommen CVE-Einträge, etwa wenn ein manipuliertes Modell beim Laden fremden Programmcode ausführen kann. Gleichzeitig helfen KI-Werkzeuge dabei, Programmcode automatisch nach möglichen Lücken zu durchsuchen. Die Zahl der gemeldeten Einträge dürfte dadurch weiter steigen.