Unternehmen können mit Java-Patches kaum Schritt halten

Eine neue Studie von Azul zeigt, dass KI-gestützte Angriffswerkzeuge Schwachstellen immer schneller ausnutzen können, während viele Organisationen mehrere Tage benötigen, um kritische Sicherheitsupdates in ihren Produktionsumgebungen bereitzustellen. Die Folgen sind bereits messbar: 85 Prozent der befragten Unternehmen berichten von Sicherheitsvorfällen oder Beinahe-Vorfällen durch verzögertes Patchen.

Angreifer gewinnen den Wettlauf gegen die IT-Sicherheit

Für den „2026 AI Vulnerability Gap Report“ wurden 300 Sicherheitsverantwortliche aus US-amerikanischen Unternehmen befragt, die Java in größerem Umfang produktiv einsetzen. Die Untersuchung wurde unabhängig vom Marktforschungsunternehmen Censuswide durchgeführt.

Die Ergebnisse verdeutlichen eine wachsende Diskrepanz zwischen Angriffsgeschwindigkeit und Verteidigungsfähigkeit. 69 Prozent der Befragten gehen davon aus, dass Angreifer mithilfe von KI innerhalb von drei Tagen oder weniger einen funktionsfähigen Exploit entwickeln können. 22 Prozent halten sogar weniger als 24 Stunden für ausreichend.

Trotz dieser Entwicklung haben 59 Prozent der Unternehmen ihre Sicherheitsstrategie bislang nicht angepasst. Dabei sehen nahezu alle Befragten durch KI-gestützte Angriffswerkzeuge eine gestiegene Bedrohungslage.

Auch die Zahl neu entdeckter Schwachstellen erhöht den Handlungsdruck. Beim OpenJDK-Sicherheitsupdate im Oktober 2026 wurden 53 Sicherheitslücken veröffentlicht. Laut Azul war dies der höchste Wert bei einem einzelnen Update seit mehr als zehn Jahren.

Patch-Prozesse dauern länger als die Entwicklung von Exploits

Besonders deutlich wird das Problem beim Vergleich der Reaktionszeiten. Lediglich 13 Prozent der Unternehmen können einen kritischen Sicherheitspatch innerhalb von 24 Stunden in ihrer gesamten Produktionsumgebung ausrollen. Weitere 43 Prozent benötigen dafür ein bis drei Tage. Bei 32 Prozent dauert die Umsetzung vier bis sechs Tage, während zwölf Prozent noch länger brauchen.

Damit entsteht eine zeitliche Lücke zwischen der Geschwindigkeit möglicher Angriffe und der Reaktion der IT-Abteilungen. Während 69 Prozent der Befragten davon ausgehen, dass Angreifer innerhalb von drei Tagen einen Exploit entwickeln können, schaffen es nur 56 Prozent der Unternehmen, einen kritischen Patch innerhalb dieses Zeitraums bereitzustellen.

Ein wesentlicher Verzögerungsfaktor sind die notwendigen Tests vor der Installation. Bei 36 Prozent verlängern diese den Patch-Prozess um vier bis sechs Tage. Weitere 33 Prozent benötigen dafür ein bis drei Tage, während 22 Prozent mindestens eine Woche einplanen. Insgesamt entstehen bei 58 Prozent der Unternehmen durch Tests Verzögerungen von mindestens vier Tagen.

Sicherheitsupdates können neue Probleme verursachen

Die langen Prüfprozesse haben einen technischen Hintergrund. Vierteljährliche OpenJDK-Updates enthalten neben Sicherheitskorrekturen häufig zahlreiche weitere Codeänderungen. Unternehmen müssen deshalb sicherstellen, dass Aktualisierungen keine bestehenden Anwendungen beeinträchtigen.

Eine Auswertung der vergangenen gut sechs Jahre durch Azul zeigt, dass sechs von 26 vierteljährlichen OpenJDK-Updates schwerwiegende Regressionen verursachten. Das entspricht einem Anteil von 23 Prozent.

IT-Verantwortliche stehen damit vor einem schwierigen Spagat: Einerseits müssen sie bekannte Schwachstellen möglichst schnell schließen, andererseits dürfen Änderungen nicht die Stabilität geschäftskritischer Anwendungen gefährden.

Fehlende Übersicht über Java-Installationen verschärft das Risiko

Neben langsamen Update-Prozessen erschwert auch die mangelnde Transparenz den Schutz der IT-Infrastruktur. Java-Umgebungen sind in vielen Unternehmen über Jahre gewachsen. Neue Anwendungen, Cloud-Migrationen und Unternehmensübernahmen haben dazu geführt, dass zahlreiche Runtime-Installationen verteilt betrieben werden. Dazu zählen auch eingebettete und ältere Instanzen, die nicht immer zentral verwaltet werden.

Nur 19 Prozent der befragten Organisationen geben an, dass mindestens 90 Prozent ihrer produktiven Java-Runtimes auf dem neuesten Sicherheitsstand sind. Bei 81 Prozent bestehen demnach Lücken in der Patch-Abdeckung. 21 Prozent berichten sogar, dass höchstens die Hälfte ihrer Installationen aktuell ist.

Auch bei der Bestandsaufnahme gibt es Defizite: 51 Prozent der Befragten verfügen nach eigenen Angaben nur über eine eingeschränkte oder teilweise Übersicht über ihre Java-Umgebungen. Dadurch besteht das Risiko, dass einzelne Installationen bei Sicherheitsmaßnahmen unberücksichtigt bleiben.

Wie problematisch solche blinden Flecken sein können, zeigte im Oktober die Kompromittierung von acht Schlüsseln von eMudhra-Zwischenzertifizierungsstellen. Da Java eigene Truststores verwaltet und Zertifikatswiderrufe standardmäßig nicht automatisch überprüft, mussten auch eingebettete und in Containern betriebene Runtimes gesondert aktualisiert werden.

Verbindliche Patch-Fristen fehlen häufig

Ein weiteres Problem sind fehlende verbindliche Vorgaben. Zwei Drittel der befragten Unternehmen haben keine zeitlich festgelegten Fristen für das Schließen nicht kritischer Sicherheitslücken.

38 Prozent setzen dabei auf ein Best-Effort-Prinzip. 33 Prozent arbeiten mit definierten Service-Level-Agreements, während 25 Prozent einen risikobasierten Ansatz verfolgen. Drei Prozent verfügen über keinerlei formale Patch-Richtlinie.

Als größte Hindernisse für schnellere Updates nennen die Verantwortlichen aufwendige Tests vor der Bereitstellung (44 Prozent), die Komplexität oder das Alter bestehender Systeme (40 Prozent) sowie eine unzureichende Übersicht über bekannte Schwachstellen (36 Prozent).

Unternehmen wollen Patch-Management beschleunigen

Für die kommenden zwölf Monate planen viele Organisationen, ihre Sicherheitsprozesse anzupassen. 32 Prozent wollen vor allem schneller und häufiger patchen. Weitere 26 Prozent setzen auf eine bessere Übersicht über ihre Softwarebestände und Runtime-Installationen. 17 Prozent möchten ihre Investitionen vorrangig in die Erkennung und Reaktion auf Angriffe lenken.

Scott Sellers, Mitgründer und CEO von Azul, sieht vor allem ein Umsetzungsproblem. Unternehmen hätten die zunehmende Bedrohung durch KI zwar erkannt, ihre bestehenden Sicherheitsprozesse seien jedoch vielfach noch auf langsamere Angreifer ausgelegt.

Entscheidend sei deshalb, die eigene Java-Landschaft vollständig zu erfassen und Sicherheitskorrekturen schneller in den produktiven Betrieb zu bringen. Die Studie macht deutlich, dass nicht allein die Verfügbarkeit von Sicherheitsupdates zählt. Ebenso wichtig ist, wie schnell Unternehmen diese tatsächlich installieren können.

(red/Azul)