Seit einiger Zeit wachsen die Zahlen gefundener Schwachstellen rasant an. Waren es 2019 noch rund 17.300, lag die Zahl 2024 schon bei knapp 40.000. Diese Zahl wird für das Jahr 2026 bereits weit übertroffen: Mehr als 89.000 Schwachstellen wurden bis zum 31. Oktober 2026 entdeckt und benannt und die Zahl könnte bis Jahresende noch auf bis zu 129.000 steigen. CNAs melden in 2026 nach aktuellem Stand durchschnittlich 290 neue CVEs pro Tag. Was aber bedeuten all die Abkürzungen wie CVE, CVSS und CNA? Was ist EPSS? Und wie können Cybersecurity-Verantwortliche und IT-Admins der Flut an Schwachstellen wieder Herr werden? Zeit, einen Blick auf das CVE-Programm zu werfen, wichtige Begriffe zu verstehen und zu klären, was getan werden muss.
Was ist eine CVE und was ist das CVE-Programm?
CVE steht für „Common Vulnerabilities and Exposures“ und meint damit eine IT-Systeme betreffende Schwachstelle. Innerhalb des CVE-Programms werden eindeutige Kennungen für öffentlich bekannte Schwachstellen nach dem Muster CVE-Jahr-Nummer (bspw. CVE-2026-31431) vergeben. Hersteller, Sicherheitsdienstleister und Datenbanken können sich damit auf dieselbe Schwachstelle beziehen. Dies ist wichtig, weil so Informationen zur Schwachstelle und deren Behebung gefunden werden können. Ins Leben gerufen hat es die gemeinnützige MITRE Corporation, die das Programm seit 1999 mit Mitteln der US-Regierung betreibt. Geldgeber ist heute die US-Behörde CISA (Cybersecurity and Infrastructure Security Agency). Neben dem CVE-Programm und der Nutzung von Anreicherungsmetriken gibt es noch kommerzielle Scoring-Systeme. Sich bei Schwachstellen und deren Behebung an CVEs zu orientieren, ist Industrie-Standard.
Was bedeuten CVSS und EPSS?
Damit Schwachstellen nicht nur benannt, sondern auch praktisch besser eingeordnet werden können, gibt es Anreicherungsmetriken wie CVSS (Common Vulnerability Scoring System) und EPSS (Exploit Prediction Scoring System). Der CVSS-Score gibt an, wie kritisch eine CVE ist, während der EPSS-Wert die wahrscheinliche Ausnutzung der Schwachstelle beziffert. Es gibt mehrere Hunderttausende bekannte CVEs, die große Mehrheit der CVEs ist angereichert mit CVSS und weiteren Metriken. Man kann also herunterbrechen: CVSS gibt die theoretische Schwere einer CVE an. EPSS deutet darauf hin, wie wahrscheinlich eine CVE innerhalb der nächsten dreißig Tage ausgenutzt wird.
Die Stakeholder im CVE-Programm: Was sind Roots, CNAs und ADPs und wie stehen sie zueinander?
Um besser zu verstehen, wie das CVE-Programm organisiert ist, haben wir diese interaktive Grafik entworfen. Mit ihr können Sie untersuchen, was CNA, ADP und weitere Akronyme bedeuten und in welchem Zusammenhang sie zueinander stehen.
Begriffsnetz rund um die CVE
Organisationen übernehmen Rollen im CVE-Programm und pflegen Standards. Die Standards sind nach den Stufen geordnet, die eine Schwachstelle durchläuft. Klicken Sie auf einen Begriff, um seine Verbindungen und eine Kurzerklärung zu sehen.
Tipp: Die Grafik lässt sich seitlich verschieben.
Wählen Sie einen Begriff in der Grafik oder einen Filter oberhalb.
Der Flut der CVEs und der Alert Fatigue trotzen
Die National Vulnerability Database (NVD), die das National Institute of Standards and Technology (NIST) betreibt, kommt mit der Anreicherung neuer CVEs um CVSS-Werte und Produktzuordnungen kaum noch hinterher. Seit April 2026 reichert NIST nur noch priorisierte CVEs an, etwa solche aus der US-Bundesverwaltung. Für Cybersecurity-Verantwortliche mildert Enginsights angereicherte CVE-Datenbank die Folgen dieser Lücke spürbar ab.
Was Enginsights angereicherte CVE-Datenbank leistet
Enginsight nutzt neben der NVD seit Langem herstellerspezifische CVE-Datenbanken, etwa von Microsoft und verschiedenen Linux-Distributionen. Seit Februar 2026 werden die NIST-Daten zusätzlich durch CNA-Quellen und ADP-Enrichment angereichert. Gerade die Distributions-Tracker liefern konkrete Fix-Versionen und funktionieren unabhängig vom NVD-Rückstand. So schließt sich ein Teil der Lücke, die der NVD-Rückstand reißt.
Das können Cybersecurity-Verantwortliche und IT-Admins konkret tun
Um der CVE-Flut Herr zu werden, muss priorisiert werden. Dies ist mit Metriken wie dem zum CVSS-Score gehörenden Environmental Score und dem EPSS möglich. Wie die Scores aufgebaut sind und wie sie konkret in der Enginsight-Plattform eingefügt werden können, wird in unserem Artikel zum Thema erklärt. Wie sie praktisch im Alltag von IT-Verantwortlichen für die eigene IT-Landschaft genutzt werden können, erklärt unser Fallbeispiel.
Sind Sie MSP/MSSP/IT-Systemhaus und an spannenden Themen rund ums Schwachstellenmanagement und Cybersecurity im Allgemeinen interessiert und möchten mit der Security Operations Platform Enginsight die IT-Landschaft Ihrer Kunden sicherer machen?
