Sicherheits-GAU Frage der Zeit:
USA drehen CVE-Programm ab (Update)

Ein zentrales System zur Katalogisierung von Software­schwach­stel­len verliert seine Finanzierung. Das seit 1999 existierende CVE-Pro­gramm könnte schon bald Geschichte sein. Die Folgen für die glo­ba­le IT-Sicherheitslandschaft werden wohl verheerend sein.

System zur Erfassung von Sicherheitslücken vor Aus

Das Common Vulnerabilities and Exposures (CVE)-Programm, ein fundamentaler Bestandteil der globalen Cybersicherheitsinfrastruktur, steht vor einer ungewissen Zukunft. Die Finanzierung des Programms durch das US-Heimatschutzministerium läuft am 16. April 2025 aus, ohne dass bisher eine Vertragsverlängerung mit der zuständigen Organisation MITRE bestätigt wurde. Ohne diese Finanzierung könnte die Erfassung neuer Sicherheitslücken zum Erliegen kommen.

Das seit 1999 bestehende CVE-System dient als standardisierte Methode zur Identifikation und Katalogisierung von Sicherheitslücken in Software und Hardware. Alle großen Unternehmen wie Microsoft, Google, Apple, Intel und AMD nutzen dieses System, um Schwachstellen eindeutig zu kennzeichnen und deren Behebung zu koordinieren. Jede Sicherheitslücke erhält eine einzigartige Kennung nach dem Muster "CVE-XXXX-XXXXX", was die Kommunikation zwischen Sicherheitsexperten weltweit erheblich vereinfacht.

Weitreichende Konsequenzen für die IT-Sicherheit

Wie The Verge berichtet, hat MITRE bestätigt, dass der Vertrag zur Entwicklung, Betrieb und Modernisierung des CVE-Programms am heutigen 16. April ausläuft. Yosry Barsoum, Vizepräsident von MITRE, erklärte, dass die US-Regierung zwar "erhebliche Anstrengungen unternimmt, um MITREs Rolle im Programm zu unterstützen", aber eine Lösung bisher nicht in Sicht sei.

Die Konsequenzen eines Ausfalls könnten dramatisch sein. Der Sicherheitsexperte Lukasz Olejnik warnte auf Twitter/X, dass ein Mangel an Unterstützung für das CVE-Programm die Cybersicherheitssysteme weltweit "lähmen" könnte. "Die Folge wird ein Zusammenbruch der Koordination zwischen Anbietern, Analysten und Verteidigungssystemen sein - niemand wird sicher sein, dass sie sich auf dieselbe Sicherheitslücke beziehen", schrieb Olejnik. Seine Befürchtung: "Totales Chaos und eine plötzliche Schwächung der Cybersicherheit auf breiter Front."

Das CVE-Programm hat in seiner 25-jährigen Existenz eine zentrale Rolle in der Sicherheitsbranche eingenommen. Alleine im vergangenen Jahr wurden mehr als 40.000 neue CVE-Einträge veröffentlicht. Vor der Einführung des CVE-Systems bezeichnete jedes Unternehmen Sicherheitslücken mit eigener Terminologie, was zu erheblicher Verwirrung führte. Die historischen CVE-Aufzeichnungen werden zwar weiterhin über GitHub verfügbar sein, aber ohne fortlaufende Finanzierung wird der operative Teil des Programms - einschließlich der Zuweisung neuer CVEs - effektiv zum Erliegen kommen.

Einige Unternehmen versuchen bereits, Vorkehrungen zu treffen. VulnCheck, ein privates Unternehmen für Schwachstelleninformationen, hat laut The Register vorsorglich 1000 CVEs für 2025 reserviert. Dies würde jedoch nur für ein bis zwei Monate ausreichen, da MITRE monatlich zwischen 300 und 600 CVEs ausstellt.

Was meint ihr zu dieser kritischen Situation? Sollte die Sicherheitsbranche selbst die Finanzierung übernehmen oder ist dies eine klare Aufgabe für staatliche Stellen? Teilt eure Gedanken in den Kommentaren!


Siehe auch: