Was, wenn Schwachstellen zum Alltag werden?

Microsoft hat den umfangreichsten „Patch Tuesday“ seiner Geschichte veröffentlicht: Patches für 570 Sicherheitslücken, darunter drei Zero-Day-Lücken – von denen zwei bereits bei Angriffen ausgenutzt wurden – sowie 141 Schwachstellen, die die Ausführung von Code aus der Ferne ermöglichen.

Microsoft mag das dramatischste Beispiel sein, aber es ist nicht das einzige. Seit Anthropic am 7. April 2026 Mythos Preview eingeführt hat, stieg die Zahl der monatlichen „Patch Tuesday“-Patches bei Microsoft von 120 Sicherheitslücken im Mai auf 200 im Juni und auf einen Rekordwert von 570 im Juli – ein Anstieg um 375 Prozent innerhalb von zwei Monaten.

Die großen Chrome-Releases von Google folgten einem ähnlichen Muster: 126 Sicherheitspatches am 5. Mai stiegen am 2. Juni auf 429, was einem Anstieg von etwa 240 Prozent entspricht, gefolgt von weiteren 433 am 30. Juni. Auch die monatliche Anzahl der Sicherheitslücken bei Adobe hat sich mehr als verdoppelt und stieg von 52 im Mai auf 123 im Juni – ein Anstieg um 137 Prozent. Diese Zahlen belegen zwar nicht, dass Mythos diese Schwachstellen entdeckt hat, aber sie veranschaulichen, wie schnell das Volumen der Entdeckung und Offenlegung von Schwachstellen im Zeitalter der KI-gestützten Sicherheitsforschung zunimmt.

Kay Ernst, Country Manager DACH bei Zero Networks, fordert ein Umdenken und erläutert ein neues Modell:

Die unmittelbare Empfehlung liegt auf der Hand: Unternehmen sollten aktiv ausgenutzten Schwachstellen höchste Priorität einräumen, Updates umgehend testen und Patches so schnell wie betrieblich möglich einspielen. 570 Sicherheitslücken in einem einzigen Monat sollten Unternehmen auch dazu zwingen, eine schwierigere Frage zu stellen: Was passiert, wenn die Entdeckung von Sicherheitslücken schneller zunimmt als die Fähigkeit, sie zu beheben?

Anthropic gibt an, dass sein Mythos Preview-Modell bereits Tausende von Sicherheitslücken mit hohem Schweregrad entdeckt hat, darunter Schwachstellen in allen gängigen Betriebssystemen und Webbrowsern. Wenn sich diese Fähigkeiten verbessern und weiterverbreiten, werden sowohl Verteidiger als auch Angreifer Sicherheitslücken mit einer Geschwindigkeit und in einem Ausmaß aufdecken, mit denen menschliche Sicherheitsteams nicht mithalten können.

Microsofts Rekord-„Patch Tuesday“ könnte ein frühes Anzeichen für diese Zukunft sein: KI entdeckt mehr Schwachstellen, Anbieter geben mehr Schwachstellen bekannt, und Sicherheitsteams erhalten eine ständig wachsende Liste von Systemen, die sofort getestet und gepatcht werden müssen. Das traditionelle Sicherheitsmodell fordert CISOs dazu auf, schneller zu laufen. Die bessere Antwort ist, das Rennen zu ändern.

Die Schwachstelle ist nur der Einstiegspunkt

Eine Schwachstelle führt in der Regel nicht von selbst zu einem unternehmensweiten Ausfall. Sie verschafft einem Angreifer lediglich einen ersten Einstiegspunkt. Der Angreifer muss sich von diesem kompromittierten Browser, Laptop, Server, dieser Identität oder Anwendung noch zu den wirklich wichtigen Systemen vorarbeiten: Domain-Controller, Datenbanken, Produktionsumgebungen, Backup-Infrastruktur, Cloud-Steuerungsebenen und Betriebstechnologie. Genau dort verwandelt die laterale Bewegung einen isolierten Sicherheitsvorfall in eine Unternehmenskrise.

Der 2026 Lateral Movement Exposure Report von Zero Networks analysierte 54 Billionen Aktivitäten in 312 aktiven Unternehmensumgebungen. Die Ergebnisse zeigen, wie viel Spielraum Angreifer typischerweise nach dieser ersten Kompromittierung erhalten:

• 80 Prozent der Unternehmensserver sind von überall innerhalb des Netzwerks erreichbar.
• 87 Prozent akzeptieren eingehende RDP- oder SSH-Verbindungen aus einem breiten Spektrum interner Quellen.
• 78,7 Prozent sind über SMB oder WinRM erreichbar.
• 43,2 Prozent der internen Authentifizierung basieren nach wie vor auf NTLM.
• Ein einziger kompromittierter Host kann 85 Prozent der internen Systeme bereits beim ersten Hop erreichen.

Diese letzte Zahl sollte jeden CISO beunruhigen. Sie bedeutet, dass ein Angreifer möglicherweise keine ausgeklügelte, mehrstufige Kampagne benötigt, um die gesamte Umgebung zu durchdringen. In vielen Unternehmen hat der erste kompromittierte Rechner bereits einen Weg zu fast allen anderen Systemen. Das ist die eigentliche Gefahr hinter der wachsenden Zahl von Schwachstellen: KI schafft immer mehr Einfallstore, während Unternehmensnetzwerke nach wie vor zu viele Durchgangswege bieten.

Erkennung und Reaktion allein reichen als Sicherheitsmodell nicht aus

Seit Jahren bauen Unternehmen ihre Sicherheitsarchitekturen nach einem bekannten Ablauf auf:

1. Ein Angreifer nutzt eine Schwachstelle aus.
2. Sicherheitstools erkennen verdächtige Aktivitäten.
3. Das SOC untersucht die Warnmeldungen.
4. Sicherheitsverantwortliche ermitteln, was passiert ist.
5. Das Unternehmen schaltet den Angreifer aus, bevor materieller Schaden entsteht.

Erkennung und Reaktion bleiben notwendig. CISOs benötigen nach wie vor EDR, SIEM, Threat Intelligence, Incident Response und ein robustes Schwachstellenmanagement. Doch diese Fähigkeiten verlieren – als primäre Kontrollmaßnahme – zunehmend an Bedeutung, da das Modell davon abhängt, dass die Verteidiger über genügend Zeit verfügen. KI verkürzt diese Zeit. Angreifer können Automatisierung nutzen, um exponierte Systeme zu identifizieren, Anmeldedaten zu testen, Netzwerkpfade zu ermitteln und sich über vertrauenswürdige Verwaltungsprotokolle zu bewegen. RDP, SMB, SSH, WinRM und RPC sind an sich nicht bösartig. Es handelt sich um dieselben Tools, die Administratoren und Anwendungen täglich nutzen, was es erschwert, böswillige Nutzung schnell von legitimen Aktivitäten zu unterscheiden.

Untersuchungen von Zero Networks ergaben, dass mehr als 70 Prozent der Bedrohungsaktivitäten in Unternehmen über SMB, RDP, WinRM und RPC laufen. Dies stellt einen grundlegenden Nachteil für eine Detection-First-Strategie dar: Das SOC muss böswillige Absichten innerhalb des Datenverkehrs identifizieren, dem das Unternehmen bereits vertraut, diese untersuchen und reagieren, bevor der Angreifer ein kritisches System erreicht. Bei maschineller Geschwindigkeit ist das ein riskantes Unterfangen.

Das neue Modell sollte nicht davon ausgehen, dass das Unternehmen jede wichtige Aktion rechtzeitig erkennt. Es sollte vielmehr davon ausgehen, dass:

• Einige Schwachstellen ungepatcht bleiben.
• Einige Zero-Day-Schwachstellen bereits vor ihrer Offenlegung ausgenutzt werden.
• Einige Identitäten und Anmeldedaten kompromittiert werden.
• Einige böswillige Aktivitäten legitim erscheinen.
• Einige Warnmeldungen erst eintreffen werden, nachdem der Angreifer bereits aktiv geworden ist.
• Menschliche Reaktionskräfte nicht immer schneller handeln werden als automatisierte Angreifer.

Die Architektur muss den Angriff auch dann eindämmen, wenn sich diese Annahmen als wahr erweisen.

Eine Architektur, die sich nicht um die nächsten 100 Sicherheitslücken kümmert

Kein Unternehmen kann buchstäblich immun gegen alle Software-Sicherheitslücken werden, aber widerstandsfähig gegen deren Auswirkungsbereich. Ein mögliches Szenario wäre, dass ein Angreifer eine unbekannte Chrome- oder Windows-Sicherheitslücke auf dem Laptop eines Mitarbeiters ausnutzt. Die erste Frage sollte in diesem Fall nicht lauten: Wird unser SOC dies erkennen? Stattdessen: Worauf hat dieser Laptop Zugriff? Kann er RDP- oder SSH-Verbindungen zu Servern herstellen? Kann er über SMB auf Dateifreigaben zugreifen? Kann ein Angreifer gestohlene Anmeldedaten über WinRM oder RPC nutzen? Kann er einen Domain-Controller, ein Backup-System, eine Produktionsdatenbank oder eine kritische Cloud-Workload erreichen? In viel zu vielen Umgebungen lautet die Antwort auf diese Fragen häufig „Ja“.

Eine „Containment-First“-Architektur ändert diese Antwort. Sie identifiziert kontinuierlich legitime Kommunikation, entfernt unnötige Pfade, schließt privilegierte Ports standardmäßig und verlangt eine Identitätsüberprüfung, wenn Benutzer oder Agenten risikoreichen Zugriff anfordern.

Fazit: Fokus auf systematische Eindämmung statt reines Patch-Management

Das zügige Einspielen von Sicherheitsupdates bleibt ein wichtiger Bestandteil der IT-Sicherheit. Das reine Abarbeiten von Hunderten von Schwachstellen kann jedoch nicht das langfristige Leitbild der Sicherheitsstrategie sein. KI-gestützte Systeme und zunehmend automatisierte Angriffsketten führen zu einer steigenden Zahl identifizierter Schwachstellen und kürzeren Reaktionszeiten. Dieser Entwicklung können Unternehmen weder mit personeller Aufstockung noch mit der bloßen Anschaffung weiterer Erkennungstools dauerhaft begegnen. Die nachhaltige Lösung liegt in einer Architektur, die Schwachstellen einkalkuliert, von einer potenziellen Kompromittierung ausgeht und verhindert, dass ein initialer Zugriff in eine schwerwiegende Betriebsstörung mündet. Das Ziel ist der Aufbau eines Sicherheitsprogramms, bei dem neu auftretende Schwachstellen nicht zwangsläufig zu operativen Krisen führen.

Die praktische CISO-Checkliste 1. Ermittlung des tatsächlichen Ausbreitungsradius Die Analyse basiert auf Fakten statt auf theoretischen Architekturdiagrammen. Hierfür werden repräsentative Stichproben ausgewählt: ein Mitarbeitergerät, ein Server, eine privilegierte Identität, eine Cloud-Workload sowie eine betriebliche Ressource. Auf dieser Grundlage wird exakt ermittelt, welche Systeme jeweils tatsächlich erreichbar sind und welche Ports sowie Protokolle dafür offenstehen. Die entscheidenden Fragen sind: Kann ein typischer Endpunkt kritische Server erreichen? Welche Verwaltungsprotokolle sind weitgehend offen? Kann ein kompromittierter Zugangsnachweis den Zugriff auf mehrere Umgebungen ermöglichen? Gibt es einen direkten Pfad von Benutzergeräten zu kritischen Ressourcen? Wie viele Systeme sind beim ersten Hop erreichbar? Ein Schwachstellen-Score gibt Aufschluss darüber, wie schwerwiegend eine Schwachstelle sein könnte. Eine Bewertung des Ausbreitungsradius zeigt, wie schwerwiegend die Lage imUnternehmen ist. 2. Priorisierung von Schwachstellen nach erreichbaren Auswirkungen Das konsequente Einspielen von Patches bleibt eine Kernaufgabe der IT-Sicherheit. Reine CVSS-Scores reichen jedoch nicht aus, um das tatsächliche Geschäftsrisiko abzubilden. Unternehmen sollten die Behebung von Schwachstellen daher anhand folgender Kriterien priorisieren: Aktive Ausnutzung Internet-Exposition Kritikalität der Ressource Auf dem betroffenen System verfügbare Berechtigungen Von dieser Ressource aus erreichbare Systeme Vorhandene Eindämmungsmaßnahmen Mögliche Auswirkungen auf Verfügbarkeit, Umsatz, Sicherheit und Betriebsabläufe Eine kritische Schwachstelle auf einer isolierten Ressource kann ein geringeres Geschäftsrisiko darstellen als ein Schwachpunkt mit niedrigerer Einstufung auf einer Workstation, von der aus 85 Prozent der Umgebung erreichbar sind. 3. Schließen unnötiger Ost-West-Verbindungen Viele interne Zugriffsmöglichkeiten existieren lediglich aus historischer Gewohnheit oder Bequemlichkeit, nicht aufgrund tatsächlicher geschäftlicher Anforderungen. Verbindungen, die durch flache Netzwerkarchitekturen, veraltete Konfigurationen oder zu freizügige Firewall-Regeln entstanden sind, gilt es systematisch zu identifizieren und eliminieren. Der Grundsatz ist: Ausschließlich geschäftlich notwendige Kommunikation wird zugelassen, jeglicher andere Datenverkehr wird konsequent blockiert. Die Abgrenzung kritischer Netzwerkgrenzen – wie etwa das Unterbinden von Direktzugriffen von Mitarbeiter-Laptops auf Produktionsserver – erfordert präventives Handeln und darf nicht erst die Reaktion auf eine neu bekannt gewordene Sicherheitslücke sein. 4. Schutz privilegierter Protokolle zum Zeitpunkt des Zugriffs Protokolle wie RDP, SMB, SSH, WinRM und RPC bieten zwar leistungsstarke Verwaltungswege, ermöglichen Angreifern jedoch gleichzeitig die rasche Ausweitung eines initialen Zugriffs. Privilegierte Ports bleiben daher standardmäßig geschlossen, bis ein legitimer Zugriff angefordert wird. Unerwartete Zugriffe – ob durch menschliche Akteure oder KI-Agenten – erfordern eine Identitätsprüfung nach dem Just-in-Time-Prinzip, während bekannte Maschine-zu-Maschine-Kommunikation weiterhin zugelassen wird. Gestohlene Anmeldedaten allein dürfen einem Angreifer niemals uneingeschränkte interne Bewegungsfreiheit gewähren. 5. Entkopplung der Eindämmung von der Erkennung Unternehmen müssen Kontrollmaßnahmen so konzipieren und testen, dass sie laterale Bewegungen stoppen – selbst, wenn die anfängliche Kompromittierung noch nicht identifiziert wurde. Die Analyse geht dabei von folgenden Annahmen aus: Das Endpunkt-Schutzsystem (EDR) hat den Exploit nicht erkannt. Die verwendeten Anmeldedaten wirken authentisch. Der Angreifer nutzt legitime Administrationstools (Living off the Land). Im SOC wurde noch kein Vorfall eröffnet. Für die ausgenutzte Schwachstelle existiert noch keine Signatur. Auf dieser Basis wird das Ausmaß einer möglichen Ausbreitung ermittelt. Erkennungsmechanismen dienen der Sichtbarkeit und der Bereitstellung von Kontext. Sie dürfen jedoch nicht die einzige Schutzschicht zwischen einem kompromittierten Endgerät und einem unternehmensweiten Ausfall darstellen. 6. Ergänzung von SOC-Geschwindigkeitskennzahlen durch Resilienz-Metriken Die durchschnittliche Erkennungs- und Reaktionszeit (MTTD/MTTR) bleiben relevante Leistungskennzahlen. Sie bieten dem Vorstand jedoch keine ausreichende Aussage darüber, ob das Unternehmen Angriffe in KI-Geschwindigkeit abwehren kann. Das Reporting ist daher um ressourcen- und architekturorientierte Kennzahlen zu erweitern: Prozentsatz der Kernsysteme, die vor unberechtigtem Zugriff geschützt sind. Prozentsatz der privilegierten Zugangswege, die standardmäßig gesperrt sind. Prozentsatz der Server, die von regulären Benutzergeräten aus erreichbar sind. Anzahl der verifizierten Zugangswege zu kritischen Systemen. Erreichbarkeit von Zielsystemen im ersten Schritt (Initial Hop) ab einem kompromittierten Endpunkt. Benötigter Zeitaufwand für die Isolation einer Workload oder gesamten Umgebung. Reduzierung der identifizierten Angriffspfade im Zeitverlauf. Die zentrale Kennzahl auf Vorstandsebene sollte einfach sein: Wie viel vom Geschäftsbetrieb kann ein kompromittiertes System stören? 7. Vorbereitung einer belastbaren Argumentation für den Vorstand Vorstände stellen zunehmend die Frage: Was passiert, wenn KI eine ausnutzbare Schwachstelle entdeckt, bevor sie sich beheben lässt? Der Verweis auf bestehende Erkennungssysteme stellt hierbei keine ausreichende Antwort mehr dar. Eine fundierte Positionierung lautet vielmehr: Das Unternehmen kennt die genauen Ausbreitungswege, die von einem kompromittierten System aus erreichbar sind. Unnötige Zugriffspfade wurden eliminiert, privilegierte Protokolle eingeschränkt und risikoreiche Zugriffe verifiziert. Der potenzielle Schadensumfang wird somit bereits vor Beginn eines Angriffs wirksam begrenzt. Dies stellt eine messbare und überprüfbare Aussage zur Widerstandsfähigkeit dar. Anwendung des Mythos Readiness Pack Das von Zero Networks entwickelte Mythos Readiness Pack unterstützt CISOs dabei, dieses Sicherheitsmodell in die Praxis umzusetzen. Es hilft Unternehmen zu bewerten, ob die bestehende Architektur in der Lage ist, Angriffe einzudämmen, die hochentwickelte KI-Systeme wie Mythos beschleunigen. Das Paket umfasst: Breach Map: Visualisierung der Pfade, über die ein Angreifer von einer initialen Kompromittierung zu kritischen Systemen gelangen könnte. Bewertung der Anfälligkeit für Lateral Movement: Benchmark-Analyse auf Basis zahlreicher realer Unternehmensumgebungen. Plan zur Pfadreduzierung: Priorisierung der Verbindungen mit dem höchsten operativen Risiko. Praktische Roadmap zur Eindämmung: Maßnahmen-Set, das ohne vollständige Neugestaltung der Netzwerkarchitektur auskommt. Vorstandsgerechte Zusammenfassung: Überblick über den aktuellen Ausbreitungsradius, das Geschäftsrisiko, die Prioritäten sowie messbare Fortschritte. Im Gegensatz zu herkömmlichen Schwachstellenscans erzeugt dieses Vorgehen keine rein additiven Mängellisten. Es adressiert direkt die Kernfrage, die beim traditionellen Schwachstellenmanagement oft offenbleibt: Welche konkreten Handlungsspielräume besitzt ein Angreifer nach der erfolgreichen Ausnutzung einer Schwachstelle?