CWE
Klassifikations-Schema für Software-Schwachstellen
Common Weakness Enumeration
CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine Allgemeine Schwachstellen und Risiken (CVE) eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse. So lässt sich von der Einzellücke zur eigentlichen Ursache und damit zur Vermeidung kommen.
Historie & Fakten. CWE wird wie Allgemeine Schwachstellen und Risiken (CVE) von MITRE gepflegt und unterliegt demselben staatlichen Förderrahmen. Der Katalog ordnet Schwächen hierarchisch und gruppiert sie in Sichten — am bekanntesten ist die jährlich aktualisierte „CWE Top 25 Most Dangerous Software Weaknesses“, die die in der Praxis folgenreichsten Fehlerklassen priorisiert. Jede CVE kann einer oder mehreren CWEs zugeordnet werden, was Mustererkennung über viele Einzelfälle hinweg ermöglicht.
Ausblick & Empfehlung. Für Entwicklung und Beschaffung ist CWE wertvoller als jede einzelne Allgemeine Schwachstellen und Risiken (CVE)-Liste, weil es auf die Ursache statt auf das Symptom zielt: Wer eine bestimmte CWE-Klasse systematisch ausschließt, schließt zugleich künftige, noch unentdeckte CVEs derselben Art aus. In Secure-Coding-Vorgaben und der Konformitätsbewertung unter dem EU-Cyberresilienz-Verordnung (Verordnung 2024/2847) (CRA) ist die Ausrichtung an CWE-Top-Klassen ein pragmatischer Startpunkt.