Zur Ankündigung des MITRE, die CVE-Datenbank offline zu nehmen, da die finanzielle Unterstützung der US-Regierung beendet wurde, erklärte eco Vorstand Klaus Landefeld: „Aus unserer Sicht ist es sehr bedauerlich, dass die US-Regierung das Funding für CVE-Projekt des MITRE abrupt einstellt. Das CVE ist ein wichtiger Baustein für Sicherheit in Software und Produkten, auf das sich Unternehmen weltweit verlassen.“
Der Verband der Internetwirtschaft unterstützt daher Rettungsinitiativen wie die CVE-Stiftung, die ihre bereits seit längerem geplante Gründung vorgezogen hat und künftig regierungsunabhängig arbeiten will. Eine unterbrechungsfreie Sicherstellung des CVE-Systems sei für die Informationssicherheit der Mitgliedsunternehmen des eco von unschätzbarer Bedeutung, betont Landefeld. „Wir hoffen, dass die Übergangsphase möglichst kurz und ohne größere Zwischenfälle verläuft und dass US-Behörden sich bei der Ausgestaltung dieser Übergangsphase eng mit MITRE austauschen und beispielsweise eine Übergangsregelung finden“, so Landefeld weiter.
Der Verband befürchtet, dass die Einstellung der Datenbank für Unternehmen und die öffentliche Verwaltung zu einer Herausforderung werden könnte. „Es sind bereits entsprechende Maßnahmen in Vorbereitung. Diese aber beziehen sich teilweise auf das CVE-Projekt und gehen so ins Leere, oder benötigen deutlich mehr Zeit, um wirksam werden zu können“, erklärt Landefeld.
Cybersicherheit ist für eco primär eine Aufgabe, die Unternehmen, Staat und Nutzer:innen nur gemeinschaftlich herstellen können, wenn alle Beteiligten gemäß ihren Kapazitäten, Möglichkeiten und Befugnisse einbringen. Die Identifizierung und Beseitigung von Sicherheitslücken in Software und IT-Produkten ist ein wichtiger Baustein für Vertrauen und Sicherheit im Netz. Mit dem CVE-Projekt hat eine weltweit einzigartige Datenbank existiert, die diese Sicherheitslücken katalogisiert und so Unternehmen die Möglichkeit gegeben hat, systematisch dagegen vorzugehen. Der Wegfall der Datenbank lässt Unternehmen im Unklaren darüber, ob ihre Sicherheitslücken bereits andernorts bekannt sind und bekämpft werden. Entsprechende Projekte bei der EU-Sicherheitsbehörde ENISA sind bereits angestoßen, werden aber noch einige Monate benötigen, bis sie wirksam sind.
