Der Rückzug des NVD sollte einen resilienten Ansatz im Schwachstellenmanagement anstoßen

Der Rückzug des NVD sollte einen resilienten Ansatz im Schwachstellenmanagement anstoßen.

By Danny Bradbury • 25. Juni 2026 • 6 Minuten Lesezeit

Am 15. April 2026 hat das Nationale Institut für Standards und Technologie (NIST) offiziell … verlassen seine langjährige Mission, alle in seiner Datenbank veröffentlichten Informationen über Sicherheitslücken zu erweitern.

Das NIST betreibt die National Vulnerability Database (NVD), die Informationen über Common Vulnerabilities and Exposures (CVEs) enthält. Jede CVE stellt eine Software- oder Hardware-Schwachstelle dar.

CVEs enthalten allein nicht viele Informationen, weshalb das NIST (National Institute for Standards in Technology) ins Spiel kam. Es wies jeder CVEs einen CVSS-Wert (Common Vulnerability Scoring System) zu, der den Schweregrad angibt. Außerdem vergab es CPE-Kennungen (Common Platform Enumeration), ein Standardverfahren zur Verknüpfung von Schwachstellen mit bestimmten Technologieprodukten.

Das NIST hat seit dem Start des NVD im Jahr 1999 die CVEs sorgfältig erweitert, doch das hat sich nun geändert. Gemäß der überarbeiteten Richtlinie ist die vollständige Erweiterung auf CVEs in drei Prioritätskategorien beschränkt: den KEV-Katalog (Known Exploited Vulnerabilities) der CISA, Software, die von US-Bundesbehörden verwendet wird, und kritische Software gemäß Executive Order 14028. Alle anderen Sicherheitslücken sind als „niedrigste Priorität“ eingestuft.

Eine wachsende Flut von Verwundbarkeiten

Die Umstrukturierung des NIST ist ein Eingeständnis der Überforderung. Aufgrund des explosionsartigen Anstiegs der CVEs hat das Institut mit immer mehr Arbeit zu kämpfen. Die Meldungen an das NVD stiegen zwischen 2020 und 2025 um 263 Prozent, so das NIST. Im ersten Quartal 2026 lagen die Meldungen fast ein Drittel über denen des Vorjahreszeitraums. Im vergangenen Jahr wurden rund 42,000 Schwachstellen hinzugefügt (45 Prozent mehr als in jedem anderen Jahr).

Die Behörde konnte mit dem steigenden Arbeitsaufkommen nicht Schritt halten. Im vergangenen Jahr hat sich ihr Bearbeitungsrückstand mehr als verdoppelt. Im April kündigte sie daraufhin eine Art Insolvenzverfahren an, um dem entgegenzuwirken. Tausende von Datensätzen, die vor dem 1. März 2026 veröffentlicht wurden und sich im Bearbeitungsrückstand befanden, wurden in die Kategorie „Nicht terminiert“ verschoben. Ob sie in Zukunft bearbeitet werden, ist ungewiss.

Die NVD-Anreicherung hatte die Qualitätserwartungen ebenfalls nicht erfüllt. Ein Generalinspektor des Handelsministeriums Überprüfen stellte fest, dass die Schweregradbewertungen des NIST nur in 12 % der Fälle mit denen unabhängiger Gutachter übereinstimmten, während fast 80 % der eingereichten Unterlagen bereits Bewertungen der meldenden Partei enthielten.

Die wachsende Verwundbarkeitskluft

Dies ist eine bedeutende Neuerung für Teams im Bereich Schwachstellenmanagement. Ohne CPE-Daten können Schwachstellenscanner, die ausschließlich auf NVD-basierter Anreicherung beruhen, eine CVE keinem Produkt zuordnen. Das NIST räumte ein, dass die neuen Kriterien „möglicherweise nicht jede potenziell schwerwiegende CVE erfassen“.

All dies geschieht zu einer Zeit, in der die Ausnutzung von Sicherheitslücken immer folgenreicher wird. Sie hat gestohlene Zugangsdaten als häufigsten Angriffsvektor in mehr als 31,000 untersuchten Vorfällen überholt. nach Bericht von Verizon über die Untersuchung von Datenschutzverletzungen.

Es wird auch zunehmend automatisiert. CrowdStrike Jährlicher Bedrohungsbericht 2026 Die Autoren kamen zu dem Schluss, dass KI-gestützte Angreifer die Angriffe im Jahr 2025 im Vergleich zum Vorjahr um 89 % steigern würden, wobei die Eindringlinge generative KI in den Bereichen „Zielauswahl, Erstzugriff und Entwicklung von Malware und anderen Tools“ einsetzen würden.

Und die Geschwindigkeit der Meldung von Sicherheitslücken dürfte sich noch deutlich erhöhen. Man denke nur an Mythos, das KI-Modell von Anthropic, das bereits … Massenhaft aufgedeckte Schwachstellen und es werden wahrscheinlich weitere Konkurrenzmodelle folgen.

Doch die Organisationen verharren in Untätigkeit. Die Geschwindigkeit der Gegenmaßnahmen hinkt der Entwicklung automatisierter Angriffe hinterher: 77% Laut der Cloud Security Alliance benötigen viele Unternehmen immer noch mehr als eine Woche, um einen kritischen Patch einzuspielen. Daher überrascht es nicht, dass die Allianz auch festgestellt hat, dass schätzungsweise 38 bis 45 Prozent der kritischen Sicherheitslücken branchenweit jederzeit ungepatcht sind.

Von Ad-hoc-Management zu Resilienz gegenüber Schwachstellen

Um diesen Herausforderungen zu begegnen, müssen sich die Ansätze zum Schwachstellenmanagement anpassen. Unternehmen müssen das Schwachstellenmanagement als Teil einer umfassenderen Resilienzinitiative betrachten. Dazu gehört auch, die Ausnutzbarkeit aus einer ganzheitlicheren Perspektive zu analysieren.

Zu den Maßnahmen gehört es, der Transparenz der Vorgänge im gesamten Technologie-Stack Priorität einzuräumen, um nicht nur zu erkennen, was in Ihrer Infrastruktur ausnutzbar ist, sondern auch, wie groß das Ausmaß der Sicherheitslücken und die Auswirkungen auf die Organisation sind.

Das bedeutet auch, sich von einem CVSS-zentrierten Schwachstellenmanagement zu verabschieden. Das war nie eine gute Idee, da ein einzelner Wert das organisatorische Risiko einer Schwachstelle nicht angemessen beurteilen kann.

A Studie Eine Studie der japanischen Kagawa-Universität ergab, dass CVSS-basierte Ansätze mit einem Schweregrad-Schwellenwert von 7.0 lediglich Effizienzraten von 0.2 % bis 0.5 % erreichen. Das bedeutet, dass diese eng gefasste Methode zur Priorisierung von Sicherheitslücken nur einen Bruchteil der tatsächlich ausnutzbaren Schwachstellen abdeckt.

Die Studie ergab im Vergleich, dass integrierte Frameworks besser abschneiden. Das vom Forum of Incident Response and Security Teams (FIRST) entwickelte Exploit Prediction Scoring System (EPSS) ist ein Machine-Learning-Modell, das Schwachstellen einen Wert zuweist, der angibt, wie wahrscheinlich ihre Ausnutzung in der realen Welt innerhalb der nächsten 30 Tage ist.

Laut einer Studie von Kagawa reduziert die Kombination von CVSS, EPSS und Daten aus der KEV-Liste der CISA den Aufwand für die dringende Priorisierung um etwa 95 %, von rund 16,000 auf 850 Schwachstellen, während gleichzeitig eine Abdeckung von 85.6 % erhalten bleibt.

Das NIST hat seinen Abdeckungsbereich bereits über CVSS hinaus erweitert. Im Juni aktualisierte es die NVD um Daten zur Stakeholder-spezifischen Schwachstellenkategorisierung (SSVC) von CISA. SSVC ist ein Entscheidungsrahmen zur Priorisierung der Schwachstellenbehebung, der vom Software Engineering Institute (CERT/CC) der Carnegie Mellon University in Zusammenarbeit mit CISA entwickelt wurde. CISA stellt SSVC im Rahmen des Vulnrichment-Programms zur Verfügung, einem eigenen Projekt zur Anreicherung von CVE-Informationen. Das NVC-Modell hat sich somit von einem oberflächlicheren, breiteren Modell zu einem engeren, umfassenderen Modell weiterentwickelt, das die Ausnutzbarkeit ganzheitlicher betrachtet.

ISMS als Betriebshandbuch

Für Compliance-Manager stellt sich in der Praxis die Frage, welches Governance-Framework diesen Wandel auffangen kann, ohne die Teams zu zwingen, ihre Schwachstellenprogramme von Grund auf neu aufzubauen.

ISO / IEC 27001 und sein Anhang A-Kontrollen ist direkt auf diese Veränderung abgestimmt. Es behandelt das Schwachstellenmanagement nicht als Bewertungsmaßnahme, sondern als integrierte Kontrollmaßnahme innerhalb eines umfassenderen Informationssicherheitsmanagementsystems.

Kontrolle A.8.8 (Management technischer Schwachstellen) Organisationen sind verpflichtet, zeitnah Informationen über technische Schwachstellen zu beschaffen, deren Gefährdung zu bewerten und geeignete Maßnahmen zu ergreifen. Darüber hinaus werden Empfehlungen für zusätzliche Maßnahmen jenseits einfacher Scoring-Analysen gegeben, wie beispielsweise Penetrationstests.

Kontrolle A.5.7 (Bedrohungsanalyse) erfordert die Erfassung und Analyse von Bedrohungsdaten genau der Art, wie sie EPSS und KEV liefern. Siehe auch: A.5.30 (IKT-Bereitschaft für Geschäftskontinuität)Der Standard betrachtet das Schwachstellenmanagement als einen Input für die operative Resilienz und nicht als eigenständige Scannerausgabe.

Die Zertifizierung bietet Compliance-Managern einen nachvollziehbaren Prüfpfad, wenn Aufsichtsbehörden nachfragen, wie das Unternehmen CVEs ohne NVD-Anreicherung priorisiert hat. Das Managementsystem sollte in der Lage sein, Aspekte wie kommerzielle Anreicherungsfeeds, KEV-Überwachung und EPSS-Bewertung innerhalb bestehender Kontrollgrenzen nachzuweisen.

Wir dürfen die Bedeutung der jüngsten NIST-Entscheidung nicht unterschätzen, müssen sie aber auch im Kontext betrachten. Diese politische Umwälzung zwingt Organisationen auf einen Weg, den sie eigentlich schon längst hätten beschreiten sollen. Es ist an der Zeit, verschiedene Informationsquellen zu nutzen und die Ausnutzbarkeit von Schwachstellen ganzheitlicher zu betrachten, indem das Schwachstellenmanagement als integraler Bestandteil eines umfassenderen Resilienzkonzepts verankert wird.