CVE (Common Vulnerabilities and Exposures) ist ein öffentliches Verzeichnis, das jeder bekannten Sicherheitslücke eine eindeutige Kennung zuweist. Eine solche CVE-Nummer sieht zum Beispiel so aus: CVE-2021-44228. Hersteller, Behörden und Sicherheitswerkzeuge weltweit sprechen dadurch über dieselbe Lücke, ohne sie zu verwechseln.
Eine CVE-Nummer, auch CVE-ID genannt, ist die eindeutige Kennung einer einzelnen Sicherheitslücke. Sie besteht aus drei Teilen:
CVE-2021-44228Die Jahreszahl sagt nicht, wann die Lücke entdeckt oder behoben wurde. Bis 2013 war die laufende Nummer auf vier Ziffern begrenzt, das reichte für 9.999 Einträge pro Jahr. Seit 2014 sind längere Nummern erlaubt.
Ein CVE-Eintrag enthält die Kennung, eine kurze Beschreibung der Lücke, die betroffenen Produkte und Verweise auf weiterführende Quellen. Er soll die Lücke eindeutig benennen, nicht vollständig dokumentieren.
Ein Beispiel: CVE-2021-44228 beschreibt eine Lücke in der Java-Bibliothek Apache Log4j2. Die Apache Software Foundation hat die Nummer am 26. November 2021 reserviert und den Eintrag am 10. Dezember 2021 veröffentlicht.
Ein Eintrag kann drei Zustände haben:
| Zustand | Bedeutung |
|---|---|
| Reserviert (Reserved) | Die Nummer ist vergeben, Details sind noch nicht öffentlich. |
| Veröffentlicht (Published) | Der Eintrag ist mit Beschreibung und Verweisen einsehbar. |
| Zurückgewiesen (Rejected) | Der Eintrag gilt nicht, etwa weil er doppelt oder irrtümlich vergeben wurde. |
CVE-Nummern vergeben autorisierte Stellen, die CVE Numbering Authorities (CNA). Das sind vor allem Software-Hersteller, aber auch Forschungseinrichtungen und nationale Sicherheitsteams. Jede CNA ist für einen festgelegten Bereich zuständig, meist für die eigenen Produkte.
Nach Angaben der US-Behörde CISA gibt es mehr als 460 CNAs (Stand: September 2025). Aus Deutschland gehören unter anderem Siemens, SAP und CERT@VDE dazu.
Das CVE-Programm besteht seit 1999. Die gemeinnützige US-Organisation MITRE betreibt es, die CISA finanziert es. Die Nutzung der CVE-Liste ist kostenlos.
Das CVE-Programm läuft ohne Unterbrechung, hängt aber an einem Vertrag zwischen der US-Regierung und MITRE. Im April 2025 stand dieser Vertrag kurz vor dem Auslaufen. Die CISA verlängerte ihn am 15. April 2025, bevor eine Lücke entstand.
Im September 2025 hat die CISA Pläne für die Weiterentwicklung vorgestellt: eine breitere Finanzierung, eine herstellerneutrale Aufsicht und eine bessere Qualität der Einträge (Stand: November 2026).
CVE benennt eine Sicherheitslücke, CVSS bewertet ihre Schwere, die NVD reichert die Einträge mit zusätzlichen Angaben an. Die drei Begriffe tauchen in Sicherheitsmeldungen oft gemeinsam auf:
| Begriff | Aufgabe | Beispiel |
|---|---|---|
| CVE | Eindeutige Kennung einer Lücke | CVE-2021-44228 |
| CVSS | Schweregrad auf einer Skala von 0,0 bis 10,0 | 9,3 (kritisch) |
| NVD | Datenbank der US-Behörde NIST, die CVE-Einträge um Bewertungen und weitere Angaben ergänzt | National Vulnerability Database |
Ein CVE-Eintrag enthält nicht zwingend einen Schweregrad. Den CVSS-Wert ergänzt die vergebende Stelle oder eine Datenbank wie die NVD.
Mit der CVE-Nummer prüfen Sie schnell, ob eine gemeldete Lücke Ihre eigene Software betrifft und ob ein Update sie bereits schließt. Hersteller nennen die Nummern in ihren Sicherheitshinweisen und Änderungsprotokollen.
Eine CVE-Nummer gibt es nur für bekannte Lücken. Vor einem Zero-Day-Exploit, also einem Angriff auf eine noch unbekannte Lücke, schützt die Liste nicht.
CVE gibt jeder bekannten Sicherheitslücke einen eindeutigen Namen. Die Kennung sagt nichts über die Schwere aus, das übernimmt CVSS. Wer die Nummern aus Sicherheitsmeldungen mit der eigenen Software abgleicht, erkennt schnell, wo ein Update nötig ist.
Die bereitgestellten Informationen dienen ausschließlich der allgemeinen Orientierung. Für Richtigkeit, Vollständigkeit und Aktualität wird keine Gewähr übernommen. Die Inhalte sind nicht rechtsverbindlich und nicht Bestandteil einer Leistungsbeschreibung.