NVD
US-amerikanische Schwachstellendatenbank
National Vulnerability Database (USA)
Die NVD ist die vom Vereinigte Staaten von Amerika (US)-amerikanischen US-Institut für Standards und Technologie (NIST) betriebene Schwachstellendatenbank, die Allgemeine Schwachstellen und Risiken (CVE)-Einträge um Bewertungen, Produktzuordnungen (CPE) und Klassifikationen (CWE) anreichert. Sie war über Jahre die globale Standardreferenz für angereicherte Schwachstellendaten. Seit 2024 kämpft sie jedoch mit einem erheblichen Bearbeitungsrückstand.
Historie & Fakten. Die NVD wurde 2005 etabliert und lieferte zu Allgemeine Schwachstellen und Risiken (CVE)-Einträgen die maschinell nutzbare Anreicherung — Allgemeines Schwachstellen-Bewertungssystem (CVSS)-Werte, betroffene Konfigurationen, Schwächen-Klassen. Ab Anfang 2024 entstand ein wachsender Rückstand, ausgelöst durch einen Wechsel beim Bearbeitungs-Dienstleister und eine zwischenzeitliche Förderlücke; bis Ende 2025 wuchs der Stau auf über 27.000 unbearbeitete Einträge. Im April 2026 stellte das US-Institut für Standards und Technologie (NIST) auf ein risikobasiertes Modell um: Vorrangig angereichert werden nur noch Schwachstellen aus dem Katalog bekannter ausgenutzter Schwachstellen (KEV)-Katalog, in Bundessoftware oder in als kritisch eingestufter Software; ältere unbearbeitete Einträge gelten als „nicht eingeplant“.
Ausblick & Empfehlung. Die NVD-Krise markiert eine Zeitenwende: Wer seine Priorisierung allein auf NVD-Anreicherung stützte, hat nun eine Lücke. Zunehmend liefern die CNAs ihre Allgemeines Schwachstellen-Bewertungssystem (CVSS)-Werte selbst, und ergänzende Quellen wie die EUSD-nahe Schwachstellendatenbank der Europäischen Union (EUVD) oder System zur Vorhersage von Exploit-Wahrscheinlichkeiten (EPSS) gewinnen an Bedeutung. Die Konsequenz für die Praxis: Schwachstellenmanagement darf nicht von einer einzelnen, staatlich finanzierten Quelle abhängen — Mehrquellen-Anreicherung und eigene Kontextbewertung werden zur Pflicht.