Die wichtigsten Punkte
- Die National Vulnerability Database ist das Verzeichnis der US-Regierung, das öffentlich bekannt gemachte Software- und Hardware-Schwachstellen anhand standardisierter CVE-Kennungen und CVSS-Schweregrade katalogisiert.
- Das NIST richtete die NVD 2005 als Nachfolger des Internet Category of Attack Toolkit ein, das seit 1999 Software-Schwachstellen erfasst hatte.
- Eine Schwachstelle gelangt in die NVD, nachdem sie von der Sicherheitsforschung, einem Anbieter oder einem Entwicklungsteam gemeldet wurde, MITRE eine CVE-Kennung vergeben hat und das NIST den Eintrag geprüft und mit einem Schweregrad versehen hat.
- Im April 2026 stellte das NIST die NVD auf ein risikobasiertes Anreicherungsmodell um: Priorisiert werden Schwachstellen aus dem Known-Exploited-Vulnerabilities-Katalog der CISA, Software von US-Bundesbehörden und kritische Software, statt des gesamten Katalogs eingereichter Meldungen.
- IT-Teams sollten sich nicht allein auf die NVD verlassen, da es zu Datenverzögerungen und lückenhafter Abdeckung kommen kann, und sie stattdessen durch weitere Quellen für Bedrohungsinformationen ergänzen.
Die National Vulnerability Database (NVD) ist eine von der US-Regierung bereitgestellte Informationsquelle, die Sicherheitsschwachstellen in einem standardisierten, durchsuchbaren Format katalogisiert. Sie umfasst Datenbanken zu Software- und Hardware-Produkten, deren bekannten Sicherheitslücken (einschließlich Fehlkonfigurationen) sowie deren Schweregrad und Auswirkungen. Für IT-Fachleute ist die NVD eine wichtige Ressource, um über mögliche Sicherheitsprobleme in ihrer IT-Infrastruktur auf dem Laufenden zu bleiben.
Dieser umfassende Leitfaden erklärt die National Vulnerability Database und ihre Bedeutung für die Cybersicherheit. Sie erhalten eine Übersicht über ihre Funktionsweise und erfahren, wie Sie sie im IT-Sicherheitsbetrieb nutzen, um Schwachstellen in Ihrer Software und Ihren Systemen zu bewerten, zu klassifizieren und zu beheben.
Schwachstellen mühelos erkennen, verwalten und beheben.
📝 Melden Sie sich für eine kostenlose Testversion von NinjaOne Vulnerability Management an.
Was ist die National Vulnerability Database? Aufbau und Komponenten der NVD
Die National Vulnerability Database wurde 2005 als US-finanzierter Nachfolger des Internet Category of Attack Toolkit (ICAT) eingerichtet, das seit 1999 Software-Schwachstellen katalogisiert hatte. Stand August 2026 hat die NVD über 374.000 Schwachstellen dokumentiert, und die Zahl der Entdeckungen steigt weiterhin rasant.
Die NVD basiert auf einer Datenbank mit Schwachstellen und betroffenen Produkten. Ihre wichtigsten Komponenten und Funktionen sind:
- Schwachstellen: Dazu gehören auch Informationen zu konkreten Produkten und Software-Versionen sowie die Allgemeinen Schwachstellen und Sicherheitslücken (CVE) für jede Schwachstelle. Produkte werden über ihre Common Platform Enumeration (CPE) eindeutig identifiziert.
- Schweregrade und Auswirkungsmetriken: Common Vulnerability Scoring System (CVSS)-Werte und Auswirkungsmetriken geben Aufschluss über den Schweregrad und die möglichen Folgen einer Schwachstelle, einschließlich der Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Produkts.
- Empfehlungen zur Minderung: Zu jeder Schwachstelle nennt die NVD empfohlene Maßnahmen, mit denen Sie die Schwachstelle entweder beseitigen (etwa durch einen Software-Patch oder eine Konfigurationsänderung) oder durch zusätzliche Konfiguration bzw. Schutzmaßnahmen eindämmen.
Die NVD bietet Such- und Filterfunktionen, mit denen Sie Ihre Geräte und Software auf Schwachstellen prüfen können, die eine Minderung oder Patching erfordern. Zusätzlich stellt die NVD ein durchsuchbares Repository mit Checklisten bereit: Richtlinien und Best Practices für bestimmte Produkte, mit denen Sie Ihre IT-Infrastruktur besser vor bekannten Angriffsvektoren schützen.
So geht die NVD Cybersicherheitsrisiken an
Damit eine Schwachstelle in die NVD aufgenommen wird, muss sie zunächst entdeckt werden, etwa von Sicherheitsforscher:innen, einem Anbieter oder Entwickler:innen, die ein Problem im eigenen Produkt feststellen. Manchmal meldet auch eine Endbenutzerin oder ein Endbenutzer eine Sicherheitslücke in einem Gerät oder einer Software.
Potenzielle Schwachstellen werden anschließend gemeldet und erhalten eine eindeutige ID in der CVE-Datenbank, über die das Problem nachverfolgt wird. Diese Meldung sollte Details zur Schwachstelle enthalten: welche Produkte betroffen sind, welche Auswirkungen ein Exploit hat und welche Gegenmaßnahmen bereits bekannt sind. Sobald ein CVE angelegt wurde, prüft die National Vulnerability Database den Eintrag, bestimmt den Schweregrad, vergibt einen CVSS-Wert und veröffentlicht ihn in ihrer Online-Datenbank.
Die NVD für Schwachstellenbewertung und -management nutzen
Um IT-Sicherheitsschwachstellen zu managen und zu mindern, können Sie in der NVD nach relevanten Bedrohungen suchen, entweder manuell oder mithilfe von Automatisierung und Sicherheitsprodukten, die Daten aus CVE und NVD beziehen.
Sie erreichen die National Vulnerability Database über die Website nvd.nist.gov und können dort nach relevanten Schwachstellen anhand von CVE oder CPE suchen oder Checklisten aufrufen, mit denen Sie die Sicherheitskonfiguration der von Ihnen eingesetzten Software verbessern.
Aufbauend auf der Best Practice, regelmäßig Netzwerk-Mapping und Schwachstellenbewertungen durchzuführen, können Sie die Prüfung der NVD in Ihre routinemäßigen Netzwerk-Mapping-Aufgaben einbinden. So stellen Sie sicher, dass alle Geräte in Ihrem Netzwerk vollständig gegen bekannte Bedrohungen gepatcht sind oder dass ungepatchte Bedrohungen wirksam eingedämmt werden (z. B. durch zusätzliche Firewall-Regeln für bestimmte Endpunkte).
Beispielsweise könnten Sie Legacy-Hardware betreiben (etwa teure oder schwer zu ersetzende Industrie- oder Medizingeräte), die eine bestimmte Software-Version benötigt, welche die NVD als unsicher kennzeichnet. Sobald die Bedrohung erkannt ist, können Sie das Gerät isolieren, bei Bedarf nur sicheren Fernzugriff zulassen und seinen Zugriff auf das restliche Netzwerk bzw. das Internet einschränken. So nutzen Sie das System weiter, ohne sich einer bekannten Angriffsmethode auszusetzen.
Herausforderungen und Grenzen der NVD für die IT-Sicherheit
Sie können sich nicht allein auf die NVD verlassen, wenn es um Informationen zu Ihrer IT-Sicherheitslage geht. Ihre Infrastruktur ist eine einzigartige Mischung aus Hardware und Software, jeweils mit eigenen Konfigurationsherausforderungen und Sicherheitsschwachstellen, von denen manche weitere Lücken erst ermöglichen.
Auch ist die National Vulnerability Database nicht vollständig. Sie enthält nicht jede existierende Schwachstelle und kann das auch gar nicht, insbesondere nach den Änderungen an den NIST-Prozessen im Jahr 2026. Viele Schwachstellen bleiben unentdeckt (und werden nicht ausgenutzt), während Bedrohungsakteure Schwachstellen finden können, die sie nicht offenlegen und daher aktiv ausnutzen.
Deshalb ist es wichtig, auf eine robuste Bedrohungserkennung und -reaktion zu setzen und regelmäßig Schwachstellen zu bewerten und zu mindern, idealerweise mit Tools, die unterschiedliche Informationsquellen nutzen und Heuristiken einsetzen, um potenziell schädlichen Code oder verdächtiges Verhalten zu erkennen.
Wie aktuell sind die NVD-Daten im Jahr 2026?
Im April 2026 hat NIST die Verarbeitung neuer Schwachstellen umgestellt. Angesichts eines Rekordvolumens an CVEs reichert die NVD nicht mehr jede Einreichung mit einem CVSS-Wert und einer Liste betroffener Produkte an. Stattdessen priorisiert sie Schwachstellen aus dem Known Exploited Vulnerabilities (KEV) Catalog der CISA, Software, die von der US-Bundesregierung eingesetzt wird, sowie Software, die unter die Definition kritischer Software der Executive Order 14028 fällt. Alles Übrige wird zwar veröffentlicht, aber mit „Lowest Priority, not scheduled for immediate enrichment“ gekennzeichnet und erhält unter Umständen überhaupt keinen CVSS-Wert.
Das bedeutet: Der NVD-Eintrag zu einem bestimmten CVE kann nur grundlegende Angaben ohne Schweregrad enthalten, vor allem bei Einträgen, die vor dem 1. März 2026 veröffentlicht wurden und keiner Prioritätskategorie entsprachen.
Ist die NVD weiterhin verlässlich? Und welche Alternativen gibt es?
Das CVE-Programm, das die NVD speist, geriet im April 2025 selbst in finanzielle Turbulenzen, als der Vertrag von MITRE mit dem Department of Homeland Security beinahe ausgelaufen wäre. Die CISA verlängerte die Finanzierung in letzter Minute, und eine Gruppe von CVE-Board-Mitgliedern gründete als Absicherung die gemeinnützige CVE Foundation. Stand 2026 hat die CISA die weitere Finanzierung des Programms bestätigt.
Unternehmen außerhalb der USA haben zudem eine Alternative: die EU Vulnerability Database (EUVD), die von der ENISA betrieben wird und seit Mai 2025 im Rahmen der NIS-2-Richtlinie der EU verfügbar ist. Sie verweist auf dieselben CVE-Kennungen und bietet europäischen Unternehmen damit eine regional verwaltete Option neben der NVD.
Erkennen Sie Schwachstellen mit NinjaOne, bevor sie zum IT-Problem werden.
Die Zukunft der National Vulnerability Database
Die Rolle der National Vulnerability Database hat sich weiterentwickelt und gefestigt, insbesondere durch die jüngsten Prozessänderungen bei NIST und das Aufkommen KI-gestützter Erkennungs- und Reaktionsmethoden, die Threat Intelligence verarbeiten und automatisiert Gegenmaßnahmen entwickeln und bereitstellen können, die am besten zur jeweiligen Betriebsumgebung passen. Das ist besonders wertvoll angesichts komplexer KI-gestützter Bedrohungen, die auf dieselben Technologien setzen.
Bei allem Gesagten gilt: Die NVD ist eine gute Grundlage, aber nicht mehr vollständig und sollte nur als eine von mehreren Datenquellen für das Schwachstellenmanagement dienen. Wenn Sie Software für Endpunkt-Management und -Schutz einsetzen, achten Sie darauf, dass sie genügend Transparenz bietet, um neuartige Bedrohungsvektoren schnell und eindeutig zu erkennen.
Sie möchten besser verstehen, ‚Was ist die National Vulnerability Database?‚ Sehen Sie sich diesen kurzen Video-Leitfaden an.
