News Cybersicherheit: USA setzen Finanzierung des CVE-Programms doch fort

[knoxxi]

einer "Karen Sm..." ach nee, ne Frau in der Führung wäre ja auch wieder woke...

Dann dürfen wir „Space Karen“ aka „Keta Karen“ also canceln? 👉👈

 

[Avatoma]

Na und? Dann muss das halt mal die EU oder so übernehmen, Geld genug ist ja da. Muss man das halt mal in solche Projekte stecken und nicht in irgendwelche Doldis, die sich crap wie CSRD etc. ausdenken.

 

[wertzuiop123]

Klar wäre es ideal, wenn Firmen ihre Sicherheitslücken selbst ernst nehmen und professionell managen würden. Aber Realität ist: Viele tun’s nicht, entweder aus Ignoranz, Kostendruck oder weil Security halt keinen direkten Umsatz bringt. Genau da kommt ein zentrales CVE-System ins Spiel – nicht weil’s perfekt ist, sondern weil’s überhaupt funktioniert.

Wenn jetzt die USA sagen, sie zahlen das nicht mehr – okay. Kann man vertreten. Aber dann muss halt jemand anders übernehmen. Einfach zu sagen "Sollen die Firmen doch selber machen" funktioniert halt nur, wenn man davon ausgeht, dass alle freiwillig investieren. Und das tut eben nicht jeder. Frag mal, wie viele Firmen heute noch XP-Kisten irgendwo im Netzwerk haben…

Am Ende profitiert die ganze Welt von dem System – auch deutsche Mittelständler, Behörden, Unis, Krankenhäuser. Wer das nur als "US-Subvention" sieht, denkt zu kurz. Und wenn die USA aussteigen: Dann wäre es gut, wenn die EU oder internationale Partner übernehmen – sonst wird die Lücke größer, nicht kleiner.

 

[Kuristina]

Warum die Aufregung hierzu?

Weil es eine Handlung der neuen US-Administration ist. Das allein triggert viele ganz automatisch. Ich würde wetten, die meisten haben vom CVE-Programm vorher noch nie was gehört.

Davon ab, es war ein Vertrag, den man einfach nicht verlängern wollte. Es besteht keine Verpflichtung, Verträge bis zur Endzeit weiterführen zu müssen. Das darf man selber frei entscheiden. Sowas gibts tatsächlich.

 

[Land_Kind]

Irgendwann wird rauskommen, dass Donal Trump ein Trojanisches Pferd des Комитет государственной безопасности ist.

 

[konkretor]

@mischaef es ist eine Lösung gefunden worden

https://www.bleepingcomputer.com/ne...-to-ensure-no-lapse-in-critical-cve-services/

 

[Kilinari]

Weiß einer um wie viel Geld das bei der Finanzierung überhaupt geht? Wie viel kostet ein Jahr MITRE? Da stehen nirgends mal Zahlen dahinter...

 

[wertzuiop123]

@Kilinari Mit dem jetzt auslaufenden Jahresvertrag hat MITRE offenbar knapp 28 Millionen US-Dollar erhalten, wovon ein Teil für CVE vorgesehen war. Warum der Vertrag laut MITRE am Mittwoch endet, laut Eintrag auf einer Webseite der US-Regierung jedoch erst kommende Woche, ist heise online nicht bekannt.

2018 hat CSO berichtet, dass sich der CVE-Anteil des Vertrags 2006 auf 1,2 Millionen US-Dollar belaufen habe und 2016 auf vier Millionen Dollar gesteigert worden sei. Inzwischen dürfte der Betrag deutlich höher sein.

Quelle: heise

Ergänzung (16. April 2025)

Aufregung umsonst

"Update Apr. 16 at 08:20 EST: In an eleventh hour turnaround, the U.S. Cybersecurity and Infrastructure Security Agency said it had extended the contract with MITRE.“

https://www.forbes.com/sites/kateof...unding-cut-what-it-means-and-what-to-do-next/

 

[Molokai]

Hoffe die Europäische CVE startet bald.

Heise: Bereits im Juni 2024 kündigte ENISA (European Network and Information Security Agency) an, sie arbeite im Einklang mit der NIS2-Richtlinie an einer eigenen Schwachstellendatenbank namens European Vulnerability Database. Anfang April war die Datenbank dann überraschend online – jedoch nur für wenige Stunden. Auf Nachfrage durch heise security antwortete eine ENISA-Sprecherin damals, es habe sich um einen Funktionstest während der Entwicklung gehandelt.

 

[SSD960]

Der weiß nicht was er tut. Und wir müssen daß noch fast 4 Jahre ertragen. Das sich das die Amerikaner gefallen lassen ist erstaunlich.

 

[lynx007]

muss man die Firmen nicht mehr zwingen Backdors einzubauen. Also WIn/Win quasi. Und das schönste daran, diese non-public backdoors funktionieren endlich auch in peking, moskau und brüssel!

 

[mischaef]

Artikel-Update: Zur Überraschung vieler hat die US-Regierung die Finanzierung der globalen Datenbank für Sicherheitslücken wieder aufgenommen. Die Zusage erfolgte laut Forbes buchstäblich in letzter Minute. Das CVE-Programm sei für die Cyber-Gemeinschaft von unschätzbarem Wert und stelle eine Priorität der CISA dar, erklärte ein Sprecher der Behörde. „Gestern Abend hat die CISA die Optionsfrist für den Vertrag verlängert, um sicherzustellen, dass die kritischen CVE-Dienste nicht unterbrochen werden“, erklärte ein Sprecher per E-Mail weiter. Angaben darüber, wie lange die Finanzierung des Programms gesichert ist, wurden nicht gemacht.

Wie übereinstimmende Medienberichte zudem vermelden, hat die ENISA (European Network and Information Security Agency) die Differenzen zwischen der US-Regierung und MITRE sowie die daraus resultierende Gefahr zum Anlass genommen, die seit Juni 2024 angekündigte eigene Schwachstellen-Datenbank European Vulnerability Database scharf zu schalten. Dadurch wurde eine weitere Archivierungsstelle für Sicherheitslücken geschaffen.

 

[Ostfriese]

Das nun normale Chaos der Trump-Regierung... ?/!

 

[knoxxi]

Verlässlichkeit der Aussagen wären ja total uncool.

 

[Randnotiz]

Ist das jetzt so das neue Stilmittel? Drohen, dann Hahn abdrehen, dann weitermachen, wie gehabt?

 

[Schinken42]

Du meinst den absolut dilletantischen Abzug aus Afghanistan? Ja... auch so ein gutes Beispiel fuer das voellig ueberstuertzte ungeplante Handeln der aktuellen US Regierung.

Der Abzug war 2021.
Wikipedia dazu:
"Hatte US-Präsident Joe Biden in den ersten Monaten seiner Präsidentschaft angekündigt, die US-Streitkräfte bis zum 11. September 2021 aus Afghanistan abgezogen zu haben, gab er im Juli 2021 bekannt, dass die Streitkräfte bis zum Monatsende August aus Afghanistan abgezogen sein sollen."

Ich mein, bei den Fakten darf man schon bleiben. Sonst gibt man den ganzen MAGA-Faschos nur Argumente, von denen sie sonst nicht viele haben.

 

[Ranayna]

@Schinken42 Ja, ich muss das oben noch berichtigen. Ich hatte das tatsaechlich falsch in Erinnerung. Was aber generell kein gutes Licht auf die paar letzten US Praesidenten wirft

 

[Weyoun]

Verlässlichkeit der Aussagen wären ja total uncool.

Genau deshalb werden sich ausländische Unternehmen hüten, neue Werke in den USA zu bauen. Wenn die Verlässlichkeitszeit bei unter 24 Stunden liegt, wie will man da Fabriken planen und bauen, was einen Zeitraum von um die 3 Jahren hat?

 

[u-blog]

Das nun normale Chaos der Trump-Regierung... ?/!

Du verstehst es halt nicht.

Wenn Trump Aktion X macht, ist das ein absoluter Geniestreich. Wenn er sie dann zurücknimmt, ist das der nächste Geniestreich. Wenn er dann die Rücknahme zurücknimmt, ist das der nächste Geniestreich.

Während du und ich sabbernd vor den Mau-Mau-Karten sitzen, spielt Trump 5d Schachzüge, die wir nichtmal in unseren kühnsten Träumen zu verstehen fähig wären.

 

[netzgestaltung]

Was aber generell kein gutes Licht auf die paar letzten US Praesidenten wirft

hat ja hoffentlich eh niemand behauptet, dass dies nun die besten präsis aller zeiten gewesen wären... aber deswegen gilt nicht immer gleich das gegenteil, sondern es gibt abstufungen sowie licht/schatten. derzeit ist halt eher schattenwandeln...