Schwachstellendatenbank

In jedem Programm stecken Fehler. Manche davon sind harmlos, andere erlauben Fremden, ein Gerät zu übernehmen oder Daten auszulesen. Solche gefährlichen Fehler nennt man Sicherheitslücken oder Schwachstellen. Eine Schwachstellendatenbank ist ein öffentliches Verzeichnis, in dem solche Lücken gesammelt und beschrieben werden. Jeder Eintrag bekommt eine eindeutige Nummer, damit alle Beteiligten über dieselbe Lücke sprechen. Dazu kommen eine kurze Beschreibung, die betroffenen Programmversionen und eine Einschätzung der Gefahr.

Warum eine gemeinsame Nummer für jede Lücke zählt

Ohne einheitliche Bezeichnungen wäre Sicherheitsarbeit ein Chaos. Ein Hersteller würde von einem « Fehler im Netzwerkmodul » sprechen, ein Forscher von einem « Speicherproblem », und beide meinten dasselbe. Die bekannteste Nummerierung heißt CVE, was für « Common Vulnerabilities and Exposures » steht. Ein Eintrag sieht dann etwa so aus: CVE-2021-44228. Diese Kennung taucht anschließend in Warnmeldungen, Update-Hinweisen und Nachrichtenartikeln auf.

Der praktische Nutzen liegt in der Geschwindigkeit. Eine große Firma betreibt oft tausende Server mit hunderten Programmen. Sobald eine neue Lücke veröffentlicht wird, kann eine Software automatisch abgleichen, welche eigenen Systeme betroffen sind. Ohne Datenbank müsste ein Mensch das per Hand prüfen, was Wochen dauern würde. Angreifer brauchen nach einer Veröffentlichung dagegen oft nur Stunden.

Die genannte Lücke CVE-2021-44228 ist ein gutes Beispiel. Sie steckte in Log4j, einem winzigen Baustein zum Protokollieren von Ereignissen, der in unzähligen Programmen mitläuft. Weltweit suchten Unternehmen tagelang danach, wo dieser Baustein bei ihnen überhaupt verbaut war. Die Datenbank lieferte dabei den gemeinsamen Bezugspunkt für Hersteller, Behörden und Medien.

Vom Fund bis zum Eintrag

Am Anfang steht meist ein Fund. Sicherheitsforscher, Angestellte oder freie Tester entdecken eine Lücke in einem Produkt. Sie melden sie normalerweise zuerst dem Hersteller und nicht der Öffentlichkeit. Der Hersteller bekommt dann Zeit, ein Update zu programmieren. Erst danach wird die Lücke veröffentlicht. Dieses Vorgehen nennt man verantwortungsvolle Offenlegung.

Für die Vergabe der Nummern gibt es benannte Stellen, oft die Hersteller selbst oder Sicherheitsorganisationen. Sie prüfen die Meldung und tragen sie ein. Große staatliche Datenbanken wie die amerikanische National Vulnerability Database ergänzen die Einträge anschließend um weitere Angaben. Dazu gehört auch die Gefahrenbewertung nach einem Punktesystem namens CVSS.

Dieses System vergibt Werte von 0 bis 10. Bewertet werden Fragen wie: Muss der Angreifer im selben Netzwerk sein oder reicht das offene Internet? Braucht er ein Passwort? Was kann er anrichten? Ein Wert über 9 gilt als kritisch und bedeutet in der Praxis: sofort aktualisieren. Wichtig ist eine Abgrenzung. Ein hoher Wert heißt nicht automatisch, dass die Lücke bereits ausgenutzt wird. Dafür führen Behörden getrennte Listen tatsächlich beobachteter Angriffe.

Wo die Einträge im Alltag auftauchen

Am häufigsten begegnet man ihnen unbemerkt. Wenn das Handy ein Sicherheitsupdate meldet, steckt dahinter fast immer eine Liste geschlossener Lücken mit CVE-Nummern. Auch Browser und Betriebssysteme veröffentlichen zu jedem Update solche Übersichten. In Nachrichten über Cyberangriffe wird die betroffene Lücke ebenfalls oft mit ihrer Nummer genannt.

In der Softwareentwicklung sind Schwachstellendatenbanken fest eingebaut. Moderne Programme bestehen zum großen Teil aus fremden Bausteinen, sogenannten Bibliotheken. Werkzeuge gleichen diese Liste automatisch mit den Datenbanken ab und warnen, sobald ein Baustein als unsicher gemeldet wird. Auch KI-Systeme nutzen solche Daten inzwischen, um Code auf bekannte Fehlermuster zu prüfen.

Ein verbreiteter Irrtum ist, eine Schwachstellendatenbank sei eine Anleitung für Angreifer. Tatsächlich enthalten die Einträge selten fertigen Angriffscode. Der eigentliche Nutzen liegt auf der Verteidigerseite, weil Angreifer die Lücken ohnehin untereinander austauschen. Für Anwender bleibt die wichtigste Konsequenz einfach: Updates zügig installieren.