NVD vs. EUVD vs. CISA KEV: 29.000 CVEs im Rückstau [2026]

Seit dem 6. August 2026 ist es amtlich: Die europäische Cybersicherheitsbehörde ENISA vergibt jetzt selbst CVE-Nummern. Zwanzig CVE Numbering Authorities hängen inzwischen unter ENISA als eigener CVE Root, zwölf davon komplett neu aufgenommen, acht von MITRE übernommen. Parallel dazu wächst die hauseigene EU-Schwachstellendatenbank EUVD munter weiter und zählte Mitte Juli 2026 bereits 40.654 Einträge, nachdem sie allein 2025 rund 49.703 neue Datensätze aufgenommen hatte. Gleichzeitig stapeln sich bei der amerikanischen NVD rund 29.000 CVEs, die als “Not Scheduled” markiert sind und dauerhaft ohne CVSS-Score und Betroffenheitsdaten bleiben. Wer als Sicherheitsteam in Deutschland oder der Schweiz Schwachstellen priorisieren muss, steht 2026 vor einer echten Wahl zwischen drei Systemen: dem klassischen CVE/NVD-Duo aus den USA, der neuen EUVD aus Brüssel und dem CISA-KEV-Katalog für aktiv ausgenutzte Lücken.

Dieser Vergleich ordnet die drei Systeme entlang harter Zahlen ein: Wie viele Einträge führt jedes System, wie schnell reagiert es, wer finanziert den Betrieb, und was bedeutet das konkret für ein Sicherheitsteam, das morgens entscheiden muss, welche der zwanzig neuen Meldungen zuerst bearbeitet wird. Keines der drei Systeme ist ein Ersatz für die anderen, aber jedes hat eine klar abgrenzbare Stärke, und genau diese Abgrenzung fehlt in den meisten oberflächlichen Gegenüberstellungen, die aktuell kursieren. Im Folgenden geht es deshalb nicht um eine pauschale Empfehlung für ein einzelnes System, sondern um eine nüchterne Aufschlüsselung, wann welche Quelle den entscheidenden Vorsprung liefert, mit CVE-Beispielen, Kostenübersicht und einem konkreten Migrationsplan für Teams, die bislang nur eine einzige Quelle abfragen.

Warum dieser Vergleich 2026 überhaupt nötig ist

Bis vor zwei Jahren war die Sache einfach: Eine Schwachstelle bekam eine CVE-Nummer von MITRE, die NVD reicherte sie mit einem CVSS-Score an, fertig. Diese Ordnung ist zerbrochen. Anfang 2024 rutschte die NVD in eine Anreicherungskrise, aus der sie sich bis heute nicht vollständig befreit hat. Im April 2025 stand das gesamte CVE-Programm kurz vor dem Aus, weil der Vertrag zwischen der US-Regierung und MITRE auszulaufen drohte. Seit Mai 2025 existiert mit der EUVD eine komplett neue, EU-eigene Datenbank, die im August 2026 durch den CVE-Root-Status von ENISA noch einmal an Gewicht gewonnen hat. Für Sicherheitsteams in der DACH-Region bedeutet das: Wer sich nur auf eine Quelle verlässt, verpasst entweder aktuelle Anreicherungsdaten, den EU-Compliance-Kontext oder die Information, welche Lücke gerade aktiv angegriffen wird.

Der Zeitpunkt ist kein Zufall. Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen in Deutschland zur Meldung erheblicher Sicherheitsvorfälle, und die EU-Kommission hat ENISA im gleichen Zug mit dem Aufbau einer europäischen Schwachstellendatenbank beauftragt. Wer als Sicherheitsverantwortlicher in einem KRITIS-Betrieb arbeitet, kommt an der EUVD künftig kaum noch vorbei, selbst wenn CVE/NVD weiterhin die globale Referenz bleibt. Hinzu kommt ein praktisches Problem: Sicherheitsprodukte, Ticketsysteme und Compliance-Reports sind seit Jahrzehnten auf CVE-Nummern als gemeinsame Sprache aufgebaut. Eine zweite, parallele ID-Struktur wie EUVD-JJJJ-NNNNN zwingt Teams dazu, ihre Prozesse anzupassen, statt einfach eine Quelle gegen eine andere auszutauschen.

Was ist CVE und wie hängt die NVD damit zusammen?

CVE steht für Common Vulnerabilities and Exposures und ist im Kern nichts anderes als ein Katalog eindeutiger Bezeichner im Format CVE-JAHR-NUMMER. Das Programm läuft seit den späten 1990er-Jahren und wird von MITRE als sogenannter CVE Program Root betrieben, unterstützt durch mittlerweile Hunderte CVE Numbering Authorities (CNAs) weltweit, darunter Softwarehersteller, Sicherheitsfirmen und inzwischen auch nationale Behörden. Eine CNA vergibt die Nummer, MITRE veröffentlicht den Basiseintrag mit Titel und Beschreibung, aber die eigentliche Risikobewertung liefert traditionell die National Vulnerability Database (NVD) des US-amerikanischen NIST. Die NVD reichert jeden CVE-Eintrag mit einem CVSS-Score, betroffenen Produktversionen (CPE) und einer CWE-Schwachstellenklasse an.

Genau diese Anreicherung ist seit Anfang 2024 ins Stocken geraten, und die Zahlen zeigen ein stetig schlechteres Bild. Nach Daten des Inspector General des US-Handelsministeriums lag der unangereicherte Rückstau im Februar 2024 noch bei rund 13.000 CVEs und wuchs bis Ende 2025 auf etwa 27.000 an. Parallel dazu sank die Enrichment-Quote spürbar: Wurden 2024 noch 46,2 Prozent aller neu gemeldeten CVEs vollständig mit CVSS, CWE und CPE angereichert, waren es 2025 nur noch 28 Prozent. Im April 2026 zog NIST daraus die Konsequenz und vollzog einen offiziellen Kurswechsel: Statt jeden einzelnen CVE zu bearbeiten, priorisiert die Behörde jetzt gezielt Einträge, die im CISA-KEV-Katalog stehen, zu bundesstaatlicher Software gehören oder unter die Executive Order 14028 zu “kritischer Software” fallen. Alles andere landet im Status “Not Scheduled” und wartet ohne verbindliche Frist auf eine Bewertung. Für Teams, die sich allein auf CVSS-Scores aus der NVD verlassen, heißt das: Ein frischer CVE-Eintrag ganz ohne Score ist 2026 der Normalfall, nicht die Ausnahme.

Was ist die EUVD und warum hat die EU eine eigene Datenbank gebaut?

Die European Union Vulnerability Database, kurz EUVD, ging am 13. Mai 2025 offiziell live. Betrieben wird sie von ENISA auf Basis eines Mandats aus der NIS2-Richtlinie, die die Behörde ausdrücklich zum Aufbau und Betrieb einer europäischen Schwachstellendatenbank verpflichtet. Die EUVD vergibt eigene Bezeichner im Format EUVD-JAHR-NUMMER und listet vorhandene CVE-Nummern zusätzlich als “Alternative ID”, wie ENISA in der offiziellen FAQ erklärt. Wichtig für die Einordnung: Die EUVD ersetzt CVE nicht, sondern aggregiert Daten aus mehreren Quellen, darunter CVE-Einträge, Herstelleradvisories und Meldungen nationaler CERTs, und reichert sie um einen eigenen Exploitation-Status an.

Der Wachstumskurs ist bemerkenswert. Im gesamten Jahr 2025 nahm die EUVD nach Angaben von Sicherheitsanalysten rund 49.703 neue Einträge auf, umgerechnet etwa 207 pro Tag. Bis zum 15. Juli 2026 stieg der Gesamtbestand auf 40.654 Datensätze, mehr Einträge, als 2025 überhaupt neue CVE-Nummern vergeben wurden. Das Web-Frontend der EUVD zeigt zudem “Changed”-Zeitstempel im Minuten- bis Stundentakt, was auf ein nahezu kontinuierliches Aktualisierungsmodell hindeutet statt auf wöchentliche Sammelläufe. Der Grund für dieses Tempo: Die EUVD wartet nicht auf eine zentrale Analystengruppe, sondern zieht Herstelleradvisories und CERT-Meldungen automatisiert ein, die in den USA teils gar keine eigene CVE-Nummer erhalten. Für Unternehmen, die unter NIS2 melde- oder dokumentationspflichtig sind, wird die EUVD damit schrittweise zur ersten Anlaufstelle, weil sie den regulatorischen EU-Kontext direkt mitliefert, den eine US-Datenbank naturgemäß nicht abbildet.

Technisch bedeutet Aggregation hier nicht bloßes Kopieren. Jeder EUVD-Eintrag verweist auf seine Ursprungsquelle, ob CVE-Programm, ein nationales CERT oder direkt ein Hersteller, und trägt einen eigenen Exploitation-Status, der unabhängig vom CVSS-Score gepflegt wird. Für Analysten heißt das konkret: Selbst wenn eine Lücke in der NVD noch unangereichert im Rückstau hängt, kann derselbe Eintrag in der EUVD bereits mit Herstellerkontext, betroffenen Versionen und einem ersten Ausnutzungshinweis versehen sein, schlicht weil die Datenquelle eine andere ist.

Der CISA-KEV-Katalog: Fokus auf aktiv ausgenutzte Lücken

Der Known Exploited Vulnerabilities Catalog der US-Behörde CISA verfolgt ein völlig anderes Prinzip als CVE/NVD und EUVD. Statt jede bekannte Schwachstelle zu listen, nimmt CISA nur Lücken auf, für die belastbare Hinweise auf aktive Ausnutzung in freier Wildbahn vorliegen. Jeder Eintrag enthält die CVE-Nummer, den betroffenen Hersteller, das Datum der Aufnahme und eine konkrete Handlungsfrist. Grundlage ist die Binding Operational Directive 22-01 aus dem November 2021, die US-Bundesbehörden der zivilen Exekutive dazu verpflichtet, gelistete Lücken fristgerecht zu schließen. Formal bindend ist das nur für US-Behörden, in der Praxis hat sich die KEV-Liste aber weltweit als De-facto-Prioritätenliste für Patch-Management etabliert, auch in deutschen Unternehmen.

Nach Tracking-Diensten wie Axis Intelligence umfasste der Katalog in der Version 2026.08.11 rund 1.665 Einträge. Verglichen mit über 300.000 insgesamt vergebenen CVE-Nummern und mehr als 40.000 EUVD-Einträgen ist das eine bewusst schmale, kuratierte Auswahl. Genau darin liegt der Wert: Wer 1.665 Einträge im Blick behält, kann das im Gegensatz zu Zehntausenden CVEs tatsächlich operativ umsetzen. Bemerkenswert ist zudem, wie stark sich der Anteil früh erkannter Angriffe verschoben hat: Laut dem VulnCheck-Report “State of Exploitation” wurden 2025 rund 28,96 Prozent aller KEV-Einträge bereits am oder vor dem Tag der CVE-Veröffentlichung aktiv ausgenutzt, ein Anstieg gegenüber 23,6 Prozent im Jahr 2024. Angreifer sind also häufiger schneller als die Verteidiger, die auf eine offizielle CVE-Nummer warten. Die NVD nutzt die KEV-Liste inzwischen selbst als Priorisierungskriterium für ihre eigene, ausgedünnte Anreicherung.

Benchmark-Vergleich: Wie schnell reagieren die drei Systeme?

Reine Eintragszahlen sagen wenig darüber aus, wie nützlich ein System im akuten Ernstfall ist. Entscheidend ist die Geschwindigkeit, mit der eine Lücke von der Entdeckung bis zur verwertbaren Einstufung durchläuft. Drei unabhängige Quellen liefern dazu belastbare Zahlen für 2025 und 2026: der Sicherheitsanbieter VulnCheck, die Cloud Security Alliance und die jährliche CVE-Datenauswertung von Sicherheitsforscher Jerry Gambin.

Kennzahl	2025	2026	Quelle
Median Zeit CVE-Veröffentlichung bis KEV-Aufnahme	120 Tage	80 Tage (1. Halbjahr)	VulnCheck, State of Exploitation
Anteil vollständig angereicherter CVEs bei der NVD	28 %	weiter sinkend, kein SLA mehr	Cloud Security Alliance / Fortress-Analyse
NVD-Rückstau unangereicherter CVEs	rund 27.000 (Ende 2025)	rund 29.000 “Not Scheduled” (April 2026)	Inspector General US-Handelsministerium / CSA
Neue EUVD-Einträge	49.703 gesamt	40.654 (Stand 15.07.2026)	ENISA / EUVD-Datenanalyse
Neu vergebene CVE-Nummern	48.185	über 53.000 (Jahresverlauf)	Jerry Gambin, jährliche CVE-Auswertung
Anteil 2025er CVEs mit nachgewiesener Ausnutzung	rund 1 % aller CVEs	keine belastbare Gesamtquote veröffentlicht	VulnCheck Exploit Intelligence

Die Tabelle zeigt eine gegenläufige Entwicklung. Die KEV-Liste wird schneller, der Abstand zwischen Veröffentlichung und Aufnahme schrumpfte laut VulnCheck von 120 auf 80 Tage im Median, ein Fortschritt, der Angreifern das Zeitfenster für ungehinderte Ausnutzung verkürzt. Die NVD dagegen wird langsamer und selektiver: Nur noch 28 Prozent aller neuen CVEs erhalten überhaupt eine vollständige Anreicherung, der Rest bleibt im Rückstau. Für die priorisierten Fälle, also KEV-Einträge, bundesstaatliche Software und als kritisch eingestufte Systeme, gibt die Cloud Security Alliance als Zielwert im neuen Triage-Modell rund einen Arbeitstag bis zur Anreicherung an, für alle übrigen CVEs existiert dagegen keine verbindliche Frist mehr. Die EUVD wächst währenddessen so schnell, dass sie binnen anderthalb Jahren mehr Einträge angesammelt hat als das klassische CVE-Programm in einem kompletten Jahr neu vergibt, wobei ein direkter Vergleich hier hinkt, weil die EUVD auch Herstelleradvisories ohne eigene CVE-Nummer mitzählt.

Ein weiterer Blickwinkel liefert der Verizon Data Breach Investigations Report: Während 2025 noch rund 20 Prozent aller Sicherheitsvorfälle über die Ausnutzung von Schwachstellen als Einstiegspunkt liefen, stieg dieser Anteil laut einer 2026er Analyse auf 31 Prozent, Schwachstellen-Exploits sind damit inzwischen der häufigste Erstzugriffsvektor überhaupt. Gleichzeitig zeigt eine Auswertung des Sicherheitsanbieters Mondoo, dass nur rund 2,3 Prozent aller Schwachstellen mit einem CVSS-Wert von 7 oder höher überhaupt nachweislich ausgenutzt werden, bei Windows-spezifischen CVEs waren es 2025 sogar nur 29 von 1.244 Lücken, also etwa 2,33 Prozent, von denen wiederum 76 Prozent bereits am Tag der Entdeckung als Zero-Day aktiv ausgenutzt wurden. Diese Zahlen relativieren die reine CVSS-Bewertung zusätzlich: Ein hoher Score ist kein verlässlicher Indikator dafür, dass eine Lücke tatsächlich angegriffen wird, nur der KEV-Katalog bestätigt das mit harten Beweisen.

ENISA wird CVE Root: Die Änderung vom August 2026

Am 6. August 2026 verkündete ENISA einen strukturellen Umbau, der in Fachkreisen für Aufsehen sorgte. Die Behörde ist jetzt selbst ein CVE Root, also eine übergeordnete Instanz, unter der mehrere CNAs organisiert sind und die neue CNAs aufnehmen sowie Streitfälle zwischen ihnen moderieren kann. Zwanzig CNAs hängen aktuell unter ENISA als Root, zwölf davon wurden direkt neu von ENISA aufgenommen, acht wechselten aus dem bisherigen MITRE-Root-Bereich zu ENISA. Ein CVE Root ist damit mehr als ein einfacher Nummerngeber, er verwaltet eine ganze Hierarchie von CNAs und trägt Mitverantwortung für die Qualität der vergebenen Einträge in seinem Zuständigkeitsbereich.

Für die Praxis bedeutet das: CVE ist nicht länger ein rein amerikanisches Programm mit einer einzigen Kontrollinstanz. Europäische Hersteller und CERTs können CVE-Nummern jetzt über einen EU-nahen Root beziehen, ohne den Umweg über MITRE zu nehmen. Das verkürzt Meldewege und dürfte mittelfristig auch die Konsistenz zwischen CVE-Einträgen und der EUVD verbessern, weil ENISA beide Systeme gleichzeitig betreibt. Für deutsche Softwarehersteller, die bislang über eine US-CNA gemeldet haben, eröffnet sich dadurch erstmals die Option, den kompletten Meldeprozess innerhalb der EU abzuwickeln, von der CVE-Vergabe bis zur Aufnahme in die EUVD.

Die MITRE-Finanzierungskrise vom April 2025

Um zu verstehen, warum die EU überhaupt in eine eigene Schwachstellendatenbank investiert hat, lohnt ein Blick zurück auf den April 2025. MITRE warnte damals öffentlich, dass der Vertrag zum Betrieb des CVE-Programms am 16. April 2025 auszulaufen drohte, ohne dass zu diesem Zeitpunkt eine Anschlussfinanzierung feststand. Die zentrale Infrastruktur der globalen Schwachstellenidentifikation stand damit für kurze Zeit faktisch vor dem Aus. CISA reagierte kurzfristig, zog eine Optionsklausel im bestehenden Vertrag und sicherte damit laut Berichterstattung eine elfmonatige Verlängerung, die das Programm bis etwa März 2026 fortführte. Spätere Meldungen aus dem März 2026 bestätigten, dass diese unmittelbare Finanzierungsklippe erneut umschifft wurde und der Betrieb ohne Unterbrechung weiterlief.

Dieser Beinahe-Ausfall eines einzelnen, von einer einzigen Regierung finanzierten Programms ist der eigentliche Auslöser für die europäische Investition in die EUVD gewesen. Ein System, das komplett von einer jährlichen US-Haushaltsentscheidung abhängt, ist aus Sicht europäischer KRITIS-Betreiber ein strukturelles Risiko, unabhängig davon, wie zuverlässig es historisch funktioniert hat. Genau diese Abhängigkeit wollte ENISA mit einer eigenen, EU-finanzierten Infrastruktur auflösen, und der CVE-Root-Status vom August 2026 ist der bislang deutlichste Schritt in diese Richtung.

Die Episode zeigt auch, wie eng CVE-Programm und NVD-Anreicherung miteinander verflochten sind, ohne identisch zu sein. Die Vergabe von CVE-Nummern durch MITRE lief 2025 durchgängig weiter, betroffen war vor allem die nachgelagerte NVD-Anreicherung, die schon vorher unter Kapazitätsdruck stand. Für Sicherheitsteams verschwimmt dieser Unterschied in der Praxis jedoch schnell: Ob eine Lücke wegen fehlender Vertragsverlängerung oder wegen Personalmangels ohne Score bleibt, ändert am operativen Risiko nichts.

Technischer Vergleich: IDs, Scoring und Datenquellen

Die folgende Tabelle stellt die drei Systeme entlang der Kriterien gegenüber, die für den täglichen Betrieb eines Sicherheitsteams am meisten zählen: Wer betreibt das System, wie viele Einträge gibt es, wie aktuell ist die Datenlage und was ist die eigentliche Funktion.

Kriterium	CVE / NVD (USA)	EUVD (EU / ENISA)	CISA KEV (USA)
Betreiber	MITRE (CVE) / NIST (NVD)	ENISA	CISA
Start des Programms	1999 (CVE), 2005 (NVD)	13. Mai 2025	November 2021
ID-Format	CVE-JJJJ-NNNNN	EUVD-JJJJ-NNNNN, mit CVE als Alt-ID	nutzt bestehende CVE-ID
Anzahl Einträge	über 300.000 CVEs gesamt	40.654 (Stand 15.07.2026)	rund 1.665 (Version 2026.08.11)
Neue Einträge 2025	48.185 CVEs veröffentlicht	49.703 neue Datensätze	884 neue Einträge laut VulnCheck
Rückstau / Backlog	rund 29.000 CVEs “Not Scheduled” (April 2026)	kein vergleichbarer öffentlicher Backlog gemeldet	kein Backlog-Konzept, kuratierte Liste
Rechtliche Grundlage	US-Bundesvertrag mit MITRE	NIS2-Richtlinie (EU) 2022/2555	BOD 22-01 (November 2021)
Verbindlichkeit	keine, Referenzstandard	Melde-/Dokumentationskontext für NIS2-Pflichtige	bindend nur für US-Bundesbehörden (FCEB)
CVE-Root-Funktion	MITRE ist Program Root	ENISA seit 6.8.2026 eigener CVE Root mit 20 CNAs	keine, nutzt fremde CVE-IDs
Scoring-System	CVSS v3.1/v4.0 durch NVD-Analysten	übernimmt CVSS, teils eigener Exploitation-Flag	kein eigener Score, nur Ja/Nein Ausnutzung
API verfügbar	ja, NVD-API	ja, EUVD-API laut ENISA-FAQ	ja, JSON-Feed öffentlich
Regionaler Fokus	global, US-zentriert	EU-zentriert, global nutzbar	US-föderal, global als Prioritätsliste genutzt

Zwei Punkte springen ins Auge. Erstens: EUVD und NVD verfolgen technisch ähnliche Ziele, unterscheiden sich aber im Mandat. Die EUVD ist an EU-Regulierung gekoppelt, die NVD an einen US-Bundesvertrag. Zweitens: CISA KEV spielt in einer anderen Liga, es geht nicht um Vollständigkeit, sondern um harte Priorisierung. Ein Team, das nur CVSS-Scores aus der NVD abfragt, aber die KEV-Liste ignoriert, patcht möglicherweise formal “kritische” Lücken zuerst, während eine aktiv ausgenutzte Lücke mit mittlerem CVSS-Score liegen bleibt. Die Zeile zu den 2025er Neuzugängen macht zudem sichtbar, wie unterschiedlich die drei Systeme wachsen: CVE/NVD und EUVD bewegen sich in einer ähnlichen Größenordnung von rund 48.000 bis 50.000 neuen Einträgen, während KEV mit 884 neuen Fällen bewusst klein bleibt. Drittens fällt auf, dass nur die EUVD über eine echte Doppelfunktion verfügt, sie ist gleichzeitig Aggregator und, seit August 2026, über ENISA auch CVE-Ausgabestelle, während NVD und KEV jeweils strikt getrennte Aufgaben wahrnehmen.

Abdeckung, Aktualität und der NVD-Rückstau im Detail

Die reine Zahl von 48.185 im Jahr 2025 veröffentlichten CVEs, dokumentiert unter anderem in der jährlichen CVE-Datenauswertung von Sicherheitsforscher Jerry Gambin, verschleiert das eigentliche Problem. Eine CVE-Nummer zu vergeben ist der leichte Teil, sie mit einem verlässlichen CVSS-Score, betroffenen Produktversionen und einer Schwachstellenklasse anzureichern der aufwendige. Genau hier bricht die NVD-Kapazität seit 2024 ein, von 46,2 Prozent vollständig angereicherter CVEs im Jahr 2024 auf nur noch 28 Prozent im Jahr 2025. Der im April 2026 vollzogene Strategiewechsel bei NIST, weg von universeller Anreicherung hin zu einem Triage-Modell, ist eine offene Kapitulation vor dieser Kapazitätslücke. Praktisch heißt das: Ein CVE ohne CVSS-Score in der NVD ist 2026 kein Einzelfall, sondern für einen erheblichen Teil aller neuen Einträge der Normalzustand, solange die Lücke nicht in der KEV-Liste, in bundesstaatlicher Software oder in als kritisch eingestufter Software landet.

Die EUVD wirkt dem entgegen, indem sie zusätzliche Datenquellen wie Herstelleradvisories und CERT-Meldungen direkt aggregiert, statt auf eine zentrale Analystengruppe zu warten. Das erklärt auch, warum die EUVD mit 40.654 Einträgen nach gut 14 Monaten Betrieb bereits mehr Datensätze führt als die Zahl der 2025 komplett neu vergebenen CVEs. Ein Nachteil bleibt: Weil die EUVD relativ jung ist, fehlt ihr die zwei Jahrzehnte an historischen Daten, die NVD und CVE-Programm inzwischen angesammelt haben. Für forensische Analysen älterer Vorfälle bleibt CVE/NVD deshalb auf absehbare Zeit die verlässlichere Quelle, selbst wenn die Anreicherung neuer Einträge aktuell hinterherhinkt.

CVSS-Bewertungsunterschiede: Das Beispiel CVE-2026-46068

Wie stark einzelne Bewertungen auseinanderlaufen können, zeigt CVE-2026-46068. Der Hersteller Red Hat stufte die Lücke in seiner eigenen Advisory mit einem CVSS-Wert von 5,5 ein, während die NVD für denselben Eintrag einen Score von 7,8 vergab. Der Unterschied entsteht durch abweichende Annahmen bei den Auswirkungen auf Vertraulichkeit und Integrität des betroffenen Systems, ein klassisches Beispiel dafür, dass CVSS trotz standardisierter Formel immer noch Interpretationsspielraum lässt. Ein zweiter, anders gelagerter Fall ist CVE-2026-12294: Hier weist Red Hat einen Score von 7,5 aus, während der CVE-Grundeintrag selbst noch gar keinen Score führt, ein Beispiel dafür, dass Lücken zwischen Anreicherungsquellen nicht immer aus unterschiedlichen Bewertungen entstehen, sondern schlicht daraus, dass eine Quelle noch gar nicht nachgezogen hat.

Für ein Patch-Management-Team bedeutet das: Wer sich blind auf einen einzigen Score verlässt, egal aus welcher Quelle, trifft im Zweifel eine falsche Priorisierungsentscheidung. Der Abgleich zwischen Hersteller-Score, NVD-Score und gegebenenfalls dem EUVD-Eintrag gehört deshalb 2026 zum Handwerk eines gut aufgestellten Sicherheitsteams. Ein pragmatischer Ansatz, den mehrere Analysten empfehlen: im Zweifel den höheren der verfügbaren Scores für die interne Priorisierung heranziehen, statt auf eine nachträgliche Angleichung zu warten. Zusätzlich lohnt sich ein Blick auf den konkreten CVSS-Vektor statt nur auf die nackte Zahl, weil zwei identische Gesamtwerte durch völlig unterschiedliche Teilbewertungen bei Angriffskomplexität, benötigten Rechten oder Nutzerinteraktion zustande kommen können.

Beispiel EUVD-Bezeichner mit CVE-Querverweis:
EUVD-2026-19046
  Alternative ID: CVE-2026-XXXXX
  Quelle: Herstelleradvisory + CERT-EU Meldung
  Exploitation-Status: laut ENISA-Aggregation gemeldet

Kosten und Zugang: Was jede Datenbank wirklich kostet

Alle drei Kernsysteme sind für Endnutzer kostenlos zugänglich, das unterscheidet sie fundamental von kommerziellen Threat-Intelligence-Feeds. Der eigentliche Kostenfaktor liegt in der Finanzierung im Hintergrund und in den kommerziellen Zusatzdiensten, die sich rund um die Lücken der öffentlichen Systeme gebildet haben, etwa weil Anbieter wie VulnCheck genau jene Anreicherung anbieten, die der NVD durch den Rückstau fehlt.

System	Zugang für Nutzer	Finanzierung	Kommerzielle Alternative
CVE / NVD	0 €, öffentliche API	US-Bundesvertrag mit MITRE, NIST-Haushalt	VulnCheck, Flashpoint (kostenpflichtige Anreicherung)
EUVD	0 €, öffentliches Web-Frontend und API	ENISA-Budget im Rahmen von NIS2-Umsetzung	bislang keine etablierte Alternative nötig
CISA KEV	0 €, öffentlicher JSON-Feed	US-Bundeshaushalt, CISA-Betrieb	SLA-gestützte Priorisierungsdienste einzelner Anbieter

Die eigentliche Rechnung, die Unternehmen aufmachen sollten, ist also nicht “welche Datenbank kostet was”, sondern “wie viel kostet uns eine verzögerte Anreicherung”. Wenn ein kritischer CVE wochenlang ohne Score in der NVD liegt, während das eigene SOC-Team wartet, ist das ein reales Risiko, das sich in Wiederherstellungskosten nach einem erfolgreichen Angriff niederschlagen kann. Genau deshalb wächst der Markt für kommerzielle Anreicherungsdienste parallel zum NVD-Rückstau, und genau deshalb lohnt sich für größere Organisationen eine Kosten-Nutzen-Rechnung, die den Zeitwert einer schnelleren Bewertung einpreist statt nur die reinen Lizenzkosten zu betrachten. Der Sicherheitsanbieter Rapid7 beziffert den Effekt konkret: Für eine ausgewählte Gruppe hochpriorisierter Lücken ließ sich das Zeitfenster zwischen Veröffentlichung und KEV-Aufnahme durch gezielte Priorisierung von 8,5 auf 5 Tage verdichten, ein Tempo, das ohne zusätzliche Tools kaum erreichbar ist.

Fünf reale Anwendungsfälle aus der Praxis

Wie die drei Systeme im Alltag tatsächlich genutzt werden, zeigt sich am besten an konkreten Situationen aus dem DACH-Sicherheitsalltag.

SOC-Team eines DAX-Konzerns: Statt alle CVEs mit CVSS über 7 zu patchen, filtert das Team zuerst nach Einträgen im CISA-KEV-Katalog und priorisiert diese unabhängig vom Score, weil sie nachweislich aktiv ausgenutzt werden. Erst danach arbeitet das Team die übrigen CVSS-hohen Lücken nach Kapazität ab.
KRITIS-Betreiber unter NIS2: Ein Energieversorger dokumentiert seine Meldepflichten gegenüber dem BSI direkt über EUVD-Einträge, weil diese den EU-regulatorischen Kontext bereits mitliefern und eine Brücke zu CERT-Bund-Meldungen bilden, was den internen Dokumentationsaufwand spürbar reduziert.
Open-Source-Maintainer: Ein deutsches Entwicklerteam erhält für eine Bibliothek eine CVE-Nummer über eine CNA, muss aber feststellen, dass der zugehörige NVD-Eintrag Wochen später immer noch ohne CVSS-Score im Status “Awaiting Analysis” hängt, ein direktes Symptom des 2024 begonnenen Rückstaus, das die eigene Kommunikation an Nutzer erschwert.
Kommerzieller Sicherheitsanbieter: Firmen wie VulnCheck verkaufen eigene Anreicherungsdaten, weil sie erkannt haben, dass Kunden die fehlende NVD-Geschwindigkeit kompensieren müssen, ein direktes Geschäftsmodell rund um die Lücke der öffentlichen Infrastruktur.
Bundesbehörde bei der Patch-Priorisierung: Vor einer Freigabeentscheidung gleicht ein IT-Sicherheitsreferat den Red-Hat-Score von CVE-2026-46068 (5,5) mit dem NVD-Score (7,8) ab und entscheidet sich für die konservativere, höhere Einstufung, um kein Risiko einzugehen.
Pentester im Kundenauftrag: Während eines externen Assessments gleicht ein Dienstleister gefundene Softwareversionen zuerst gegen die KEV-Liste ab, um dem Kunden realistische, belegbare Angriffsszenarien statt theoretischer CVSS-Werte zu präsentieren.
Managed Security Service Provider: Ein MSSP mit mehreren deutschen Mittelstandskunden baut sich ein eigenes Dashboard, das CVE-, EUVD- und KEV-Feeds automatisiert zusammenführt, damit jeder Kunde eine einzige, konsolidierte Prioritätenliste erhält statt drei getrennter Rohdatenquellen.

Die Perspektive aus Deutschland: Was macht das BSI?

Für deutsche Unternehmen stellt sich naturgemäß die Frage, welche Quelle das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Referenz behandelt. Öffentlich verfügbare Belege zeigen, dass BSI und das angeschlossene CERT-Bund in ihren Advisories weiterhin CVE-Nummern als globalen Bezeichner verwenden und diese um eigene, interne Tracking-IDs ergänzen. Eine explizite Aussage des BSI, wonach die EUVD die primäre Referenzquelle gegenüber CVE/NVD werden soll, ließ sich zum Redaktionsschluss nicht verifizieren, entsprechend wird hier keine solche Aussage behauptet. Als Mitgliedstaat der EU ist Deutschland aber Teil des NIS2-Ökosystems, in dem ENISA und damit die EUVD eine zunehmend zentrale Rolle spielt, insbesondere für KRITIS-Betreiber, die unter dem deutschen NIS2-Umsetzungsgesetz (BSIG) melde- und dokumentationspflichtig sind.

Praktisch bedeutet das für Sicherheitsverantwortliche in Deutschland: CVE bleibt der universelle Bezeichner, den man in internen Tickets, Advisories und Kommunikation mit Herstellern nutzt. Die EUVD liefert den regulatorischen Zusatzkontext, den eine reine NVD-Abfrage nicht bietet. Und die KEV-Liste bleibt trotz ihres US-föderalen Ursprungs die praxisnächste Priorisierungsquelle, weil kein anderes System eine vergleichbar kuratierte Auswahl aktiv ausgenutzter Lücken liefert. Wer alle drei Perspektiven im Blick behält, verschafft sich gegenüber Teams, die nur eine Quelle abfragen, einen spürbaren Vorsprung bei der Reaktionszeit.

Für KRITIS-Betreiber kommt ein weiterer Aspekt hinzu: Das deutsche NIS2-Umsetzungsgesetz verschärft die Meldefristen gegenüber dem BSI erheblich, eine erste Meldung ist binnen 24 Stunden nach Erkennen eines erheblichen Sicherheitsvorfalls fällig. Wer dabei bereits auf EUVD-Einträge mit ihrem eingebauten EU-Regulierungskontext zurückgreifen kann, spart in der Praxis wertvolle Zeit gegenüber Teams, die den Bezug zwischen einer rohen CVE-Nummer und den eigenen Meldepflichten erst manuell herstellen müssen.

Fünf Einsatzempfehlungen: Welches System für welchen Zweck

Patch-Priorisierung unter Zeitdruck: CISA KEV zuerst abfragen, weil hier jede gelistete Lücke nachweislich aktiv ausgenutzt wird, unabhängig vom CVSS-Score.
NIS2-Meldepflichten und KRITIS-Dokumentation: EUVD als primäre Quelle, weil sie den EU-regulatorischen Rahmen und CERT-Meldungen direkt mitliefert.
Globale Produktentwicklung und CNA-Mitgliedschaft: CVE/NVD bleibt die Referenz, weil Kunden und Partner weltweit CVE-Nummern erwarten und historische Daten hier am tiefsten reichen.
Große SOC-Teams und MSSPs: Alle drei Quellen per API kombinieren und automatisiert querreferenzieren, statt sich auf eine einzige zu verlassen.
Kleine IT-Teams ohne dedizierte Security-Ressourcen: Kommerzielle Anreicherungsdienste wie VulnCheck in Betracht ziehen, um die NVD-Verzögerung bei kritischen CVEs abzufedern, statt manuell auf Anreicherung zu warten.

Migrationsleitfaden: Von einer Einzelquelle zur Multi-Source-Strategie

Teams, die bislang ausschließlich auf NVD-Feeds setzen, sollten den Umstieg auf eine Multi-Source-Strategie nicht als Big-Bang-Projekt, sondern als schrittweisen Prozess planen. Die folgenden acht Schritte haben sich in der Praxis als sinnvolle Reihenfolge etabliert.

Bestehende Vulnerability-Management-Tools und Feeds inventarisieren und dokumentieren, welche Quelle aktuell welchen Prozessschritt speist, damit später keine Lücke im Datenfluss entsteht.
Zugang zur EUVD-API gemäß der offiziellen ENISA-FAQ einrichten und einen ersten Testlauf gegen bekannte CVE-Nummern aus dem eigenen Bestand fahren, um die Datenqualität selbst zu prüfen.
Den öffentlichen CISA-KEV-JSON-Feed in die bestehende Ticketing- oder SOAR-Pipeline einbinden, unabhängig vom CVSS-Score als eigenes, hartes Alarmkriterium.
Eine Cross-Referenz-Tabelle aufbauen, die CVE-ID, EUVD-ID und KEV-Status je Schwachstelle zusammenführt, damit Analysten nicht drei Systeme einzeln durchsuchen müssen.
Interne Service-Level-Agreements anpassen, sodass KEV-gelistete Lücken unabhängig vom CVSS-Score eine deutlich verkürzte Patch-Frist erhalten.
Das Team auf die neue Struktur schulen, insbesondere darauf, dass ein fehlender NVD-Score seit 2026 kein Hinweis mehr auf geringe Kritikalität ist.
Monitoring und Alerting so konfigurieren, dass Diskrepanzen zwischen Hersteller-Score und NVD-Score, wie im Fall CVE-2026-46068, automatisch markiert und eskaliert werden.
Die Fallback-Strategie testen: Was passiert, wenn eine der drei Quellen kurzfristig ausfällt oder verzögert liefert, wie es der NVD 2024 und MITRE 2025 bereits passiert ist, und ob die eigenen Prozesse diesen Ausfall abfedern können.
Nach drei bis sechs Monaten eine Retrospektive durchführen und prüfen, ob die Kombination aus CVE, EUVD und KEV tatsächlich schnellere Priorisierungsentscheidungen ermöglicht hat, gemessen an der eigenen mittleren Zeit von Veröffentlichung bis Patch-Freigabe.

Vor- und Nachteile im direkten Vergleich

CVE / NVD

Vorteil: Globaler Standard mit über zwei Jahrzehnten historischer Daten.
Vorteil: Breite Werkzeugunterstützung, praktisch jedes Sicherheitsprodukt versteht CVE-IDs.
Nachteil: Rund 29.000 CVEs ohne aktuelle Anreicherung, Stand April 2026, mit sinkender Tendenz bei der Enrichment-Quote.
Nachteil: Abhängig von einem einzelnen US-Bundesvertrag, dessen Fortbestand 2025 kurzzeitig auf der Kippe stand.

EUVD

Vorteil: Direkter NIS2-Kontext für EU-Meldepflichten und KRITIS-Dokumentation.
Vorteil: Aggregiert zusätzliche europäische Herstelleradvisories, die in den USA teils fehlen, und wächst mit rund 207 neuen Einträgen pro Tag sehr schnell.
Nachteil: Noch junges System ohne die historische Tiefe von CVE/NVD.
Nachteil: Abdeckung außerhalb Europas noch nicht vollständig etabliert.

CISA KEV

Vorteil: Kompakte, handhabbare Liste mit rund 1.665 Einträgen statt Zehntausenden.
Vorteil: Jeder Eintrag ist ein belegter Fall aktiver Ausnutzung, keine theoretische Einschätzung, und die Aufnahmezeit hat sich laut VulnCheck von 120 auf 80 Tage verkürzt.
Nachteil: Formal nur für US-Bundesbehörden bindend, keine automatische Gültigkeit in Deutschland.
Nachteil: Erfasst nur einen Bruchteil aller real riskanten Schwachstellen, kein Ersatz für vollständige Bestandsaufnahmen.

Das Fazit: Kein Ersatz, sondern drei Bausteine

Die Datenlage 2026 lässt nur einen Schluss zu: Keines der drei Systeme ersetzt die anderen. CVE/NVD bleibt trotz eines Rückstaus von rund 29.000 unbewerteten Einträgen und einer auf 28 Prozent gesunkenen Enrichment-Quote der globale Bezeichner-Standard, an dem kein Hersteller vorbeikommt. Die EUVD hat sich mit 40.654 Einträgen nach gut vierzehn Monaten Betrieb, fast 50.000 Neuzugängen allein 2025 und dem CVE-Root-Status von ENISA seit August 2026 als ernstzunehmende europäische Ergänzung etabliert, besonders für NIS2-Pflichtige. Und der CISA-KEV-Katalog bleibt mit seinen rund 1.665 kuratierten Einträgen und einer auf 80 Tage verkürzten Reaktionszeit die schärfste Waffe gegen Zeitdruck, weil er die Frage beantwortet, die CVSS-Scores allein nie beantworten können: Wird diese Lücke gerade wirklich angegriffen? Wer 2026 sein Vulnerability-Management professionell aufstellen will, kombiniert alle drei Quellen, statt sich auf eine zu verlassen. Angesichts der Ausfälle und Verzögerungen der letzten zwei Jahre ist das keine Kür mehr, sondern Pflichtprogramm. Teams, die diesen Schritt schon vollzogen haben, berichten übereinstimmend von kürzeren internen Entscheidungswegen, einfach weil ein KEV-Treffer als hartes Kriterium jede Diskussion über einen “eigentlich noch akzeptablen” CVSS-Score erübrigt.

Häufig gestellte Fragen

Ersetzt die EUVD die CVE-Datenbank?

Nein. Die EUVD vergibt zwar eigene Bezeichner im Format EUVD-JJJJ-NNNNN, listet aber vorhandene CVE-Nummern als Alternative ID und aggregiert zusätzlich Herstelleradvisories und CERT-Meldungen. Sie ist eine Ergänzung mit EU-Regulierungskontext, kein Ersatz für den globalen CVE-Standard, und beide Systeme werden inzwischen sogar von derselben Behörde, ENISA, mitbetrieben.

Was bedeutet es, dass ENISA jetzt CVE Root ist?

Seit dem 6. August 2026 kann ENISA CNAs direkt aufnehmen und beaufsichtigen, statt nur eine gewöhnliche CNA unter MITRE zu sein. Zwanzig CNAs hängen aktuell unter ENISA als Root, zwölf neu aufgenommen und acht von MITRE übernommen, was europäischen Herstellern einen direkteren Meldeweg für CVE-Nummern eröffnet.

Warum hat die NVD einen Rückstau bei der Anreicherung?

Seit Anfang 2024 fehlen der NVD Kapazitäten, jeden neuen CVE-Eintrag zeitnah mit CVSS-Score, CPE-Daten und CWE-Klasse zu versehen. Die vollständige Enrichment-Quote fiel von 46,2 Prozent im Jahr 2024 auf 28 Prozent im Jahr 2025. Im April 2026 stellte NIST offiziell auf ein Triage-Modell um, das nur noch KEV-gelistete, bundesstaatliche und als kritisch eingestufte Software priorisiert anreichert. Rund 29.000 CVEs blieben dadurch im Status “Not Scheduled”.

Ist die CISA-KEV-Liste auch für deutsche Unternehmen relevant?

Formal bindend ist die Liste nur für US-Bundesbehörden der zivilen Exekutive. In der Praxis nutzen jedoch auch viele deutsche Sicherheitsteams die Liste als zusätzliches Priorisierungskriterium, weil jeder Eintrag eine belegte, aktive Ausnutzung voraussetzt und damit über eine reine CVSS-Bewertung hinausgeht.

Wie viele CVEs wurden 2025 insgesamt veröffentlicht?

Nach der jährlichen Auswertung des Sicherheitsforschers Jerry Gambin wurden 2025 insgesamt 48.185 CVE-Nummern veröffentlicht, ein neuer Höchststand gegenüber den Vorjahren. Nach Angaben von VulnCheck wurde davon nur rund ein Prozent bis Jahresende nachweislich aktiv ausgenutzt.

Warum unterscheiden sich CVSS-Scores zwischen Hersteller und NVD?

Beide Seiten nutzen dieselbe CVSS-Formel, treffen aber teils unterschiedliche Annahmen zu Angriffsvoraussetzungen und Auswirkungen auf Vertraulichkeit oder Integrität. Bei CVE-2026-46068 etwa vergab Red Hat einen Score von 5,5, die NVD dagegen 7,8 für denselben Eintrag, ein Unterschied von mehr als zwei vollen CVSS-Punkten.

Nutzt das deutsche BSI die EUVD als primäre Quelle?

Eine explizite BSI-Aussage, die EUVD gegenüber CVE/NVD als primäre Referenz einzustufen, ließ sich nicht verifizieren. BSI und CERT-Bund nutzen weiterhin CVE-Nummern in ihren Advisories, während Deutschland als EU-Mitgliedstaat gleichzeitig Teil des NIS2-Ökosystems ist, in dem die EUVD eine wachsende Rolle spielt.

Was kostet der Zugang zu CVE, EUVD und CISA KEV?

Alle drei Systeme sind für Endnutzer kostenlos zugänglich, inklusive öffentlicher APIs beziehungsweise JSON-Feeds. Kosten entstehen erst, wenn Unternehmen zusätzlich kommerzielle Anreicherungsdienste wie VulnCheck oder Flashpoint hinzubuchen, um Verzögerungen bei der NVD-Anreicherung zu kompensieren.

Wie wahrscheinlich ist es, dass eine neue Schwachstelle aktiv ausgenutzt wird?

Eher selten, zumindest gemessen an der Gesamtmenge. Laut VulnCheck wurde nur rund ein Prozent aller 2025 veröffentlichten CVEs bis Jahresende nachweislich ausgenutzt. Selbst bei Lücken mit einem CVSS-Wert von 7 oder höher liegt die beobachtete Ausnutzungsrate laut einer Analyse des Sicherheitsanbieters Mondoo bei nur etwa 2,3 Prozent. Das unterstreicht, warum kuratierte Listen wie CISA KEV für die Priorisierung so viel wertvoller sind als der CVSS-Score allein.