Skip to content
Vertrieb kontaktieren Kostenlose Testversion Jetzt kaufen
Entwickler-Blog

Wir gestalten unsere eigene Sicherheitsgeschichte: Nitro wird zur CVE-Nummerierungsstelle (CNA)

Alan Gordon

Director, IT & Security

Wir freuen uns, Ihnen mitteilen zu können, dass Nitro dem Common Vulnerabilities and Exposures (CVE™)-Programm als CVE Numbering Authority (CNA) unter der ENISA-Root, der Agentur der Europäischen Union für Cybersicherheit, beigetreten ist. Es handelt sich um eine Änderung hinter den Kulissen, die jedoch für den Umgang mit und die Kommunikation von Cybersicherheitsproblemen in unseren Produkten von großer Bedeutung ist. Hier erfahren Sie, worum es geht, warum wir diesen Schritt unternommen haben und was dies für unsere Kunden bedeutet.

Zunächst einmal: Was ist ein CVE?

Wenn in einer Software eine Sicherheitslücke entdeckt wird, braucht sie einen Namen, auf den sich alle einigen können. Genau das ist ein CVE-Identifikator (CVE-ID) – eine eindeutige Kennung wie CVE-2026-12345, die Anbieter, Forscher, Sicherheitstools und IT-Teams gleichermaßen verwenden, um dasselbe Problem zu bezeichnen.

Wenn Sie schon einmal einen Schwachstellenscanner genutzt, eine Sicherheitsempfehlung gelesen oder aufgrund einer Meldung in den Nachrichten ein System gepatcht haben, sind Sie wahrscheinlich schon einmal auf eine solche Kennung gestoßen. Mithilfe von CVE-IDs behält die Sicherheitsbranche den Überblick darüber, was entdeckt und was behoben wurde.

Was macht eine CNA?

Eine CVE-Nummerierungsstelle (CNA) ist eine Organisation, die befugt ist, CVE-IDs zu vergeben und entsprechende CVE-Einträge für Sicherheitslücken innerhalb eines definierten Geltungsbereichs zu veröffentlichen. Weltweit gibt es mehr als 550 CNAs, darunter große Softwareanbieter, Sicherheitsunternehmen und nationale CSIRTs.

CNAs sind unter „Roots“ organisiert, die sie rekrutieren, schulen, einarbeiten und unterstützen. Die ENISA wurde im November 2025 zu einer Root, um den Beitrag Europas zum globalen Ökosystem für Sicherheitslücken zu stärken und die Abstimmung darauf zu verbessern; derzeit sind mehr als 20 Organisationen und nationale CSIRTs ihr unterstellt. Nitro gehört nun dazu.

Unser Zuständigkeitsbereich umfasst die eigenen Produkte von Nitro. Das bedeutet, dass wir CVEs für Schwachstellen vergeben und veröffentlichen, die in Nitro-Software gefunden wurden – nicht für Produkte von Drittanbietern.

Warum wir das getan haben

Bisher mussten wir, wenn wir eine CVE für ein Problem in einem Nitro-Produkt benötigten, diese über MITRE CNA-LR beantragen. Da Nitro nun selbst ein CNA ist, haben wir diesen Prozess von Anfang bis Ende selbst in der Hand. Wenn eine Sicherheitslücke bestätigt wird, kann unser Sicherheitsteam sofort eine CVE-ID reservieren, die Veröffentlichung auf die Behebung abstimmen und den CVE-Eintrag selbst verfassen.

Sicherheitsprobleme sind für jedes Softwareunternehmen eine Realität. Was Unternehmen voneinander unterscheidet, ist, wie offen und verantwortungsbewusst sie damit umgehen. Als CNA liegt diese Verantwortung ganz bei uns – wir finden die Schwachstelle, beheben sie und informieren unsere Kunden klar und deutlich darüber, was passiert ist und was zu tun ist. Das bedeutet auch, dass wir Teil eines Netzwerks europäischer CNAs sind, das zunehmend an Bedeutung gewinnt, zusammen mit anderen Organisationen, die die Offenlegung genauso ernst nehmen wie wir.

Was ändert sich für Kunden?

  • Schnellere Informationen: CVEs können zusammen mit unseren Korrekturen veröffentlicht werden, sodass Sie nicht auf einen separaten Prozess warten müssen, um zu erfahren, was sich geändert hat.

  • Nützlichere Einträge: Betroffene Versionen, Schweregrad und Anleitungen zur Behebung stammen direkt von dem Team, das das Produkt kennt.

  • Einfachere Nachverfolgung: Schwachstellenscanner und Sicherheitstools erfassen CVE-Einträge automatisch, sodass Ihr Team Probleme mit Nitro genauso nachverfolgen kann wie alles andere in Ihrer Umgebung.

Was ändert sich für Sicherheitsforscher?

Wenn Sie eine Sicherheitslücke in einem Nitro-Produkt entdecken, arbeiten Sie nun vom ersten Bericht bis zur Veröffentlichung der CVE mit einem einzigen Team zusammen. Unser Programm zur verantwortungsvollen Offenlegung bleibt unverändert: Melden Sie uns die Sicherheitslücke, wir bestätigen und beheben sie, und wir würdigen Ihre Arbeit in dem veröffentlichten Eintrag an der von Ihnen gewünschten Stelle.

Weitere Informationen zu unserem Responsible-Disclosure-Programm finden Sie unter den folgenden Links.

Erfahren Sie mehr