Warum klassisches Schwachstellenmanagement nicht mehr ausreicht

Sicherheitsverantwortliche stehen vor einer strukturellen Herausforderung. Die Angriffsflächen wachsen durch Cloud native Architekturen, Container, SaaS Ökosysteme und CI CD Pipelines kontinuierlich, während Schwachstellen oft innerhalb weniger Stunden nach Veröffentlichung ausgenutzt werden.

Gleichzeitig benötigen Organisationen laut verschiedenen Studien weiterhin mehrere Wochen bis Monate, um bekannte Schwachstellen vollständig zu beheben.

Die Dimension der Herausforderung wird durch aktuelle Analysen deutlich. Laut dem Mondoo-Report State of Vulnerabilities 2026 wurden im Jahr 2025 weltweit mehr als 48.000 neue CVEs veröffentlicht – ein neuer Höchststand. Gleichzeitig beträgt der Zeitraum zwischen Veröffentlichung einer Schwachstelle und ihrer ersten Ausnutzung im Durchschnitt nur etwa fünf Tage. Ein Teil der Schwachstellen erhält zudem keinen CVSS-Score und wird damit in vielen Priorisierungsprozessen kaum berücksichtigt.

Das zentrale Problem liegt weniger in der Erkennung von Schwachstellen als in der Lücke zwischen Identifikation und tatsächlicher Behebung. Klassische Vulnerability Scanner wurden in einer Zeit entwickelt, in der IT-Infrastrukturen statischer waren und Änderungen in längeren Zyklen erfolgten. Ihr Grundprinzip „Finden, Melden, Weiterreichen“ basiert auf periodischen Scans, Ticket Erstellung und manueller Priorisierung. Dieser Prozess ist ressourcenintensiv, fehleranfällig und skaliert nur begrenzt in dynamischen Cloud Umgebungen.

In der Praxis führt das häufig zu langen Behebungszeiten, wachsenden Backlogs und einer hohen operativen Belastung der Sicherheitsteams. Besonders kritisch ist dabei, dass Priorisierung häufig auf generischen CVSS-Werten basiert, ohne ausreichenden Geschäfts- oder Expositionskontext. Die Folge ist, dass Teams Listen abarbeiten, statt reale Risiken gezielt zu reduzieren.

Hinzu kommt ein architektonischer Aspekt. Viele etablierte Plattformen wurden ursprünglich für klassische Rechenzentren konzipiert und im Laufe der Jahre um Cloud, Container oder SaaS Funktionen erweitert. Diese nachträglichen Erweiterungen erhöhen die Komplexität und führen zu fragmentierten Produktlandschaften. Sicherheit und Infrastruktur Automatisierung bleiben organisatorisch und technisch getrennt, obwohl moderne IT-Umgebungen eine eng integrierte Herangehensweise erfordern.

Zunehmend zeichnet sich daher ein Paradigmenwechsel ab. Der Fokus verschiebt sich von reiner Schwachstellenerkennung hin zu kontinuierlichem Exposure Management und automatisierter Behebung. Neue Plattformansätze setzen stärker auf Echtzeit Transparenz, kontextbasierte Priorisierung und die Integration in Infrastructure as Code sowie CI CD Prozesse.

Risiken entstehen zunehmend auch außerhalb klassischer CVE-Einträge, etwa durch manipulierte Open-Source-Pakete oder kompromittierte Software-Abhängigkeiten. Sicherheitsverantwortliche müssen Schwachstellen daher nicht nur auf einzelnen Systemen betrachten, sondern im Kontext ganzer Software- und Infrastrukturketten analysieren.

Vor diesem Hintergrund entstehen Plattformansätze, die Vulnerability Intelligence, Infrastrukturkontext und Remediation enger miteinander verbinden. Solche Ansätze zielen darauf ab, Sicherheitsdaten aus unterschiedlichen Umgebungen zusammenzuführen und mit Kontextinformationen anzureichern, um betroffene Systeme schneller zu identifizieren und Behebungsprozesse besser zu unterstützen.

Ein zentrales Element dieser Entwicklung ist der Einsatz sogenannter agentischer KI-Systeme. Anders als klassische Assistenzsysteme analysieren diese nicht nur Befunde, sondern können innerhalb definierter Prozesse auch Handlungsschritte vorbereiten oder auslösen, etwa durch das Generieren getesteter Remediation Skripte oder durch automatisierte Verifizierungsschleifen. Ziel ist es, die Zeitspanne zwischen Entdeckung und Absicherung signifikant zu verkürzen und Sicherheitsprozesse näher an bestehende Platform Engineering Workflows zu rücken.

Fazit

Für IT-Organisationen bedeutet das, dass sich Vulnerability Management von einer reporting-orientierten Disziplin hin zu einem automatisierungsgetriebenen Bestandteil moderner Infrastruktur entwickelt. Die Frage ist nicht mehr nur, wie viele Schwachstellen identifiziert werden, sondern wie schnell und nachhaltig sie beseitigt werden können und wie gut Sicherheits- und Betriebsteams dabei zusammenarbeiten.