---
title: "NIST setzt auf Fokus, vergisst aber, wer wirklich gefährdet ist | Guardian360"
description: "NISTs neuer NVD-Ansatz ist ein logischer Schritt, um die Flut an CVEs in den Griff zu bekommen. Doch durch die Priorisierung von Regierungssoftware droht die Privatwirtschaft ohne die Informationen dazustehen, die sie benötigt."
url: https://guardian360.net/de/blog/nist-chooses-focus-but-forgets-who-is-truly-at-risk/
locale: de
source: guardian360.net
---
[← Alle Beiträge](https://guardian360.net/de/blog)

Sensibilisierung

# NIST setzt auf Fokus, vergisst aber, wer wirklich gefährdet ist

Von Guardian360 · 20. April 2026

**NISTs neuer NVD-Ansatz ist ein logischer Schritt, um die Flut an CVEs in den Griff zu bekommen. Doch durch die Priorisierung von Regierungssoftware droht die Privatwirtschaft ohne die Informationen dazustehen, die sie benötigt.**

| **263%** ANSTIEG DER CVE-MELDUNGEN 2020 BIS 2025 | **42.000** CVES ANGEREICHERT IN 2025, IMMER NOCH NICHT GENUG | **1%** ALLER CVES TATSÄCHLICH IN FREIER WILDBAHN AUSGENUTZT |
| --- | --- | --- |

**E**s hätte längst passieren müssen. Nach Jahren einer anschwellenden Flut an Schwachstellenmeldungen, einem Anstieg der CVE-Meldungen um 263 Prozent zwischen 2020 und 2025, hat das National Institute of Standards and Technology endlich einen entschlossenen Schritt getan. Ab dem 15. April 2026 reichert NIST nur noch CVEs an, die bestimmten Priorisierungskriterien entsprechen: Schwachstellen, die im KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgeführt sind, Software, die innerhalb der US-Bundesregierung verwendet wird, und Systeme, die gemäß Executive Order 14028 als kritisch eingestuft sind. Alle übrigen Meldungen erscheinen weiterhin in der National Vulnerability Database (NVD), werden dort aber als "Not Scheduled" gekennzeichnet. Das ist Bürokratensprache für: rechnen Sie nicht damit.

Als Sicherheitsexperte verstehe ich die Überlegung dahinter. Unsere Branche leidet schon lange an dem, was ich "Signal-Rausch-Überlastung" nenne: eine Lawine an Daten, die analysiert werden muss, wovon der überwiegende Teil keine direkte Relevanz für die Systeme hat, die wir tatsächlich schützen. Untersuchungen von VulnCheck zeigen, dass von den mehr als 40.000 im vergangenen Jahr neu veröffentlichten Schwachstellen nur 1 Prozent, also lediglich 422 CVEs, tatsächlich aktiv ausgenutzt wurde. Sich auf das zu konzentrieren, was wirklich zählt, ist daher durchaus vertretbar.

***"Schwachstellen werden veröffentlicht, aber nicht priorisiert. Das erleichtert Verteidigern das Leben nicht."***

Und dennoch stimmt etwas nicht. Und zwar ziemlich grundlegend.

## **Das Paradoxon der Transparenz ohne Kontext**

NIST veröffentlicht weiterhin alle CVEs, reichert sie aber nicht mehr routinemäßig mit CVSS-Werten, betroffenen Softwarekonfigurationen oder zusätzlichem Kontext an. Das Ergebnis ist ein unbequemer Mittelweg: Schwachstellen werden offengelegt, aber ohne die Orientierung, die Sicherheitsteams brauchen, um zu wissen, was sie damit anfangen sollen. Das ist Transparenz in ihrer hohlsten Form.

Stellen Sie sich einen Arzt vor, der einem Patienten sagt, dass etwas nicht stimmt, sich aber weigert zu sagen, wie ernst es ist, welches Organ betroffen ist oder wie der Behandlungsplan aussieht. "Schreiben Sie uns gerne eine E-Mail, wenn Sie mehr wissen möchten." Genau so fühlt es sich für die Tausenden Organisationen an, die sich bei der Priorisierung von Patches auf die NVD als ihre primäre, maßgebliche Quelle verlassen haben.

Klein- und mittelständische Unternehmen ohne eigenes Security Operations Centre oder teure Threat-Intelligence-Abonnements trifft es am härtesten. Sie verließen sich auf die NVD als kostenlosen Anker. Dieser Anker ist nun losgerissen.

## **Regierung zuerst, was ist mit allen anderen?**

Das zweite Problem betrifft einen grundlegenden Unterschied zwischen der digitalen Realität von Regierungsbehörden und der von Unternehmen und Privatpersonen. Die Prioritäten von NIST sind aus Sicht der nationalen Sicherheit nachvollziehbar: Zuerst schützt man die kritische staatliche Infrastruktur. Doch die Softwareumgebungen eines Gesundheitsdienstleisters, eines Produktionsunternehmens oder eines kleinen Betriebs ähneln kaum der IT-Landschaft der US-Bundesregierung.

Microsoft 365, Google Workspace, weit verbreitete CRM-Plattformen, industrielle Steuerungssysteme in der Fertigung, vieles davon fällt nicht unter die Definition von "kritischer Software" gemäß Executive Order 14028. Eine Schwachstelle in einer weit verbreiteten Cloud-Anwendung, die von KMU genutzt wird, könnte monatelang unangetastet in der Kategorie "Not Scheduled" liegen bleiben, während Angreifer sie bereits aktiv ausnutzen.

Michelangelo Sidagni, CTO bei NopSec, brachte es treffend auf den Punkt: NIST delegiert die Priorisierung faktisch an die CISA, doch der KEV-Katalog der CISA ist bewusst konservativ gehalten. Vergleichende Analysen zeigen, dass KEV derzeit 1.559 Schwachstellen listet, während VulnDB mehr als 7.000 mit bekannter Ausnutzung erfasst. Tausende gefährliche Schwachstellen fallen somit sowohl aus KEV als auch aus dem neuen NVD-Anreicherungsprozess heraus. Für einen Angreifer spielt dieser Unterschied keine Rolle.

## **Das Ende einer einzigen verlässlichen Quelle**

Der breitere Kontext verstärkt die Sorge. Das von MITRE betriebene CVE-Programm, das eigentliche Fundament, auf dem die NVD aufbaut, entging im vergangenen Jahr nur knapp dem Kollaps, als der Vertrag zur Bundesfinanzierung auszulaufen drohte. Die CISA sprang im letzten Moment ein, doch die Fragilität dieser Infrastruktur ist damit offengelegt. Zugleich entwickelt die EU ihre eigene European Vulnerability Database (EUVD), die sich allerdings noch in einem frühen Stadium befindet. Und das explosionsartige Wachstum bei der KI-gestützten Entdeckung von Schwachstellen, FIRST prognostiziert für 2026 einen Rekord von 50.000 neuen CVEs, dürfte die Lage erheblich verschärfen.

Die Ära einer einzigen verlässlichen, öffentlichen Quelle für Schwachstelleninformationen ist endgültig vorbei. Organisationen, die das noch nicht erkannt hatten, werden nun unmittelbar mit dieser Realität konfrontiert.

## **Was muss geschehen?**

Die Kritik an NIST ist berechtigt, doch realistisch betrachtet hatte die Behörde kaum eine Wahl. Bei jedes Quartal neuen Rekorden bei den Meldungen und einer Analysekapazität, die grundsätzlich nicht mithalten kann, war ein Kurswechsel unvermeidlich. Die Richtung, Priorisierung auf Basis des tatsächlichen Risikos, ist im Prinzip die richtige.

Doch die Umsetzung braucht Verfeinerung. Erstens: Die Priorisierungskriterien sind zu eng auf den staatlichen Kontext ausgerichtet. Eine breitere Definition von "hoher Wirkung", die auch die Verbreitung kommerzieller Software berücksichtigt, würde die Realität der Privatwirtschaft besser widerspiegeln. Zweitens: Das Modell "schreiben Sie uns, wenn Sie eine Anreicherung wünschen" ist nicht skalierbar und schafft Ungleichheit. Größere Organisationen wissen, wie und wo sie ihr Anliegen vorbringen können; kleinere wissen das nicht.

Drittens, und vielleicht am dringendsten: Die Branche muss aufhören, sich auf eine einzige öffentliche Datenbank als erste Verteidigungslinie zu verlassen. Quellen zu diversifizieren, kommerzielle Threat Intelligence, branchenspezifische ISACs, Open-Source-Alternativen, ist kein Luxus, sondern eine Notwendigkeit. Sicherheitsexperten, die das bereits wussten, kommen gut durch diesen Übergang. Der Rest hat gerade einen Weckruf erhalten.

***Die Flut irrelevanter Daten war schon immer das Problem. NIST hat das nun offiziell anerkannt. Die Frage ist, ob die gewählte Lösung die richtigen Menschen schützt, oder nur diejenigen mit den richtigen Regierungsverträgen.***

**QUELLEN**

1. NIST, [NVD Updates NVD Operations to Address Record CVE Growth](https://www.nist.gov/news-events/news/2026/04/nist-updates-nvd-operations-address-record-cve-growth) (April 15, 2026)
2. Help Net Security, [NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward](https://www.helpnetsecurity.com/2026/04/16/nist-national-vulnerability-database-nvd-enrichment/) (April 16, 2026)
3. CyberScoop, [NIST narrows scope of CVE analysis to keep up with rising tide of vulnerabilities](https://cyberscoop.com/nist-narrows-cve-analysis-nvd/) (April 17, 2026)
4. Socket.dev, [NIST Officially Stops Enriching Most CVEs as Vulnerability Volume Surges](https://socket.dev/blog/nist-officially-stops-enriching-most-cves) (April 2026)
5. Infosecurity Magazine, [NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities](https://www.infosecurity-magazine.com/news/nvd-enrichment-premarch-2026/) (April 2026)
6. SecureWorld, [The NVD Course Correction: Navigating NIST's Strategic Pivot for 2026](https://www.secureworld.io/industry-news/nist-nvd-course-correction) (April 2026)
7. Dark Reading, [NIST Revamps CVE Framework to Focus on High-Impact Vulnerabilities](https://www.darkreading.com/vulnerabilities-threats/nist-revamps-cve-framework-to-focus-on-high-impact-vulnerabilities) (April 2026)
8. The Hacker News, [NIST Limits CVE Enrichment After 263% Surge in Vulnerability Submissions](https://thehackernews.com/2026/04/nist-limits-cve-enrichment-after-263.html) (April 2026)