Neue EU-Datenbank listet bekannte IT-Sicherheitslücken

Athen/Berlin (dpa/tmn) - Endlich übersichtlich: Über Sicherheitslücken in Betriebssystemen, Programmen, Apps oder Geräte-Software können sich Nutzerinnen und Nutzer ab sofort auch in der neuen EU-Schwachstellendatenbank EUVD (European Union Vulnerability Database) informieren.

Die Datenbank-Webseite habe ihren regulären Betrieb aufgenommen, wie die für das EUVD-System verantwortliche EU-Cybersicherheitsagentur (Enisa) mitteilt.

Bewertung, Beschreibung und Abhilfe bei Schwachstellen

Auf «euvd.enisa.europa.eu» finden sich nicht nur Bewertungen des Schweregrades und Beschreibungen der Sicherheitslücken, sondern auch Hinweise dazu, ob eine Schwachstelle bereits ausgenutzt wird. Außerdem werden konkrete Informationen zu Abhilfemaßnahmen veröffentlicht, etwa bereits verfügbare Sicherheitsupdates.

Die Webseite bietet drei Ansichten für die erfassten Sicherheitslücken: eine für kritische Schwachstellen, eine für bereits aktiv ausgenutzte Schwachstellen und eine für Schwachstellen, die aus dem EU-Netzwerk der 
IT-Notfallteams (CIRTs) heraus koordiniert werden. Für Deutschland ist etwa das Bundesamt für Sicherheit in der Informationstechnik (BSI) Mitglied in diesem Netzwerk.

EUVD und CVE: Koexistenz der Kennungen

Für die EUVD-Datenbank kooperiert die Enisa etwa mit der bekannten US-Schwachstellen-Datenbank Common Vulnerabilities and Exposures (CVE). Die EU-Agentur ist etwa auch berechtigt, CVE-Kennungen für Schwachstellen zu vergeben, die von einem Mitglied des CIRTs-Netzwerks entdeckt oder an dieses Mitglied gemeldet wurden.

Die katalogisierten Schwachstellen stehen in der EUVD-Datenbank zuerst mit der EUVD-Kennung, also beispielsweise «EUVD-2025-14705» und dahinter als Alternative mit der CVE-Kennung, also beispielsweise «CVE-2025-32756».

Finanzierung der CVE-Datenbank auf unsicheren Füßen

Eine alternative Schwachstellen-Datenbank ist auch deshalb wichtig, weil es zuletzt Unsicherheiten über die weitere Finanzierung des CVE-Systems gab: Die US-Cybersicherheitsagentur (Cisa) hatte die weitere Förderung aus Mitteln der US-Regierung einstellen wollen, gab dann aber schließlich doch wieder Fördermittel für einen CVE-Betrieb bis Mitte März 2026 frei.