CVE-Programm: US-Behörde sichert Finanzierung für Schwachstellen-Katalog

Die US-Cybersicherheitsbehörde CISA hat die langfristige Finanzierung des globalen Schwachstellenkatalogs CVE gesichert, beendet damit die akute Gefahr eines Stillstands, doch die Intransparenz des Vertrags mit MITRE stößt auf Kritik.

Das globale System zur Erfassung von Software-Sicherheitslücken hat eine dauerhafte Finanzierung erhalten. Nach monatelanger Unsicherheit hat die US-Cybersicherheitsbehörde CISA den Betrieb des CVE-Programms langfristig abgesichert. Doch der Deal mit dem Betreiber MITRE bleibt intransparent – und sorgt für Kritik.

Vom Notfallpflaster zur festen Budget-Linie

Der Common Vulnerabilities and Exposures (CVE)-Katalog ist seit über 20 Jahren das Rückgrat der Cybersicherheit. Er liefert die standardisierten Nummern für Software-Schwachstellen, auf denen weltweit Sicherheitstools und Warnsysteme aufbauen. Im April 2025 stand das System kurz vor dem Kollaps, als der Vertrag zwischen der US-Heimatschutzbehörde und der MITRE Corporation auslief. Nur eine Notverlängerung um elf Monate verhinderte den Stillstand.

Anzeige

Angesichts der komplexen Bedrohungslage durch Software-Schwachstellen stehen viele Unternehmen vor der Herausforderung, ihre IT-Infrastruktur effektiv zu schützen. Dieser Experten-Report enthüllt Strategien, wie sich mittelständische Betriebe ohne Budget-Explosion gegen Cyberkriminelle wappnen können. Effektive Sicherheits-Strategien im kostenlosen Report entdecken

Das grundlegende Problem war die bisherige Finanzierung als freiwilliger Haushaltsposten. Diese machte das Programm anfällig für politische Streitigkeiten und Budgetkürzungen. Medienberichten vom 9. März zufolge hat sich das nun geändert. Die neu verhandelte Vereinbarung stuft das CVE-Programm zu einer geschützten operativen Budget-Linie innerhalb des CISA-Haushalts hoch. Die Behördenführung bestätigte, dass das Programm nun unter ihrer Schirmherrschaft voll finanziert ist. Die unmittelbare Gefahr einer Unterbrechung ist damit gebannt – rechtzeitig vor dem Auslaufen der Notverlängerung im März 2026.

Intransparenz trotz öffentlicher Bedeutung

Die Erleichterung über die finanzielle Absicherung wird von Fragen zur Transparenz überschattet. Die Details des neuen Vertrags zwischen MITRE und CISA bleiben weitgehend unter Verschluss. Selbst Mitglieder des erweiterten 24-köpfigen CVE-Boards hätten Schwierigkeiten, Einblick in die vollständigen Vertragsdetails zu erhalten, berichten Fachmedien.

MITRE lehnte demnach Anfragen zur Vertragsvorlage mit Verweis auf rechtliche Schutzklauseln ab. Auch Anträge nach dem US-Informationsfreiheitsgesetz blieben unbeantwortet. Sicherheitsexperten kritisieren diese Intransparenz scharf. Da die CVE-Datenbank ein kritisches öffentliches Gut sei, müssten die Erfolgsmessung und der Modernisierungsprozess offen einsehbar sein. Die mangelnde Einsicht hat Forderungen nach einem offeneren Governance-Modell und klarerer Kommunikation über die Mittelverwendung ausgelöst.

Internationale Alternativen gewinnen an Bedeutung

Die beinahe-Krise von 2025 hat internationale Bemühungen beschleunigt, die Abhängigkeit von einer einzigen, US-regierungsgesteuerten Finanzierungsquelle zu verringern. Während der größten Unsicherheit gründeten Stakeholder die CVE Foundation. Sie sollte unabhängige, sektorübergreifende Finanzierungsmodelle prüfen.

Anzeige

Während sich die globale Sicherheits-Infrastruktur wandelt, verschärfen neue Gesetze und KI-Regulierungen die Anforderungen an die betriebliche IT-Sicherheit zusätzlich. Was Geschäftsführer und IT-Verantwortliche jetzt über Cyber Security wissen müssen, fasst dieser kostenlose Leitfaden kompakt zusammen. Kostenloses E-Book zu Cyber-Security-Trends sichern

Mit der nun gesicherten CISA-Finanzierung passt die Stiftung ihre Ziele an: Statt der Notfall-Rettung steht nun die Unterstützung breiterer Governance-Verbesserungen im Fokus. Parallel treiben internationale Organisationen eigene Initiativen voran. Die Europäische Agentur für Cybersicherheit (ENISA) hat einen regionalen Rahmen für die Schwachstellen-Identifikation gestartet. Die Botschaft ist klar: Die globale Cybersicherheits-Infrastruktur braucht widerstandsfähige, föderierte Systeme ohne einzelne Fehlerquellen.

Der Weg in die „Qualitäts-Ära“ beginnt

Die Finanzierungssicherung kommt zu einem kritischen Zeitpunkt. Die Zahl entdeckter Software-Schwachstellen bricht weiter Rekorde. Eine Prognose vom Februar 2026 sagt für dieses Jahr fast 60.000 neue CVEs voraus. Die Bewältigung dieses Ansturms erfordert massive Ressourcen.

Vor der Finanzierungsklärung hatte CISA eine Strategie für eine „Qualitäts-Ära“ skizziert. Kern ist die Verlagerung der Schwachstellen-Datenanreicherung von einem zentralen Engpass hin zu den dezentralen CVE Numbering Authorities. Initiativen wie Vulnrichment, gestartet Mitte 2024, sollen dies ermöglichen. Analysten betonen: Die gesicherte Finanzierung ist die Grundlage. Der eigentliche Test wird sein, ob die Mittel für die notwendige technische Modernisierung ausreichen. Die Probleme der US-amerikanischen National Vulnerability Database (NVD) zeigen die generellen finanziellen Herausforderungen: Schwerwiegende Rückstände aufgrund knapper Ressourcen behindern seit zwei Jahren ihre Arbeit.

Die Branche wird nun genau beobachten, wie MITRE und CISA ihre Modernisierungsaufträge unter dem neuen Vertrag umsetzen. Der Druck für mehr Transparenz bei Leistungsmetriken und Budgetverteilung wird bleiben. Bleibt die Intransparenz bestehen, könnten Alternativen wie die CVE Foundation oder europäische Datenbanken weiter an Bedeutung gewinnen. Doch mit dem überwundenen Finanzierungs-Abgrund bleibt das CVE-Programm vorerst der globale Standard. Die kommenden Monate werden zeigen, ob die Budget-Reform zu schnellerer Bearbeitung, besserer Datenqualität und einem widerstandsfähigeren Modell für die nächste Generation der Cybersicherheit führt.