Kurz erklärt
CVE (Common Vulnerabilities and Exposures) ist ein weltweit genutztes Verzeichnis öffentlich bekannter Sicherheitslücken in Software und Hardware. Jede Lücke erhält eine eindeutige Kennung wie CVE-2024-12345. So können Hersteller, Sicherheitsbehörden und IT-Abteilungen eindeutig über dieselbe Schwachstelle sprechen und prüfen, ob ihre eigenen Systeme betroffen sind.
Was ist CVE?
Wird eine Sicherheitslücke entdeckt, beantragt der Hersteller oder ein Forscher eine CVE-Nummer. Das Verzeichnis wird von der US-Organisation MITRE betrieben, Nummern vergeben auch viele große Hersteller selbst. Die Kennung besteht aus dem Jahr und einer laufenden Zahl. Zu jeder CVE gibt es eine kurze Beschreibung der Lücke, der betroffenen Produkte und Versionen. Hersteller verweisen in ihren Sicherheitsupdates auf diese Nummern.
Eng mit CVE verbunden ist CVSS, das Common Vulnerability Scoring System. Es bewertet die Schwere einer Lücke auf einer Skala von 0 bis 10. Werte ab 7,0 gelten als hoch, ab 9,0 als kritisch. Der Wert sagt aber nichts darüber, ob eine Lücke bereits aktiv ausgenutzt wird oder ob das betroffene System bei Ihnen aus dem Internet erreichbar ist. Ist eine Lücke noch ohne Update, spricht man von einer Zero-Day-Lücke.
Für ein mittelständisches Unternehmen ist CVE vor allem ein Werkzeug zur Priorisierung. Niemand kann jede Meldung sofort bearbeiten. Sinnvoll ist eine aktuelle Liste der eingesetzten Systeme und Programme, damit eine neue CVE schnell zugeordnet werden kann. Kritische Lücken in Geräten, die aus dem Internet erreichbar sind, etwa Firewalls oder VPN-Zugänge, gehören an den Anfang der Liste. Warnmeldungen des BSI helfen bei der Einordnung.
Typisches Szenario
Ein Hersteller meldet eine kritische CVE in der Firmware seiner Firewalls. Ein Steuerbüro mit 20 Arbeitsplätzen erfährt über seinen IT-Dienstleister davon, der anhand der Geräteliste sofort sieht, dass das eigene Modell betroffen ist. Das Update wird noch am selben Abend im vereinbarten Wartungsfenster eingespielt.
Beispielhafte Situation zur Veranschaulichung, kein Kundenprojekt.
Häufige Fragen zu CVE
Was bedeutet ein CVSS-Wert von 9,8?
Ein CVSS-Wert von 9,8 liegt im Bereich kritisch, der bei 9,0 beginnt. Solche Lücken lassen sich meist aus der Ferne und ohne Anmeldung ausnutzen. Für Sie heißt das: Ist ein betroffenes System bei Ihnen im Einsatz, besonders mit Zugang aus dem Internet, sollte das Update mit hoher Priorität eingespielt werden.
Wo finde ich Informationen zu einer CVE?
Die offizielle Beschreibung steht im CVE-Verzeichnis unter cve.org. Ausführlichere Bewertungen mit CVSS-Wert bietet die US-Datenbank NVD. Für deutsche Unternehmen sind die Warnmeldungen des BSI eine gute Quelle. Am wichtigsten sind die Sicherheitshinweise des jeweiligen Herstellers, denn dort stehen die betroffenen Versionen und das passende Update.
Stand: Oktober 2026. Allgemeine Information, keine Rechtsberatung.