Wibu-Systems ist als CVE Numbering Authority (CNA) dem CVE-Programm beigetreten
Wibu-Systems ist nun Partner des globalen Common Vulnerabilities and Exposures (CVE)-Programms geworden und als CVE Numbering Authority (CNA) unter der ENISA-Root anerkannt. Seit August 2026 ist das Unternehmen berechtigt, für Schwachstellen, die seine Produkte betreffen, CVE-IDs zu vergeben und entsprechende Einträge zu veröffentlichen.
Der CNA-Status ist für die technologische Mission von Wibu-Systems von besonderer Bedeutung. Als zentrale Plattform schützt CodeMeter Software und digitales geistiges Eigentum vor Reverse Engineering, Piraterie, unbefugter Nutzung und Manipulation. Die Technologie vereint Code-Verschlüsselung, Integritätsschutz, sichere Schlüsselverwaltung, Zugriffskontrolle und Lizenzdurchsetzung – sowohl für Desktop-Anwendungen, Cloud-Dienste, Embedded-Geräte als auch industrielle Systeme.
Da CodeMeter ein integraler Bestandteil der Produkte, Geschäftsprozesse und softwarebasierten Geschäftsmodelle seiner Kunden sein kann, ist ein konsequentes Schwachstellenmanagement über den gesamten Produktlebenszyklus hinweg unerlässlich. Die eindeutige Identifizierung, technische Bewertung, Behebung und koordinierte Offenlegung von Schwachstellen ergänzen die in CodeMeter integrierten Schutzmechanismen und tragen zu einem ganzheitlichen Sicherheitsansatz bei.
„CodeMeter wurde entwickelt, um Software, digitale Assets und die darauf basierenden Geschäftsmodelle zu schützen. Die Sicherheit unserer eigenen Technologie und unser professioneller Umgang mit potenziellen Schwachstellen sind daher zentrale Bestandteile des Mehrwerts, den wir unseren Kunden bieten“, so Alvaro Forero, Leiter des Product Security Incident Response Teams (PSIRT) und Sicherheitsexperte bei Wibu-Systems.
„Als CVE Numbering Authority können wir CVE-IDs für unsere Produkte nun direkt in unseren etablierten Prozess zur Behandlung von Schwachstellen integrieren. Das schafft für Kunden, Wissenschaftler, Produktteams und weitere Experten eine präzise und weltweit anerkannte Referenz und erleichtert die koordinierte Kommunikation und Behebung eines Sicherheitsproblems.“
Das CVE-Programm stellt ein international anerkanntes System zur einheitlichen Identifizierung, Beschreibung und Klassifizierung öffentlich bekannt gewordener Cybersicherheitslücken bereit. Jede Schwachstelle erhält eine eindeutige CVE-ID, die in Herstellerhinweisen, Schwachstellendatenbanken, Sicherheitstools, Softwareinventaren und Kundenprozessen zur Behebung von Schwachstellen verwendet werden kann.
Als CVE Numbering Authority ist Wibu-Systems innerhalb seines festgelegten Zuständigkeitsbereichs direkt dafür verantwortlich zu prüfen, ob eine gemeldete Schwachstelle die CVE-Kriterien erfüllt, die entsprechende CVE-ID zu vergeben sowie den zugehörigen CVE-Eintrag zu erstellen und zu pflegen. Damit müssen CVE-IDs nicht mehr bei einer anderen CNA angefordert werden. Zugleich wird ihre Vergabe enger mit der technischen Analyse durch das PSIRT von Wibu-Systems und den zuständigen Produktteams verknüpft.
Vom Schwachstellenbericht zur koordinierten Offenlegung
Die Rolle als CVE Numbering Authority ist in einen etablierten Prozess für das Schwachstellenmanagement eingebettet. Wibu-Systems nimmt Meldungen zu seinen Produkten entgegen, analysiert sie, bewertet ihre potenziellen Auswirkungen, koordiniert die Behebung und Offenlegung und veröffentlicht anschließend entsprechende Sicherheitshinweise. Je nach Art und Umfang der Schwachstelle können diese Hinweise betroffene und korrigierte Produktversionen nennen, den Schweregrad und die Klassifizierung der Schwachstelle angeben sowie Updates, Gegenmaßnahmen oder weitere empfohlene Schritte beschreiben.
CVE-Einträge und Sicherheitshinweise von Wibu-Systems ergänzen sich dabei. Der CVE-Eintrag stellt die standardisierte Kennung und eine prägnante Beschreibung der Schwachstelle bereit – Informationen, die vom gesamten Cybersicherheitsökosystem benötigt werden. Der Sicherheitshinweis von Wibu-Systems liefert den produktspezifischen technischen Kontext, den Kunden benötigen, um zu beurteilen, ob sie betroffen sind und welche Maßnahmen sie ergreifen sollten.
Diese Kombination ist für die vielfältigen Einsatzszenarien von CodeMeter von besonderer Bedeutung. Je nach betroffener Komponente oder Version, verwendetem Lizenzcontainer, Betriebsumgebung, möglichem Angriffsvektor und erforderlicher Zugriffsebene kann eine Schwachstelle unterschiedlich zu bewerten sein. Durch die Verknüpfung standardisierter CVE-IDs mit detaillierten produktspezifischen Sicherheitshinweisen kann Wibu-Systems diese Unterschiede transparent darstellen, ohne die Komplexität der technischen Zusammenhänge auf eine ID oder einen einzelnen Schweregrad zu reduzieren.
Wibu-Systems ist als CNA der ENISA-Root zugeordnet. Die Europäische Agentur für Cybersicherheit (ENISA) ist damit innerhalb des CVE-Programms der direkte Ansprechpartner von Wibu-Systems. Sie unterstützt das Unternehmen bei der Einhaltung der operativen Regeln und Prozesse sowie des festgelegten Geltungsbereichs des Programms.
