Finanzierung – datensicherheit.de Informationen zu Datensicherheit und Datenschutz

MITRE CVE Program: Abschaltung verhindert

dp — Fri, 18 Apr 2025 09:33:04 +0000

Das von der US-Regierung finanzierte CVE-Programm gilt als entscheidender Baustein zur globalen Aufdeckung von Softwarefehlern

[datensicherheit.de, 18.04.2025] Laut verschiedener aktueller Medienberichte soll das „CVE Program“ von MITRE nun doch weiter finanziert werden, wodurch eine befürchtete Abschaltung verhindert werden kann. Im Vorfeld der drohenden Einstellung zum 16. April 2025 hatte die Meldung zu großer Sorge in der Informationssicherheitsbranche geführt – befürchtet wurde, dass Aufdeckung und Dokumentation von Software-Schwachstellen künftig komplizierter hätten werden können. Unklar sei indes, was genau zwischen der ursprünglichen MITRE-Warnung über den Wegfall der Finanzierung und der CISA-Entscheidung zur Fortführung geschehen ist.

CISA verlängert Finanzierung um elf Monate

Demnach wird die US-amerikanische Agentur für Cybersicherheit und Infrastruktursicherheit (CISA) die Finanzierung doch verlängern – zumindest werde diese für einen weiteren Zeitraum von elf Monaten erfolgen.

MITRE hatte vor Kurzem gewarnt, dass die Finanzierung des Programms „Common Vulnerabilities and Exposures“ am 16. April 2025 auslaufen würde. Dieses von der US-Regierung finanzierte Programm gilt als ein entscheidender Baustein zur globalen Aufdeckung von Softwarefehlern, welche von Cyber-Kriminellen missbraucht werden könnten.

Drohende Lücke in den kritischen CVE-Diensten soll vermieden werden

„Das CVE-Programm ist von unschätzbarem Wert für die Cyber-Community und eine Priorität der CISA“, soll ein Sprecher der CISA gegenüber dem Webmagazin „CYBERSECURITY DIVE“ bekundet haben. Deshalb werde die CISA nun sicherstellen, eine drohende Lücke in den kritischen CVE-Diensten zu vermeiden.

Informationssicherheitsexperten hatten gewarnt, dass eine Unterbrechung der Finanzierung sonst zu massiven Verzögerungen bei der Offenlegung von Schwachstellen führen und ein weites Fenster für die Ausnutzung von Softwarefehlern offen lassen könnte.

Weitere Informationen zum Thema:

heise online, Dr. Christopher Kunz, 17.04.2025
CVE-Aus abgewendet / Schwachstellendatenbank der EU geht an den Start / Entscheidung in letzter Minute – offenbar geht der Vertrag zwischen CISA und MITRE in die Verlängerung. Mehrere Initiativen präsentieren derweil Alternativen.

CYBERSECURITY DIVE, David Jones, 16.04.2025
Mitre CVE program regains funding as renewal deal reached / The information security industry feared a lapse would lead to industrywide exposures of software vulnerabilities

datensicherheit.de, 17.04.2025
MITRE CVE Program: Einstellung der Finanzierung zum 16. April 2025 / „CVE-Programm“ ermöglichte durch einheitlichen Taxonomie Nachverfolgung von über 250.000 CVEs bis Ende 2024

datensicherheit.de, 17.04.2025
eco fordert für Europa dringend Nachfolger für CVE-Datenbank in den USA / Drohende Abschaltung der CVE-Datenbank birgt erhebliche Risiken für die Cyber-Sicherheit von Unternehmen weltweit

eco fordert für Europa dringend Nachfolger für CVE-Datenbank in den USA

dp — Wed, 16 Apr 2025 22:22:28 +0000

Drohende Abschaltung der CVE-Datenbank birgt erhebliche Risiken für die Cyber-Sicherheit von Unternehmen weltweit

[datensicherheit.de, 17.04.2025] Auch der eco – Verband der Internetwirtschaft e.V. hat am 16. April 2025 zu dem Auslaufen der Finanzierung für das „CVE-Programm“ genommen – mit dem Wegfall der finanziellen Unterstützung durch die US-Regierung stehe das international etablierte „CVE-Projekt“ nun vor einem kritischen Einschnitt. Die drohende Abschaltung der CVE-Datenbank berge erhebliche Risiken für die Cyber-Sicherheit von Unternehmen weltweit. eco-Vorstand Klaus Landefeld warnt vor den Folgen für die IT-Sicherheitslage und betont die Notwendigkeit einer raschen, koordinierten Übergangslösung. Vor diesem Hintergrund sieht der eco einen „dringenden Handlungsbedarf“ und unterstreicht die zentrale Rolle der CVE-Infrastruktur für die digitale Sicherheit von Wirtschaft und Gesellschaft.

Foto: eco e.V.

Klaus Landefeld: Wir hoffen, dass die Übergangsphase möglichst kurz und ohne größere Zwischenfälle verläuft!

eco unterstützt Rettungsinitiativen wie die CVE-Stiftung

Zur Ankündigung des MITRE, die CVE-Datenbank offline zu nehmen, da die finanzielle Unterstützung der US-Regierung beendet wurde, kommentiert Landefeld: „Aus unserer Sicht ist es sehr bedauerlich, dass die US-Regierung das Funding für das ,CVE-Projekt’ des MITRE abrupt einstellt.“ Dieses sei ein wichtiger Baustein für Sicherheit in Software und Produkten, auf welchen sich Unternehmen weltweit verließen.

Der eco unterstützt daher Rettungsinitiativen wie die CVE-Stiftung, die ihre bereits seit Längerem geplante Gründung vorgezogen hat und künftig regierungsunabhängig arbeiten will. Eine unterbrechungsfreie Sicherstellung des CVE-Systems sei für die Informationssicherheit der Mitgliedsunternehmen des eco von unschätzbarer Bedeutung, unterstreicht Landefeld:

„Wir hoffen, dass die Übergangsphase möglichst kurz und ohne größere Zwischenfälle verläuft und dass US-Behörden sich bei der Ausgestaltung dieser Übergangsphase eng mit MITRE austauschen und beispielsweise eine Übergangsregelung finden.“

Wegfall der CVE-Datenbank lässt Unternehmen im Unklaren darüber, ob Sicherheitslücken bereits bekannt sind und bekämpft werden

Der eco befürchtet, dass die Einstellung der Datenbank für Unternehmen und die öffentliche Verwaltung zu einer Herausforderung werden könnte. „Es sind bereits entsprechende Maßnahmen in Vorbereitung. Diese aber beziehen sich teilweise auf das ,CVE-Projekt’ und gehen so ins Leere, oder benötigen deutlich mehr Zeit, um wirksam werden zu können“, so Landefeld.

Cyber-Sicherheit sei für eco primär eine Aufgabe, welche Unternehmen, Staat und Nutzer nur gemeinschaftlich herstellen könnten, „wenn alle Beteiligten gemäß ihren Kapazitäten, Möglichkeiten und Befugnisse einbringen“. Die Identifizierung und Beseitigung von Sicherheitslücken in Software und IT-Produkten sei ein wichtiger Baustein für Vertrauen und Sicherheit im Netz.

Mit dem bisherigen „CVE-Projekt“ habe eine weltweit einzigartige Datenbank existiert, „die diese Sicherheitslücken katalogisiert und so Unternehmen die Möglichkeit gegeben hat, systematisch dagegen vorzugehen“. Der Wegfall dieser Datenbank lasse Unternehmen im Unklaren darüber, „ob ihre Sicherheitslücken bereits andernorts bekannt sind und bekämpft werden“. Entsprechende Projekte bei der EU-Sicherheitsbehörde ENISA seien bereits angestoßen, würden aber noch einige Monate bis zur Wirksamkeit benötigen.

Nachtrag der ds-Redaktion [18.04.2025]:
MITRE CVE Program: Abschaltung verhindert / Das von der US-Regierung finanzierte CVE-Programm gilt als entscheidender Baustein zur globalen Aufdeckung von Softwarefehlern

Weitere Informationen zum Thema:

CVE
CVE® Program Mission: Identify, define, and catalog publicly disclosed cybersecurity vulnerabilities / There are currently over 274,000 CVE Records accessible via Download or Keyword Search above

enisa EUROPEAN UNION AGENCY FOR CYBERSECURITY
Vulnerability Disclosure / By setting rules for identifying, fixing, mitigating, and reporting new vulnerabilities before they are exploited, CVD is crucial for protecting users and strengthening cybersecurity in the EU.

connect, Leif Bärler, 16.04.2025
Globale Cybersicherheit in Gefahr / Finanzierung des CVE-Programms läuft aus / Das System zur Identifizierung von IT-Schwachstellen, das Common Vulnerabilities and Exposures (CVE)-Programm, steht mangels Finanzierung vor einer ungewissen Zukunft.

golem.de, Mike Faust, 16.04.2025
CVE-Finanzierung unklar: Datenbank für kritische Sicherheitslücken gefährdet / Für die Fortsetzung des CVE-Programms, der internationalen Datenbank für Sicherheitslücken, stehen keine finanziellen Mittel mehr zur Verfügung.

tenable, 15.04.2025
MITRE CVE Program Funding Set To Expire / MITRE’s CVE program has been an important pillar in cybersecurity for over two decades. The lack of clarity surrounding the future of the CVE program creates great uncertainty about how newly discovered vulnerabilities will be cataloged.

MITRE CVE Program: Einstellung der Finanzierung zum 16. April 2025

dp — Wed, 16 Apr 2025 22:21:45 +0000

„CVE-Programm“ ermöglichte durch einheitlichen Taxonomie Nachverfolgung von über 250.000 CVEs bis Ende 2024

[datensicherheit.de, 17.04.2025] Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, widmet sich in seiner aktuellen Stellungnahme der Finanzierung des „CVE-Programms“ (Common Vulnerabilities and Exposures) sowie verwandter Initiativen wie des „CWE-Programms“ (Common Weakness Enumeration) – diese soll demnach nicht verlängert werden. Diese unklare Zukunft des „CVE-Programms“ sorgt für große Unsicherheit in der IT-Sicherheitsgemeinschaft – insbesondere in Bezug darauf, wie neu entdeckte Schwachstellen künftig erfasst und katalogisiert werden sollen.

Foto: Tenable

Satnam Narang: Tenable behält weitere Entwicklungen im CVE-Umfeld im Auge

Seit 1999 war das „CVE-Programm“ eine tragende Säule der Cyber-Sicherheitslandschaft

Narang kommentiert: „Die angekündigte Einstellung der Finanzierung des ,MITRE CVE-Programms’ hat verständlicherweise Besorgnis unter IT-Sicherheitsexperten und Unternehmen ausgelöst.“

Er führt aus: „Seit seiner Einführung im Jahr 1999 ist das ,CVE-Programm’ eine tragende Säule der Cyber-Sicherheitslandschaft und hat mit seiner einheitlichen Taxonomie die Nachverfolgung von über 250.000 CVEs bis Ende 2024 ermöglicht.“ Ob die Finanzierung tatsächlich eingestellt wird, sei zwar noch offen – sollte es jedoch dazu kommen, wären die Auswirkungen weitreichend.

Sogenannte CVE Numbering Authorities (CNAs) sind für die Reservierung und Vergabe von CVE-Kennungen zuständig. „Zwar können CNAs CVEs vorab reservieren, doch angesichts der schieren Menge an Schwachstellen ist der Vorrat an verfügbaren Kennungen schnell erschöpft.“

CVE quasi gemeinsame Sprache zur Beschreibung von Schwachstellen und Sicherheitslücken

CVE sei die gemeinsame Sprache, wenn es um Schwachstellen und Sicherheitslücken geht. „Sollte dieses System wegfallen, ist unklar, was an seine Stelle treten könnte.“

Es könnten sich zwar verschiedene Alternativen herausbilden, doch ohne einen klaren Standard drohe ein ähnliches Durcheinander wie bei der Benennung von Bedrohungsakteuren – ohne einheitliche Bezeichnungen und mit eingeschränkter Vergleichbarkeit.

Darüber hinaus biete das „CVE-Programm“ einen zentralen Rahmen zur Nachverfolgung der Vergabe von CVEs, an dem sich viele Unternehmen orientierten. „Wir behalten die weiteren Entwicklungen rund um die mögliche Einstellung der Finanzierung im Auge“, so Narang.

Weitere Informationen zum Thema:

Stiftung Datenschutz: Peter Schaar warnt vor Unterfinanzierung und zweifelhafter Effektivität

dp — Mon, 30 Apr 2012 16:21:21 +0000

Selbst bei vorsichtiger Kalkulation benötigt diese Stiftung laut Schaar jährlich etwa eine Million Euro

[datensicherheit.de, 30.04.2012] Der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), Peter Schaar, erinnert in einer aktuellen Stellungnahme daran, dass im Koalitionsvertrag vom 26. Oktober 2009 CDU, CSU und FDP die Errichtung einer „Stiftung Datenschutz“ vereinbart hatten. Diese neue Stiftung solle danach Produkte und Dienstleistungen auf Datenschutzfreundlichkeit prüfen, Bildung im Bereich des Datenschutzes stärken, den Selbstdatenschutz durch Aufklärung verbessern und ein Datenschutz-Audit entwickeln.
Schaar, der diesem Vorhaben zunächst grundsätzlich positiv gegenüberstand, drängt sich nach inzwischen fast zweieinhalb Jahren die Frage auf, ob die „Stiftung Datenschutz“ noch in dieser Legislaturperiode eingerichtet und wie sie ausgestaltet wird. Die ihm vorliegenden Erkenntnisse gäben jedoch nicht gerade zu „übertriebener Hoffnung“ Anlass, so Schaar. Zwar seien im Bundeshaushalt 2011 zehn Millionen Euro bereitgestellt worden – allerdings nur als Stiftungskapital. Grundsätzlich müssten die laufenden Kosten ja aus dessen Zinsen finanziert werden. Da einer Stiftung aber riskante Anlageformen mit hoher Rendite versagt seien, bedeute dies, dass der Stiftung vielleicht jährlich gerade einmal 100.000 bis 200.000 € zur Verfügung stünden. Selbst mit dem zusätzlich von der Bundesregierung in Aussicht gestellten Beitrag von jährlich ca. 140.000 Euro (für einen Zeitraum von sieben Jahren) ergäbe sich ein Jahreshaushalt von gerade einmal 240.000 bis 340.000 Euro. Hiervon müssten Mietkosten und Personal, Arbeitsmittel, Reisekosten, Druckkosten, Webauftritt etc. abgedeckt werden.
Zum Vergleich führt Schaar sein Verbindungsbüro Berlin an, in dem 15 Mitarbeiter tätig seien – dieses verursache allein jährliche Fixkosten für Miete und Telekommunikation von 220.000 Euro… Selbst bei vorsichtiger Kalkulation benötige die Stiftung laut Schaar also jährlich etwa eine Million Euro, wenn die beschriebenen Aufgaben auch nur ansatzweise erfüllt werden sollten. Er wirft die Frage auf, woher das fehlende Geld stammen soll. Da die Bundesregierung eine Zuschussfinanzierung ausschließe, müssten diese Mittel „von der Wirtschaft“ aufgebracht werden – eine wirtschaftsfinanzierte Stiftung aber werde sich stets schwer tun, den Verdacht zu entkräften, dass sie Gefälligkeitsgutachten erbringt, um die Geldgeber nicht zu verprellen. Gütesiegel und Testreihen würden so zu einem wenig aussagekräftigen, nicht einmal besonders werbewirksamen Marketinginstrument, warnt der BfDI.

Weitere Informationen zum Thema:

Datenschutz FORUM, 27.04.2012
Peter Schaar, BfDI / Wo bleibt eigentlich die Stiftung Datenschutz?

Innovationen der Informations- und Kommunikationstechnik durch Finanzierungsprobleme gefährdet

dp — Tue, 28 Jul 2009 10:12:06 +0000

BITKOM rät den IKT-KMU zur Nutzung öffentlicher Förderprogramme

[datensicherheit.de, 28. Juli 2009] Laut einer repräsentativen Umfrage des „Bundesverbandes Informationswirtschaft, Telekommunikation und neue Medien e.V.“ (BITKOM) spüre ein Drittel der IT-Unternehmen infolge der Finanz- und Wirtschaftskrise eine Verschlechterung ihrer Finanzierungssituation:
Danach berichteten 22 Prozent der Firmen, dass die Banken Kredite restriktiver vergäben als noch vor der Krise. 11 Prozent hätten Schwierigkeiten bei der Refinanzierung über die Kapitalmärkte.
Die Kreditversorgung für die Unternehmen sei schwerer geworden, so BITKOM-Vizepräsident Heinz Paul Bonn – mit dem Andauern der Krise werde sich die Finanzierungssituation voraussichtlich weiter verschärfen. Der BITKOM rät daher den kleinen und mittelständischen Unternehmen (KMU), neben dem Kredit von der Hausbank staatliche Fördermöglichkeiten zu prüfen.
Die zahlreichen öffentlichen Förderprogramme hat der BITKOM in einem neuen „Info-Dienst Mittelstandsfinanzierung“ zusammengefasst. In der rund 30-seitigen Broschüre werden mehr als 50 Angebote der KfW, der Förderbanken der Länder, der Arbeitsagentur und zahlreicher anderer Institutionen beschrieben. Die Broschüre ist auf der BITKOM-Website kostenlos verfügbar.

Weitere Informationen zum Thema:

BITKOM
BITKOM Info-Dienst Mittelstandsfinanzierung / Juli 2009