USA streichen CVE-Sicherheitsprogramm von Apple und Co. die Mittel
Sicherheitslücken in Betriebssystemen sind eine ebenso ernste wie abstrakte Angelegenheit. Bereits die Beschreibung eines Fehlers erfordert oftmals hohe Sachkenntnis. Um beim Beheben von Programmierfehlern nicht dieselbe Arbeit doppelt zu verrichten, benötigt es eine zentrale Datenbank, welche Lücken benennt, bewertet und beobachtet. Die Datenbank „Common Vulnerabilities and Exposures“, kurz CVE, ist die bekannteste – sie existiert seit 25 Jahren. Viele Fehler, welche in den Sicherheitshinweisen von macOS- und iOS-Updates Erwähnung finden, tragen eine CVE-Nummer.
Für kurze Zeit sah es so aus, als würde CVE die Datenbank schließen oder zumindest den Betrieb unterbrechen. Der Grund: Das US-amerikanische Department of Homeland Security strich die Finanzierungsmittel.
Für den Betrieb von CVE und anderen Datenbanken war bisher eine gemeinnützige Organisation namens MITRE zuständig; diese erhielt Gelder vom US-Heimatschutzministerium. Die aktuelle DHS-Leitung entschloss kurzfristig, die Finanzierung einzustellen. Um ein plötzliches Ende abzuwenden, gründeten einige Mitglieder des MITRE-Leitungsrats eine separate Organisation. Die
CVE Foundation übernimmt den Betrieb der Datenbank und beabsichtigt, dafür Gelder unabhängig vom DHS zusammenzutragen.
CISA übernimmt für eine WeileKurz darauf (und höchstwahrscheinlich in Reaktion auf Presseberichte zum möglichen CVE-Ende) meldete sich die Cybersecurity and Infrastructure Security Agency (CISA) und garantierte die Finanzierung des CVE-Programms für elf Monate. Eine interessante Wendung, denn CISA ist eine Unterabteilung des Heimatschutzministeriums – somit zahlt, grob betrachtet, dieselbe Behörde für den Weiterbetrieb. Wie es im Jahr 2026 weitergeht, ist ungewiss; auf diesem Weg hat die Institution jedoch Zeit gewonnen, um eine neue Förderungsstruktur aufzubauen.
EU-AlternativeDie
CVE-Datenbank sammelt Sicherheitslücken nicht auf eigene Faust, sondern strukturiert Meldungen von 450 „CVE Numbering Authorities“ (CNA) aus 40 Ländern. Apple ist eine davon. Ein CVE-Eintrag beginnt mit dem Buchstabenkürzel, gefolgt von einer Jahreszahl und schließlich einer laufenden Nummer. So umfassen die
Sicherheitshinweise von macOS 15.4 rund 130 CVE-IDs. Die US-amerikanische Datenbank für Sicherheitslücken ist nicht die Einzige, welche bekannt gewordene Fehler sammelt, kategorisiert und veröffentlicht. In der EU entsteht derzeit ein Pendant namens European Union Vulnerabilities Database (
EUVD), welches eigenständig nach Schweregrad kategorisiert. CVE-IDs werden als alternative Identifikatoren aufgelistet.