USA verlängert entscheidendes Sicherheitsprogramm in letzter Minute

• Die United States Cybersecurity and Infrastructure Security Agency hat die Finanzierung für das Common Vulnerabilities and Exposures Program (CVE) bis zum nächsten Jahr verlängert. Das CVE-Programm spielt eine zentrale Rolle in der globalen Cybersicherheit und wird von MITRE verwaltet. Es gibt Pläne, das CVE-Programm in eine unabhängige Organisation namens CVE Foundation zu übertragen, um seine Nachhaltigkeit zu sichern. Die langfristige Zukunft des CVE-Programms bleibt ungewiss, insbesondere in Bezug auf die Finanzierung und Verwaltung. Forschung und Sicherheitstools weltweit sind stark auf die Informationen des CVE-Programms angewiesen.

In einem letzten, hektischen Bemühen, bevor ein entscheidender Vertrag am Dienstagabend auslaufen sollte, erneuerte die United States Cybersecurity and Infrastructure Security Agency die Finanzierung für das langjährige Projekt zur Nachverfolgung von Software-Schwachstellen, bekannt als das Common Vulnerabilities and Exposures Program. Das von der gemeinnützigen Forschungs- und Entwicklungsgruppe MITRE verwaltete CVE-Programm ist ein zentraler Pfeiler der globalen Cybersicherheit. Es bietet entscheidende Daten und Dienstleistungen zur digitalen Verteidigung und Forschung. Das CVE-Programm wird von einem Verwaltungsrat gelenkt, der MITRE mit Unterstützung von CISA die Agenda und Prioritäten diktiert.

Verlängerung des Vertrags

Ein Sprecher von CISA bestätigte am Mittwoch, dass der Vertrag mit MITRE um elf Monate verlängert wird. „Das CVE-Programm ist von unschätzbarem Wert für die Cyber-Community und eine Priorität für CISA“, erklärte er in einer Stellungnahme. Es wurde der Optionzeitraum im Vertrag ausgeführt, um sicherzustellen, dass es keine Unterbrechung in den kritischen CVE-Diensten geben wird. Dafür zollte man den Partnern und Beteiligten Dank für ihre Geduld. Der Vizepräsident von MITRE und Direktor des Zentrums für Heimatsicherheit, Yosry Barsoum, erklärte, dass von CISA zusätzliche Mittel bereitgestellt wurden, um die Betriebstätigkeit der Programme aufrechtzuerhalten.

Eigenständigkeit des Projekts

Angesichts der nahenden Frist äußerte der Verwaltungsrat des CVE-Programms Pläne, das Projekt in eine eigenständige Organisation namens CVE Foundation zu überführen. Seit seiner Gründung arbeitet das CVE-Programm als ein von der US-Regierung finanziertes Unterfangen, unter vertraglicher Aufsicht und Leitung. Diese Struktur hat einerseits das Wachstum des Programms unterstützt, andererseits aber auch langfristige Besorgnis über die Nachhaltigkeit und Neutralität eines global genutzten Ressourcen hervorgerufen, da es an einen einzigen Regierungssponsor gebunden ist. Die Dringlichkeit dieses Anliegens wuchs nach Erhalt eines Schreibens von MITRE, welches die CVE-Board-Mitglieder darüber informierte, dass die US-Regierung beabsichtigt, ihren Vertrag zur Verwaltung des Programms nicht zu verlängern. In Vorbereitung auf diese Möglichkeit wurden Pläne geschmiedet, sollte dieser Tag tatsächlich eintreffen.

Zukunft in der Schwebe

Es bleibt unklar, wer genau der neuen Initiative zugehörig ist, abgesehen von Kent Landfield, einem langjährigen Mitglied der Cybersecurity-Industrie. CISA reagierte nicht auf Fragen, warum das Schicksal des CVE-Programms ungewiss war und ob es in einem Zusammenhang zu kürzlichen Haushaltskürzungen steht, die von der Trump-Administration angeordnet wurden. Forscher und Cybersicherheitsexperten zeigten sich erleichtert, dass das CVE-Programm nicht abrupt eingestellt wurde, was auf die letzte nicht vorhersehbare Instabilität in der staatlichen Finanzierung der USA zurückzuführen war. Viele äußerten vorsichtigen Optimismus, dass diese Ereignisse letztlich dazu führen könnten, das CVE-Programm resilienter zu gestalten, falls es zu einer unabhängigen Einheit wird, die nicht von der Finanzierung eines einzigen Staates oder einer einzigen Quelle abhängig ist.

Globale Bedeutung

Da die Kosten in die Millionen pro Vertrag gehen, scheint dieses Aufwandsverhältnis gegenüber den immensen Schäden, die ein einzelner Cyberangriff durch unzureichende Software-Sicherheit anrichten könnte, gering. Trotz der letztminütigen Finanzierung durch CISA bleibt die langfristige Zukunft des CVE-Programms ungewiss. Als eine anonyme Quelle, ein Bundesauftragsnehmer, es formulierte: „Es ist sowohl dumm als auch gefährlich.“ Der Schutz, den das CVE-Programm bietet, ist von entscheidender Bedeutung, und es ist im Interesse aller, dass es weiter erfolgreich ist. Organisationen auf der ganzen Welt sowie nahezu jedes Sicherheitstool sind auf diese Informationen angewiesen. Ein Verlust des Programms wäre ein erhebliches Risiko für alle Betroffenen.