Glossarbegriff
CVE
Auch: Common Vulnerabilities and Exposures
Globaler Identifier für öffentlich bekannte Sicherheits-Schwachstellen in Software und Hardware. Format CVE-JJJJ-NNNN, betrieben vom MITRE-Corp im Auftrag der CISA. Mehr als 200.000 CVEs Stand 2025.
Jeder CVE-Eintrag enthält eine kurze Beschreibung, betroffene Produkte und Versionen, Referenzen zu Patches und PoCs. CVEs werden von CVE Numbering Authorities (CNA) vergeben, darunter Microsoft, Cisco, Red Hat, GitHub.
Verbunden: CVSS (Common Vulnerability Scoring System) gibt einen Schweregrad 0-10. CWE (Common Weakness Enumeration) klassifiziert die Schwachstellen-Klasse. KEV (Known Exploited Vulnerabilities) der CISA listet aktiv ausgenutzte CVEs als Pflichtpatches.
In der Praxis
Praxis: ein modernes Schwachstellen-Management priorisiert nach KEV-Listung, EPSS-Score (Exploit Prediction Scoring System) und Asset-Kritikalität, nicht stupide nach CVSS.
Verwandte Begriffe
CVSS
Standardisiertes Bewertungssystem für Schwachstellen mit Score 0-10. Aktuelle Version CVSS v4.0 (2023). Misst Base, Temporal und Environmental Metrics. Wird häufig kritisiert, da kein Ausnutzbarkeits-Signal.
SBOM
Maschinenlesbares Inventar aller Komponenten einer Software inkl. Versionen, Lizenzen und Abhängigkeiten. Formate: SPDX, CycloneDX, SWID. Pflicht in regulierten Bereichen, in den USA durch Executive Order 14028 vorgegeben.
Supply Chain Risk
Risiken aus der Software- und Hardware-Lieferkette: kompromittierte Open-Source-Pakete, Build-Pipeline-Angriffe, Updates mit Backdoors, Sub-Lieferanten ohne Audit-Trail. Pflicht-Adressierung in NIS2 Art. 21 Buchstabe d und DORA Art. 28 (Sub-Outsourcing).
CASB
Sicherheits-Layer zwischen Nutzern und SaaS, der Sichtbarkeit (Shadow-IT-Discovery), Datenschutz (DLP), Compliance und Threat-Protection über SaaS-Apps hinweg liefert. Vier Funktionen nach Gartner: Visibility, Compliance, Data Security, Threat Protection.
CNAPP
Plattform-Kategorie nach Gartner, die CSPM, CWPP, CIEM, KSPM, DSPM und IaC-Scanning in einem Tool zusammenführt. Antwort auf Tool-Fragmentierung in Cloud-Security-Stacks.
Confidence Score
Eine quantifizierte Einschätzung, wie belastbar die Aussage eines Entscheidungs-Memos ist, getrennt vom Readiness Score. Niedriger Confidence Score bedeutet: das Memo ist zwar formell vollständig, aber Evidenz oder Stakeholder-Eingabe sind dünn.
Confidential Computing
Hardware-basierte Isolation, die Daten während der Verarbeitung verschlüsselt hält (data-in-use). Ergänzt Verschlüsselung at-rest und in-transit. Technologien: Intel SGX, Intel TDX, AMD SEV-SNP, ARM CCA, Nvidia H100 Confidential Computing.
Critical ICT Third-Party Provider (CTPP)
ICT-Drittanbieter, der von der EU-Kommission nach DORA Art. 31 als kritisch eingestuft wird und unter direkte Aufsicht der drei europäischen Finanzaufsichts-Behörden (EBA, EIOPA, ESMA) fällt. Erste CTPP-Designations erwartet 2025/2026.