Die Struktur einer CVE: Wie Commvault seine Kunden schützt

Die wichtigsten Erkenntnisse

• Ein CVE ist eine weltweit eindeutige Kennung für eine öffentlich bekannt gegebene Software-Sicherheitslücke, die es Anbietern, Forschern und Sicherheitsexperten ermöglicht, sich einheitlich auf dieselbe Sicherheitslücke zu beziehen.
• Der Umgang eines Unternehmens mit der Offenlegung von Sicherheitslücken – einschließlich koordinierter Fehlerbehebungen, der Einbindung von Forschern und einer genauen Software-Bestandsaufnahme – ist ein aussagekräftiger Indikator für den allgemeinen Reifegrad der Sicherheitsmaßnahmen.
• Commvault schützt seine Kunden mit einem CVE-Programm, das sich durch Transparenz, Regelmäßigkeit und Klarheit auszeichnet. Die Offenlegung von CVEs sagt viel über die Reife eines Sicherheits- und Entwicklungsprogramms aus.

Warum das wichtig ist

Viele Sicherheitsvorfälle, die bis in die Führungsetage gelangen, lassen sich auf Schwachstellen in der Software zurückführen. Der Mechanismus, den die gesamte Branche zur Benennung und Beschreibung dieser Schwachstellen nutzt, ist das CVE-System (Common Vulnerabilities and Exposures). Wie ein Anbieter oder Ihr eigenes Unternehmen mit CVEs umgeht, ist eines der deutlichsten Anzeichen für die Reife im Bereich Sicherheit.

Ein Unternehmen, das Sicherheitslücken offenlegt und Forscher fair würdigt, ist in der Regel ein Unternehmen, das die zugrunde liegende Technik ernst nimmt. In diesem Blogbeitrag wird erläutert, wie ein CVE-Eintrag erstellt wird, wer das System betreibt und was eine vorbildliche Offenlegung von einer mangelhaften unterscheidet.

Über die CVE hinaus: Warum die Philosophie der Offenlegung wichtig ist

Die Veröffentlichung einer CVE ist das Mindeste, was man tun muss. Die entscheidenden Faktoren sind: Transparenz hinsichtlich der Sicherheitslücke und des Patches, regelmäßige Scans und die Installation von Patches sowie eine klare Kommunikation. Commvault betrachtet die Offenlegung als eine technische und sicherheitsrelevante Disziplin und nicht als reine Compliance-Maßnahme: Wir legen einen regelmäßigen Rhythmus für Code-Reviews und Fehlerbehebungen fest, kommunizieren die Korrektur in verständlicher Sprache und schützen unsere Kunden. Diese Konsequenz sagt mehr über die Sicherheitsreife aus als jede einzelne Bewertung im Rahmen der CVE-Offenlegung.

Was ein CVE eigentlich ist

Ein CVE ist weder ein Patch noch eine Punktzahl noch ein Stück Malware. Es handelt sich um einen Eintrag in einem Verzeichnis, der einer bestimmten, öffentlich bekannten Sicherheitslücke einen dauerhaften, eindeutigen Namen zuweist, damit jeder darauf Bezug nehmen kann. Die Kennung selbst folgt einem einfachen, einheitlichen Format: die Buchstaben „CVE“, das Jahr, in dem die Kennung vergeben wurde, und eine fortlaufende Nummer, zum Beispiel CVE-2021-44228.

Das Programm hat enorme Ausmaße angenommen und wächst weiter: Im Jahr 2025 wurden 48.000 CVEs veröffentlicht, was etwa 132 pro Tag entspricht – ein Anstieg von mehr als 260 % seit 2020.

Die Struktur eines einzelnen Datensatzes

CVE-Veröffentlichungen müssen bestimmte einheitliche Elemente enthalten. Das Lesen einer solchen Veröffentlichung ist unkompliziert, sobald man weiß, wozu die einzelnen Teile dienen:

• Identifikator, die eindeutige CVE-YYYY-NNNNN
• Beschreibung, eine kurze Erläuterung der Sicherheitslücke: Was sie ist und wie ein Angreifer sie ausnutzen könnte.
• Betroffene Produkte und Versionen: Welche Software, Hardware oder Firmware (und welche Versionen) betroffen sind und welche Versionen den Fix enthalten.
• Schweregrad, die zugrunde liegende Schweregradkategorie.
• Quellenangaben: Links zum Herstellerhinweis, zum Patch und zu technischen Beschreibungen.

Die Nebendarsteller: CVSS, CWE, EPSS und KEV

Vier begleitende Systeme machen aus einer CVE ein Thema, dem ein Unternehmen Priorität einräumen kann. Da sie leicht zu verwechseln sind, lohnt es sich, die Unterscheidung im Auge zu behalten:

• CVSS (Common Vulnerability Scoring System) beantwortet die Frage „Wie schwerwiegend ist die Schwachstelle?“ CVSS ist die Schweregradbewertung (1–10, wobei 10 den höchsten Schweregrad darstellt) der Schwachstelle und kein Maß für Ihr konkretes Risiko.
• Das EPSS (Exploit Prediction Scoring System) beantwortet die Frage: „Wie wahrscheinlich ist es, dass diese Schwachstelle in Kürze ausgenutzt wird?“ Das EPSS ermittelt einen Wahrscheinlichkeitswert zwischen null und 100 Prozent, der die Wahrscheinlichkeit abschätzt, mit der eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird.
• CWE (Common Weakness Enumeration) beantwortet die Frage: „Welche Art von Fehler hat dazu geführt?“ Die CWE klassifiziert die zugrunde liegende Schwachstelle im Code.
• KEV (Known Exploited Vulnerabilities) beantwortet die Frage: „Wird diese Schwachstelle derzeit gegen Nutzer ausgenutzt?“ Der KEV-Katalog ist eine kuratierte Liste von CVEs, deren Ausnutzung in der Praxis bestätigt wurde.

Ein hoher CVSS-Wert gibt Aufschluss darüber, wie schwerwiegend eine Schwachstelle sein könnte, ein hoher EPSS-Wert zeigt an, wie schnell sie voraussichtlich ausgenutzt wird, und eine Aufnahme in den KEV-Katalog bestätigt, dass bereits Ausnutzungsversuche stattfinden. Die besten Programme zur Schwachstellenbekämpfung berücksichtigen alle drei Faktoren.

FAQs

F: Was ist ein CVE und warum ist er wichtig?
A:
Ein „Common Vulnerability and Exposure“ (CVE) ist eine standardisierte Kennung, die einer öffentlich bekannt gewordenen Software-Sicherheitslücke zugewiesen wird. Sie ermöglicht es allen – von Anbietern und Forschern bis hin zu Aufsichtsbehörden und Kunden –, sich eindeutig auf dieselbe Sicherheitslücke zu beziehen.

F: Welche Informationen sollte ein vollständig ausgefüllter CVE-Eintrag enthalten? A:
Ein vollständiger CVE-Eintrag erfordert eine eindeutige Kennung, eine Beschreibung der Sicherheitslücke, betroffene Produkte und Versionen, die Schweregradklasse sowie Verweise auf Herstellerhinweise oder Patches. Diese Elemente ermöglichen es Unternehmen, ihr Risiko einzuschätzen und effizient zu reagieren.

F: Inwiefern unterscheiden sich CVSS, CWE, EPSS und KEV von einer CVE?
A:
Eine CVE identifiziert eine bestimmte Sicherheitslücke, während CVSS deren Schweregrad misst, EPSS die Wahrscheinlichkeit einer kurzfristigen Ausnutzung einschätzt, CWE die zugrunde liegende Schwachstelle im Code klassifiziert und KEV Sicherheitslücken identifiziert, die in der Praxis aktiv ausgenutzt werden. Zusammen liefern diese Frameworks den notwendigen Kontext, um Prioritäten bei der Behebung zu setzen.

F: Worauf legt Commvault bei seinen eigenen Offenlegungspraktiken Wert?
A:
Commvault misst seine eigenen Offenlegungen an denselben Maßstäben, die es auch von anderen erwartet: Transparenz, Regelmäßigkeit und Klarheit. Auf diese Weise schützt Commvault seine Kunden.

F: Worauf sollten Führungskräfte achten, wenn sie die Verfahren von Anbietern zum Schwachstellenmanagement bewerten?
A:
Führungskräfte sollten auf koordinierte Zeitpläne für die Offenlegung, umfassende und genaue CVE-Einträge, klare Anleitungen zur Behebung, robuste Berichtsprogramme sowie die Fähigkeit achten, schnell festzustellen, ob Produkte von neu bekannt gewordenen Schwachstellen betroffen sind. Diese Merkmale spiegeln eine starke Sicherheitskultur wider und verbessern die Widerstandsfähigkeit des Unternehmens. Werner Nel ist Principal Product Experience Manager bei Commvault.