EU baut eigene Datenbank für Cybersicherheit – weil die USA sie heute schockiert hat

Als es um den Finanzierungsstopp des CVE-Programms geht, reagiert die EU schnell. (Bildquelle: rawku5, Adobe Stock)

Die Kürzungswelle in den USA hätte beinahe die Cybersicherheit der ganzen Welt bedroht. Das CVE-Programm, das als zentrales Nummernsystem für Sicherheitslücken fungiert, hätte fast seine Finanzierung verloren. Doch die EU reagiert schnell und bringt kurzerhand ihre eigene Datenbank an den Start.

Hintergrund:

Erst vor Kurzem wurde bekannt, dass das US-Heimatschutzministerium die Finanzierung des CVE-Programms heute einstellen würde. Das Programm erstellt seit 25 Jahren einheitliche IDs für Sicherheitslücken.

Ein Aus des Programms hätte die Cybersicherheit auf der ganzen Welt bedroht. Allein letztes Jahr wurden laut The Register 40.000 solcher Codes registriert.

Doch nun hat die EU-Cybersicherheitsbehörde schnell reagiert.

Was ist das CVE-Programm?

CVE steht für Common Vulnerabilities and Exposures, also etwa: Bekannte Schwachstellen und Sicherheitslücken. Das Programm funktioniert wie ein Nummernsystem für Softwarefehler: Wird ein neuer Fehler entdeckt, bekommt er eine eindeutige Kennung.

So ist zum Beispiel CVE-2014-0160 der Code für den berühmten Heartbleed-Bug, der 2014 auch Minecraft-Spieler traf.

Das Benennungssystem sorgt für eine wichtige Einheitlichkeit: Behörden, IT-Firmen, Entwickler und Sicherheitsdienste auf der ganzen Welt arbeiten mit denselben Bezeichnungen, wenn sie Schwachstellen melden, analysieren und beheben.

Für die Vergabe der Schwachstellencodes war bis jetzt die gemeinnützige Organisation Mitre in den USA zuständig.

3:20 Pokémon trifft Minecraft - In Tomo: Endless Blue fangt ihr Monster und baut euch eure Traumwelt auf

EU gründet eigene Schwachstellendatenbank

Laut heise kündigte die EU-Cybersicherheitsbehörde ENISA (European Network and Information Security Agency) schon im Juni 2024 an, sie arbeite an einer eigenen Datenbank, der European Vulnerability Database. Nachdem deren Website Anfang April einem Funktionstest unterzogen wurde, ergriffen die Behörden nun die Gelegenheit und bringen sie endgültig an den Start.

Aber das ist nicht die einzige Bemühung um die Erhaltung der Services:

• In den USA wurde eine neue nicht kommerzielle Stiftung, die CVE Foundation, von langjährigen Mitgliedern des CVE-Boards gegründet.
• Das Computer Incident Response Center Luxemburg (CIRCL) gründet das Global CVE Allocation System (GCVE). Das soll eine dezentrale Vergabe von Schwachstellencodes ermöglichen.
  Kurzgesagt: GCVE erweitert das Nummernsystem noch um eine weitere Kennung für die jeweilige Vergabestelle.

DOGE wütet weiter in den USA

Während sich im Ausland und unter Non-Profit-Organisationen Widerstand regt, hat die US-Sicherheitsbehörde CISA die Finanzierung des CVE-Programms laut ComputerWeekly kurzerhand um 11 Monate verlängert.

Aber auch CISA soll laut heise unter Kürzungen unter Elon Musks DOGE leiden. Der Tech-Milliardär wurde von Trump als Vorsitzender des Department of Government Efficiency (DOGE) unter Berufung auf den neoliberalen Ökonomen Milton Friedman eingesetzt, um die Staatsausgaben drastisch zu senken.

Musk und DOGE

US-Behörde soll laut Berichten Angestellte mit KI überwachen – angeblich auf der Suche nach Aussagen gegen Musk und Trump

von Jan Stahnke

Laut einem Bericht des lokalen Nachrichtenportals Virginia Business von Anfang April soll auch die Organisation Mitre, die bis jetzt für die Vergabe der Schwachstellencodes zuständig war, durch DOGE-Kürzungen im Juni um über 400 Mitarbeiter ärmer werden.

Die Entwicklungen rund um die CVE-Datenbank zeigen, wie stark die geopolitischen und wirtschaftlichen Faktoren die Cybersicherheitslandschaft beeinflussen können. Die schnelle Reaktion der EU könnte ein entscheidender Schritt sein, um die globale IT-Sicherheit unabhängiger von externen finanziellen und politischen Schwankungen zu machen.