CPE

Common Platform Enumeration (CPE) ist ein strukturiertes Benennungsschema für IT-Produkte in der Cybersicherheit: Anwendungen, Betriebssysteme und Hardware. Version 2.3 hat das NIST in NISTIR 7695 (August 2011) spezifiziert. Die National Vulnerability Database (NVD) gibt mit CPE-Namen an, welche Produkte eine CVE betrifft, und pflegt das offizielle CPE-Wörterbuch.

Das CPE-2.3-Format

Ein CPE-2.3-Name hat nach dem Präfix cpe:2.3 elf Attribute: part, vendor, product, version, update, edition, language, sw_edition, target_sw, target_hw und other. Der Teil (part) ist a für eine Anwendung, o für ein Betriebssystem und h für Hardware. Ein * steht für einen beliebigen Wert, ein - für „nicht zutreffend“.

cpe:2.3:a:microsoft:internet_explorer:8.0.6001:beta:*:*:*:*:*:*
cpe:2.3:a:lodash:lodash:4.17.20:*:*:*:*:node.js:*:*
cpe:2.3:h:raspberrypi:raspberry_pi_4_model_b:-:*:*:*:*:*:*:*

Der erste ist das Beispiel aus der Spezifikation. Der zweite ist die npm-Bibliothek lodash mit node.js als Zielsoftware. Der dritte ist ein Stück Hardware. Alle drei stehen im NVD-Wörterbuch.

Wie CPE-Abgleich funktioniert und wo er danebengeht

Ein NVD-Eintrag listet die CPEs, für die eine CVE gilt, oft mit Versionsbereichen. Ein Scanner macht aus jeder Komponente einer SBOM eine CPE-Vermutung und vergleicht. Drei Dinge gehen schief:

• Mehrdeutige Namen. Hersteller und Produkt im Wörterbuch entsprechen nicht immer dem Namen des Pakets in seinem Ökosystem. Die xz-Bibliothek ist cpe:2.3:a:tukaani:xz, Debian liefert sie dagegen als Paket xz-utils aus. Eine aus dem Paketnamen gebildete Vermutung trifft das falsche Produkt oder gar keins.
• Zu weite Bereiche. Eine Anwendbarkeitsangabe kann Versionen oder Plattformen abdecken, die nicht betroffen sind, zum Beispiel jede Version eines Produkts, obwohl nur eine Build-Konfiguration betroffen war. Jede passende Komponente wird zu einem Befund, der triagiert werden muss.
• Fehlende Daten. Das NIST schreibt, dass die NVD „ab Anfang 2024 einen erheblichen Rückstau nicht angereicherter CVEs“ aufgebaut hat. Seit dem 15. April 2026 reichert sie CVEs nach Priorität an (zuerst Einträge im CISA KEV, von der US-Bundesverwaltung genutzte Software und kritische Software nach EO 14028) und kennzeichnet den Rest als „Lowest Priority - not scheduled for immediate enrichment“ (NIST). CVE Numbering Authorities können betroffene Produkte samt CPEs im CVE-Eintrag liefern, und die NVD übernimmt diese von CNAs und ADPs gelieferten Daten seit Juni 2026 in ihre Einträge, aber die Abdeckung schwankt je nach CNA. Die Release Notes zu 5.2 des Yocto Project bringen die Folge auf den Punkt: Bei CPE-basierten Prüfungen werden „manche Schwachstellen einfach nicht gemeldet“.

Ein Abgleich mit dem falschen Produkt ist eine Quelle für False Positives; siehe Schwachstellen-Rauschen reduzieren.

CPE vs. Package URL

	Package URL	CPE
Wer den Namen festlegt	Das Ökosystem des Pakets	Das CPE-Wörterbuch der NVD
Identifiziert	Ein Paket in einer Registry oder Distribution	Ein Produkt, auch Hardware und Betriebssysteme
Format	pkg:type/namespace/name@version	cpe:2.3:part:vendor:product:version:...
Standard	ECMA-427	NISTIR 7695 (CPE 2.3)
Genutzt von	OSV, GitHub-Advisories, SBOM-Tools	NVD, viele Scanner
Typischer Fehler	Fehlt bei vendortem oder von Hand gelistetem Code	Mehrdeutige Hersteller- und Produktnamen; keine CPE-Daten für viele neue CVEs

Nutzen Sie eine Package URL, wo es ein Paket-Ökosystem gibt, eine CPE für kommerzielle Produkte, Firmware und Hardware, und beides, wo eine Anforderung beides verlangt. Die 2026 Minimum Elements der CISA nennen CPE und Package-URL als gängige Kennungen, und die BSI TR-03183-2 fordert solche Kennungen für jede Komponente, sofern sie existieren.

CPEs in SBOMs

CycloneDX hat an jeder Komponente ein Feld cpe, SPDX führt CPEs als externe Kennungen. Wenn Sie Zulieferer sind, tragen Sie die CPE ein, die die NVD für Ihr Produkt tatsächlich verwendet (schlagen Sie sie im Wörterbuch nach), statt eine zu erfinden: Eine erfundene CPE trifft nichts. Kennungen sind ein Teil der Feldqualität einer SBOM; ob etwas in der Liste fehlt, ist eine eigene Frage, die SBOM-Vollständigkeit.

CRACI identifiziert jedes Paket, das ein Build lädt, über seine Package URL. Siehe Build-Time-SBOMs.