Die aktuellen Sicherheitslücken „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619) zeigen, wie wichtig ein abgestimmter Umgang mit Schwachstellen ist. Medienberichten zufolge waren Informationen zu den Lücken bereits vor Veröffentlichung der Sicherheitsupdates bekannt geworden. Angreifer könnten über die Schwachstellen sensible Daten abgreifen oder Schadcode aus der Ferne ausführen. Inzwischen sind Sicherheitsupdates verfügbar, die betroffene Betreiber rasch einspielen sollten.

Wann müssen Hersteller eine Sicherheitslücke melden und gilt dafür eine 24-Stunden-Frist? Wie werden die Behebung und die Veröffentlichung einer Schwachstelle aufeinander abgestimmt? Wer entscheidet, ob sie eine internationale Kennnummer für Sicherheitslücken (CVE-ID) erhält?

Eine entdeckte Sicherheitslücke ist für sich genommen noch kein erheblicher Cybersicherheitsvorfall. Das neue österreichische Netz- und Informationssystemsicherheitsgesetz (NISG 2026), das seit 1. Oktober 2026 in Kraft ist, trennt die koordinierte Offenlegung einer Schwachstelle von der Pflicht, einen erheblichen Cybersicherheitsvorfall zu melden.

Zuerst den Hersteller informieren, dann die etwaige Offenlegung abstimmen

Wer eine Sicherheitslücke entdeckt, sollte zunächst die dafür vorgesehene Kontaktmöglichkeit des Herstellers nutzen. Gibt es keinen geeigneten Kontakt oder stockt die Kommunikation, kann eine koordinierende Stelle vermitteln. Genau dafür sieht § 11 NISG 2026 das nationale Computer-Notfallteam vor (englisch: Computer Security Incident Response Team, kurz CSIRT). Es kann Betroffene zusammenbringen und mit ihnen abstimmen, wann und wie die Lücke offengelegt wird. Eine Kontaktaufnahme ist dort auch anonym möglich. Die österreichische Leitlinie zur koordinierten Offenlegung von Schwachstellen (CVD) verweist für Hinweise auf Sicherheitslücken auf CERT.at. Ein solcher Hinweis ist keine gesetzliche Vorfallmeldung und führt nicht automatisch zur Veröffentlichung.

Soll die Lücke veröffentlicht werden, kommt es auf den richtigen Zeitpunkt an. Die Beteiligten sollten die Entwicklung und Verteilung eines Sicherheitsupdates mit der Offenlegung abstimmen und den vereinbarten Zeitplan einhalten. Eine unkoordinierte vorzeitige Veröffentlichung von Schwachstelleninformationen sollte vermieden werden. Eine unbefugte vorzeitige Offenlegung kann Schadenersatzansprüche begründen, wenn sie rechtswidrig und schuldhaft erfolgt und dadurch ein Schaden entsteht.

Die CVE-Vergabe ist ein eigener, grundsätzlich freiwilliger Schritt

CVE steht für „Common Vulnerabilities and Exposures”. Eine CVE-ID kennzeichnet eine Schwachstelle international eindeutig. Vergeben wird sie von der zuständigen CVE-Vergabestelle (CNA), häufig dem Hersteller. Ein Hinweis auf eine Sicherheitslücke führt nicht automatisch zu einer CVE-ID. Die Zustimmung des Herstellers ist nicht immer erforderlich.

Eine vergebene CVE-ID ist noch kein veröffentlichter Eintrag. Bei dessen Veröffentlichung muss spätestens zugleich eine andere öffentliche Quelle zur Schwachstelle verfügbar sein. CVE-Kennung, Veröffentlichung technischer Informationen und Bereitstellung eines Updates sind daher auseinanderzuhalten.

Ein falscher Eintrag kann mit Belegen bei der zuständigen Vergabestelle bestritten und gegebenenfalls einer übergeordneten Stelle vorgelegt werden. Ein möglicherweise berechtigter Einwand führt während der Prüfung zur Kennzeichnung „disputed“, nicht automatisch zur Löschung.

Wann sind Meldungen verpflichtend?

Neben dem NISG 2026 sieht der Cyber Resilience Act (CRA) für Hersteller erfasster Produkte mit digitalen Elementen eigene Meldepflichten vor. Sie gelten seit dem 11. September 2026 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken. Auch hier gelten Meldefristen. Die Meldungen erfolgen über die von der ENISA betriebene einheitliche Meldeplattform CRA Single Reporting Platform. Eine bloß entdeckte Schwachstelle ist nicht schon deshalb meldepflichtig.

Die 24- und 72-Stunden-Fristen des NISG 2026 betreffen dagegen wesentliche und wichtige Einrichtungen, die einen erheblichen Cybersicherheitsvorfall melden müssen. Eine Frühwarnung ist unverzüglich, spätestens binnen 24 Stunden, und eine weitere Meldung grundsätzlich unverzüglich, spätestens binnen 72 Stunden nach Kenntnis des erheblichen Vorfalls abzusetzen. Sie gelten nicht schon wegen einer neu entdeckten Lücke oder einer CVE-ID. Die Entdeckung einer Schwachstelle kann somit bereits für die koordinierte Offenlegung nach § 11 NISG 2026 relevant sein. Die Vorfallmeldepflicht nach § 34 setzt dagegen voraus, dass eine wesentliche oder wichtige Einrichtung von einem erheblichen Cybersicherheitsvorfall Kenntnis erlangt.

Über die Meldeplattform im Unternehmensserviceportal können neben verpflichtenden Vorfallmeldungen auch freiwillige Meldungen nach § 37 NISG 2026 eingebracht werden. Davon zu unterscheiden ist das grundsätzlich freiwillige CVE-Programm. Es begründet für Hersteller für sich genommen keine gesetzliche Meldepflicht. Teilnehmende Vergabestellen müssen jedoch die CVE-Programmregeln beachten.

Rolle der ENISA

Die Agentur der Europäischen Union für Cybersicherheit (ENISA) betreibt mit der European Union Vulnerability Database (EUVD) die europäische Schwachstellendatenbank. Als CVE Numbering Authority (CNA) ist die ENISA berechtigt, CVE-IDs zuzuweisen. Seit dem 20. November 2025 bildet die ENISA als CNA-Root die übergeordnete Koordinationsstelle für europäische Einrichtungen. Sie schult und verwaltet dabei untergeordnete CNAs wie Unternehmen oder CERTs.

Die EUVD veröffentlicht Informationen über bereits offengelegte Schwachstellen. Wer auf eine neue Lücke aufmerksam machen möchte, wendet sich dagegen an den Hersteller oder eine CVD-Koordinierungsstelle. Die CRA-Meldeplattform und die Meldeplattform im Unternehmensserviceportal für verpflichtende und freiwillige Vorfallmeldungen iS NISG 2026 erfüllen dagegen andere Zwecke.

Entscheidend ist die rechtliche Einordnung

Die vertrauliche Meldung einer Schwachstelle, eine verpflichtende Meldung nach NISG 2026 oder CRA und die Vergabe einer CVE-ID haben unterschiedliche Voraussetzungen und Zwecke. Für eine gesetzliche Meldepflicht sind insbesondere der Adressat, der auslösende Sachverhalt, die zuständige Stelle und die Frist gesondert zu prüfen. Auch die Offenlegung der Lücke ist eine eigene Entscheidung und folgt nicht automatisch aus der Meldung. Wer eine Schwachstelle anonym meldet, genießt zudem nicht schon deshalb Hinweisgeberschutz. Ob dieser greift, hängt von den Voraussetzungen des HinweisgeberInnenschutzgesetzes (HSchG) ab.