it-sa 2026 : Pandoras Büchse ist geöffnet : Wie Sicherheitsverantwortliche die Schwachstellenflut der KI-Ära beherrschen
Künstliche Intelligenz findet Schwachstellen schneller, als Unternehmen diese schließen können, und macht sie auch für Angreifer leichter nutzbar. Ein Blick auf einen Wettlauf, der sich nur noch mit den richtigen Werkzeugen gewinnen lässt.
Betrachtet man die derzeitige Entwicklung der Schwachstellenforschung unter dem Einfluss künstlicher Intelligenz (KI), fühlt man sich an die Geschichte rund um die Büchse der Pandora erinnert. In der Mythologie erschien diese so verführerisch, dass Pandora nicht umhinkonnte, einen Blick hineinzuwerfen. Heraus stürzte „alles Unheil der Welt“, so sagt uns der antike Text. Zurück blieb allein die Hoffnung. Wir erleben gerade Ähnliches. Durch den Einsatz der KI explodieren die Fallzahlen in der Cyberkriminalität. Weite Teile der Welt sind auf die schiere Masse an gefundenen Schwachstellen nicht vorbereitet. Aber auch die Geschwindigkeit, mit der Kriminelle Schwachstellen ausnutzen, wird durch KI beschleunigt. Beides überfordert Verteidiger. Zwar bleibt die Hoffnung, dass irgendwann einmal alle Schwachstellen gefunden sind, doch liegt diese Zukunft noch in weiter Ferne.
Die „neue Normalität“ in einer Zahl: 972
Am Patch Tuesday im September 2026 veröffentlichte Microsoft allein 972 neue Einträge im Common-Vulnerabilities-and-Exposures-(CVE)-System, davon 114 mit dem Prädikat „kritisch“. Linux-Urgestein Linus Torvalds kommentierte solche Patch-Berge zuletzt trocken als die „neue Normalität“. Sie sei eben eine direkte Folge davon, wie gründlich KI heute Code durchleuchtet. Der „Known Exploited Vulnerabilities“-(KEV)-Katalog der amerikanischen Cybersicherheitsbehörde CISA, die Liste nachweislich aktiv ausgenutzter Schwachstellen, wächst inzwischen wöchentlich und zählt zum Redaktionsschluss dieser Ausgabe schon fast 1.700 Einträge.
Unternehmen sind damit zunehmend überfordert: Der „Verizon Data Breach Investigations Report 2026“ verzeichnet erstmals in den 19 Jahren seines Erscheinens, dass Exploits mit 31 Prozent inzwischen der häufigste Erstzugriffsweg in Unternehmen sind. Der bisherige Spitzenreiter, gestohlene Zugangsdaten, wurde mit nur noch 13 Prozent auf den zweiten Platz verdrängt. Gleichzeitig sinkt die Fähigkeit, Schritt zu halten: Nur noch 26 Prozent der KEV-gelisteten Schwachstellen wurden 2025 von betroffenen Unternehmen vollständig behoben, die mittlere Zeit bis zur endgültigen Schließung liegt bei 43 Tagen. Im Vergleich zu 38 Prozent und 32 Tagen im Vorjahr haben sich beide Werte deutlich verschlechtert.
Dazu kommt die immer schnellere Ausnutzung von Schwachstellen durch Angreifer. Laut Mandiant liegt die „Mean Time to Exploit“ inzwischen bei -7 Tagen. Schwachstellen werden also regelmäßig ausgenutzt, schon bevor ein Herstellerpatch zur Verfügung steht. Und auch in den Fällen, in denen noch nicht ausgenutzte Lücken gepatcht werden, schrumpft das Zeitfenster: Aus einer öffentlich bekannten Schwachstelle wird heute mit KI-Unterstützung binnen Stunden ein funktionierender Angriff. Genau in diesem Fenster entscheidet sich aber, wer die Kontrolle über die eigene Infrastruktur behält. Dass dafür ein monatlicher Schwachstellenscan und ein vierteljährliches Patch-Fenster nicht mehr ausreichen, sollte offensichtlich sein.
Keine Panik, sondern solides Risikomanagement
Wie also können Unternehmen dieser Herausforderung Herr werden? Die Antwort liegt in einem dreistufigen Prozess, wie er aus dem Risikomanagement schon lange bekannt ist: Risiken erkennen, diese analysieren und quantifizieren, und schließlich mitigieren beziehungsweise bewältigen. Das ist nichts Neues, muss jetzt aber in einer Geschwindigkeit geschehen, die der Bedrohungslage tatsächlich gerecht wird. Die gute Nachricht lautet: KI hilft auch Verteidigern dabei, Schwachstellen zu erkennen, zu bewerten und zu schließen.
Schritt eins: Risiko identifizieren
Das Cyber Risk Exposure Management (CREM) unserer Cybersecurity-Plattform TrendAI Vision One baut dafür kontinuierlich einen Exposure-Graphen: Agenten und agentenlose Konnektoren erfassen Assets über Cloud, Endpunkte, Netzwerk und Identitäten hinweg und verknüpfen sie mit bekannten Schwachstellen, Fehlkonfigurationen und Identitätsrisiken. Diese Rohdaten werden mit externer Threat Intelligence und Informationen über Schwachstellen angereichert. Als Alleinstellungsmerkmal kommen noch Vorab-Erkenntnisse über Schwachstellen aus der Forschung unserer Zero-Day-Initiative (ZDI), des weltweit größten herstellerunabhängigen Bug-Bounty-Programms, sowie eigener KI-gestützter Schwachstellenentdeckung hinzu.
Ein eigens entwickeltes KI-Modell berechnet daraus nicht den Common-Vulnerability-Scoring-System-(CVSS)-Wert allein, sondern gewichtet eine Kombination aus Exploit-Wahrscheinlichkeit, tatsächlicher Erreichbarkeit im Netzwerk, Asset-Kritikalität und bereits vorhandenen Sicherheitsmaßnahmen. In der Praxis reduziert das die Zahl der handlungsrelevanten Schwachstellen von mehreren Tausend auf eine kurze, priorisierbare Liste.
Schritt zwei: Risiko einschätzen und quantifizieren
Die Attack-Path-Prediction-Funktion von CREM modelliert graphbasiert, über welche Kombination von Schwachstellen, Fehlkonfigurationen und Berechtigungen ein Angreifer von einem beliebigen Einstiegspunkt zu einem kritischen Zielsystem gelangen könnte, ähnlich einer automatisierten MITRE-ATT&CK-Angriffskettenanalyse.
In einem Cybersecurity Digital Twin werden zudem Asset-Inventar, Security-Information-and-Event-Management-(SIEM)-Logs, Scanner-Daten und Netzwerktelemetrie zu einer synthetischen Kopie der eigenen Umgebung verdichtet, in der genau diese Angriffsketten gefahrlos durchgespielt werden können. Ein solches virtuelles Red Teaming simuliert reale Angriffstechniken gegen den digitalen Zwilling und prüft, ob bestehende Kontrollen eine konkrete Angriffskette tatsächlich stoppen würden, ohne den Produktivbetrieb zu berühren.
Cyber Risk Quantification überführt diese Analysen schließlich in ein Modell, das aus Eintrittswahrscheinlichkeit und potenziellem Schaden konkrete Euro-Werte berechnet, die als belastbare Grundlage für Investitionsentscheidungen und Verhandlungen mit Cyberversicherungen dienen.
Schritt drei: Risiko eindämmen
Nicht jede identifizierte Schwachstelle lässt sich sofort schließen, sei es wegen Testzyklen, Patch-Fenstern oder End-of-Support-Systemen. Virtual Patching schließt diese Lücke: Intrusion-Prevention-System-(IPS)-Regeln auf Host- oder Netzwerkebene erkennen die spezifischen Exploit-Muster einer bekannten Schwachstelle und blockieren sie, ohne die verwundbare Anwendung selbst zu verändern. Dank der Forschung der Zero-Day-Initiative geschieht dies bis zu 115 Tage, bevor überhaupt ein Hersteller-Patch verfügbar ist.
Parallel schließt Isolation über Mikrosegmentierung genau jene Ausbreitungspfade, die in der Attack-Path-Analyse identifiziert wurden. Extended Detection and Response (XDR) korreliert zudem Telemetrie aus der gesamten Infrastruktur, damit ein Ausnutzungsversuch auffällt, selbst wenn er durch das Raster gefallen ist oder der initiale Zugang über eine bislang unbekannte Schwachstelle erfolgt ist. Die Sicherheitsplattform speist jeden Treffer zurück in den Exposure-Graphen von CREM, damit sich Priorisierung und Schutzmaßnahmen kontinuierlich nachschärfen.
Es bleibt ein Grund zur Hoffnung
Zurück zur Mythologie: Wie in der Sage lässt sich der Fortschritt nicht aufhalten und manchmal bringt er sehr unangenehme Konsequenzen mit sich. Doch dieselbe Technik, die das Unheil hervorbringt, kann auch dessen Lösung sein. Es ist erstaunlich, wie sehr eine so alte Geschichte sich auch auf die heutige Zeit anwenden lässt. Denn das durch KI verursachte Problem kann auch mit KI bekämpft werden, wenn diese richtig eingesetzt wird. Das zumindest gibt Hoffnung.
Messestand auf der it-sa: Halle 7A, Stand 634 und 734
Autor
Richard Werner, TrendAI (ein Geschäftsbereich von Trend Micro)