CVE versus KEV: Warum die Wachstumszahlen bei Schwachstellen nicht die ganze Geschichte erzählen

Jedes Jahr veröffentlicht die Cybersicherheitswelt mehr Schwachstellen als je zuvor. Die CVE-Datenbank wächst weiterhin in beeindruckendem Tempo, und Schwachstellen-Scanner melden brav Tausende Befunde in Dashboards auf der ganzen Welt.

Gleichzeitig wächst eine deutlich kleinere Liste, der Known Exploited Vulnerabilities (KEV)-Katalog, wesentlich langsamer.

Das wirft eine wichtige Frage für Sicherheitsteams und Entscheidungsträger auf:

Wenn die Zahl der CVEs jedes Jahr explodiert, warum folgt KEV dann nicht derselben Kurve? Und noch wichtiger: Worauf sollten sich Organisationen wirklich konzentrieren?

Diese Grafik zeigt die auseinanderlaufenden Wachstumskurven der CVE-Datenbank und des Known Exploited Vulnerabilities (KEV)-Katalogs zwischen 2021 und 2025. Während das CVE-Volumen aufgrund des Umfangs der Offenlegungen und der Automatisierung rasant wächst, wächst KEV langsam, da es sich um eine kuratierte Auswahl von Schwachstellen handelt, die tatsächlich aktiv ausgenutzt werden. Dieser Unterschied unterstreicht, warum risikobasierte Priorisierung wichtiger ist als reine Schwachstellenzahlen.

CVE-Wachstum spiegelt Offenlegung wider, nicht Gefahr

Das Common Vulnerabilities and Exposures (CVE)-System wurde nie dafür entworfen, reales Risiko zu messen. Sein Zweck ist Transparenz. Sobald eine Schwachstelle verantwortungsvoll gemeldet und validiert wurde, kann sie eine CVE-Kennung erhalten, unabhängig davon, ob Angreifer jemals Interesse daran zeigen.

Diese Designentscheidung erklärt die steile Wachstumskurve. In den letzten Jahren ist die Zahl der neu veröffentlichten CVEs von rund 20.000 im Jahr 2021 auf über 31.000 im Jahr 2024 gestiegen, und 2025 setzt sich diese Beschleunigung mit mehr als 33.000 veröffentlichten CVEs fort. Das bedeutet, dass die globale Schwachstellenlandschaft nun um rund neunzig neue CVEs pro Tag wächst, die meisten davon lange bevor überhaupt klar ist, ob Angreifer jemals Interesse zeigen werden.

Das anhaltende Wachstum im Jahr 2025 wird größtenteils angetrieben durch stärkere Automatisierung bei der Entdeckung von Schwachstellen, eine wachsende Zahl von CVE Numbering Authorities (CNAs) und mehr Einblick in Supply-Chain- und Cloud-native-Software, statt durch einen plötzlichen Anstieg wirklich neuer Angriffstechniken.

Das CVE-Ökosystem, koordiniert vom CVE Program (https://nvd.nist.gov/general/cve-process), leistet hervorragende Arbeit bei der Katalogisierung von allem, was schiefgehen könnte. Doch diese Vollständigkeit hat ihren Preis: Volumen ohne Priorisierung.

Für Organisationen bedeutet dies oft lange Rückstände bei Schwachstellen, endlose Patch-Zyklen und Dashboards voller „kritischer" Befunde, die möglicherweise nie ausgenutzt werden.

KEV wächst langsam, weil Angreifer selektiv vorgehen

Der Known Exploited Vulnerabilities (KEV)-Katalog existiert aus einem ganz anderen Grund. Er wird von CISA (https://www.cisa.gov/) gepflegt und enthält nur Schwachstellen, die aktiv in freier Wildbahn ausgenutzt werden und durch glaubwürdige Belege gestützt sind.

Das Wachstum des Known Exploited Vulnerabilities-Katalogs erzählt eine ganz andere Geschichte. Seit seiner Einführung im Jahr 2021 ist KEV von rund 300 Einträgen auf etwa 1.200 Ende 2024 gewachsen. Im Jahr 2025 ist der Katalog weiter auf ungefähr 1.350 bekannte, aktiv ausgenutzte Schwachstellen gewachsen. Im Vergleich zu den Zehntausenden von CVEs, die im selben Zeitraum veröffentlicht wurden, macht KEV weiterhin deutlich unter zwei Prozent der gesamten Schwachstellenlandschaft aus, erfasst aber einen unverhältnismäßig großen Anteil der realen Angriffsaktivität.

Dieses langsame Wachstum ist keine Schwäche. Es spiegelt eine grundlegende Wahrheit über Cyberkriminalität wider: Angreifer jagen nicht jeder Schwachstelle hinterher. Sie konzentrieren sich auf das, was zuverlässig, skalierbar und profitabel ist. Sobald ein Exploit funktioniert, wird er meist wiederverwendet, manchmal über Jahre hinweg.

Mit anderen Worten: KEV spiegelt das Verhalten von Angreifern wider, nicht das Volumen der Offenlegungen.

Warum gleiches Wachstum ein Warnsignal wäre

Würde KEV im selben Tempo wachsen wie CVE, wäre das tatsächlich ein Hinweis auf ein Problem. Es würde bedeuten, dass entweder jede Schwachstelle sofort bewaffnet wird (was nicht der Fall ist), oder dass KEV seine Filterwirkung verloren hätte.

CVE beantwortet die Frage „Was existiert?"

KEV beantwortet die weitaus dringendere Frage „Was wird gerade jetzt gegen Organisationen eingesetzt?"

Diesen Unterschied zu verstehen, ist entscheidend für modernes Schwachstellenmanagement.

Unsere Sicht: Theoretische Schwachstellen bedeuten kein reales Risiko

Bei Guardian360 sind wir der Überzeugung, dass Organisationen viel zu viel Zeit damit verbringen, theoretischem Risiko hinterherzujagen.

Traditionelles Schwachstellenmanagement behandelt oft alle CVEs als gleichwertig und stützt sich stark auf CVSS-Werte und rohe Zahlen. Dieser Ansatz wirkt auf dem Papier gründlich, führt in der Praxis aber zu Patch-Müdigkeit, ineffizientem Ressourceneinsatz und einem falschen Gefühl von Kontrolle.

Ein hochkritischer CVE, der nie ausgenutzt wird, stellt nicht dasselbe Risiko dar wie eine moderat bewertete Schwachstelle, die von Angreifern aktiv missbraucht wird. Dennoch priorisieren viele Tools weiterhin Ersteres gegenüber Letzterem.

Deshalb sind wir fest davon überzeugt, dass Organisationen ihren Fokus verlagern sollten von „Wie viele Schwachstellen haben wir?" hin zu „Welche Schwachstellen bedrohen unser Geschäft tatsächlich?"

Wie Guardian360 Lighthouse risikobasierte Priorisierung unterstützt

Die Guardian360 Lighthouse-Plattform basiert genau auf diesem Prinzip. Anstatt Partner und Kunden mit endlosen Schwachstellenlisten zu überfluten, entwickelt sich Lighthouse zu einem risikobasierten Scan- und Priorisierungsmodell.

Durch die Kombination von:

• technischen Schwachstellendaten (CVE),
• Informationen zur Ausnutzung (wie KEV),
• und geschäftlichem Kontext (Relevanz von Assets, Exposition und Auswirkung),

hilft Lighthouse Partnern, Behebungsmaßnahmen dort zu bündeln, wo sie am meisten zählen. Dies passt naturgemäß zu modernen Rahmenwerken wie ISO 27001 und NIS2, die zunehmend risikobasierte Entscheidungsfindung gegenüber reiner Checklisten-Compliance betonen.

Das Ziel sind nicht weniger Scans, sondern klügere Ergebnisse.

Die Wachstumskurven richtig lesen

Der optische Unterschied zwischen den Wachstumskurven von CVE und KEV erzählt eine klare Geschichte. Eine Linie steigt steil an, getrieben von Offenlegung und Transparenz. Die andere steigt langsam, getrieben von bestätigtem Missbrauch in der Praxis.

Diese Lücke ist nicht etwas, das „gelöst" werden muss. Es ist etwas, das genutzt werden sollte.

Denn die Reduzierung von Cyberrisiko bedeutet nicht, alles zu beheben, was schiefgehen könnte, sondern das anzugehen, was tatsächlich schiefgeht.

Abschließender Gedanke

CVE gibt uns Sichtbarkeit.

KEV gibt uns Fokus.

Und risikobasierte Plattformen wie Guardian360 Lighthouse existieren, um diese Lücke zu schließen, damit Organisationen weniger Zeit damit verbringen, auf Störgeräusche zu reagieren, und mehr Zeit darauf verwenden, reales, messbares Risiko zu reduzieren.