Mobile-Menu

Änderungen an der NVD NIST reagiert auf Schwachstellen-Flut

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Aagon GmbH
FAST LTA GmbH
FTAPI Software GmbH

Um die Arbeitslast mit der enormen Zunahme von Sicherheitslücken zu bewältigen, analysiert das NIST nur noch die kritischsten Schwachstellen und ergänzt Details. Diese Kriterien müssen dafür erfüllt sein.

Die Flut an neuen Sicherheitslücken ist für das NIST und seine CVE-Datenbank nicht mehr zu stemmen, weswegen Abstriche gemacht werden müssen.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)
Die Flut an neuen Sicherheitslücken ist für das NIST und seine CVE-Datenbank nicht mehr zu stemmen, weswegen Abstriche gemacht werden müssen.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Um 263 Prozent hat die Zahl der CVE-Meldungen dem National Institute of Standards and Technology (NIST) zufolge zwischen 2020 und 2025 zugenommen. Die US-Behörde, die die National Vulnerability Database (NVD) betreibt, geht davon aus, dass sich dieser Trend in absehbarer Zeit nicht ändern wird. Allein die Zahl der CVE-Einreichungen in den ersten drei Monaten 2026 sei fast um ein Drittel höher als im gleichen Zeitraum 2025. Aus diesem Grund kündigte das NIST eine Reihe von Änderungen an seiner NVD an, um der Flut an Schwach­stellen gerecht zu werden.

Risikobasiertes NVD-Modell

Ein risikobasiertes Modell soll es dem NIST ermöglichen, das CVE-Volumen zu verwalten und gleichzeitig die NVD zu modernisieren. Bisher analysierte das NVD-Programm des NIST alle CVEs, um Details wie Schweregrade und Produktlisten angeben zu können, die Cyber­si­cher­heits­experten bei der Priorisierung und Behebung von Schwachstellen unterstützen. Nun versieht das NIST nur noch CVEs, die bestimmte Kriterien erfüllen, mit zusätzlichen Details. CVEs, die diese Kriterien nicht erfüllen, bleiben weiterhin in der NVD gelistet, werden aber nicht automatisch vom NIST angereichert.

Die Änderungen gelten seit dem 15. April 2026. Diese Schwachstellen werden vom NIST analysiert und erhalten in der NVD zusätzliche Details:

  • CVEs aus dem KEV-Katalog (Known Exploited Vulnerabilities) der CISA. Unser Ziel ist es, diese innerhalb eines Werktages nach Eingang anzureichern.
  • CVEs für Software, die in der US-Bundesregierung verwendet wird.

Alle anderen eingereichten Sicherheitslücken werden weiterhin in die NVD aufgenommen. Diejenigen, die die oben genannten Kriterien nicht erfüllen, werden jedoch als „Nicht geplant“ kategorisiert. Dadurch will sich das NIST auf Schwachstellen mit dem größten Potenzial für weitreichende Auswirkungen konzentrieren. Obwohl Sicherheitslücken, die diese Kriterien nicht erfüllen, ebenfalls erhebliche Auswirkungen auf betroffene Systeme haben können, würden sie im Allgemeinen nicht dasselbe systemische Risiko darstellen wie die in den prio­risierten Kategorien. Eine vollständige Definition kritischer Software und eine Be­schrei­bung des neuen Arbeitsablaufs, einschließlich der Reihenfolge der Verarbeitungsliste, gibt es auf der NVD-Website.

(ID:50819870)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte