Cloud
Die „Vulnpocalypse“ richtig einordnen
Die Zahl der veröffentlichten Schwachstellen steigt immer schneller. Allerdings ist Menge nicht gleich Risiko. Die Triage der Schwachstellen zu vollziehen, um die gefährlichsten vorrangig zu schließen, muss Hauptanliegen einer Sicherheitsstrategie sein.
Save to Folio
Dem Halbjahresbericht 2026 von First zufolge werden in diesem Jahr voraussichtlich rund 66.000 Common Vulnerabilities and Exposures (CVEs) offengelegt. Bereits im ersten Halbjahr gab es 50 % mehr Veröffentlichungen als im Vorjahreszeitraum, der ebenfalls einen Rekord brach, so der Sicherheitsforscher Jerry Gamblin. Seine Analyse stützt sich auf Daten der National Vulnerability Database (NVD) und des CVE-Programms. Der steile Anstieg gegenüber den rund 40.000 im Jahr 2024 erfassten CVEs könnte die Panikmache rund um eine „Vulnpocalypse“ rechtfertigen.
Volumen vs. ausnutzbares Risiko
Die Trennung von Volumen und tatsächlich gefährlicher Risiken ist eine Schlüsselstrategie im Umgang mit den prognostizierten überwältigenden Zahlen. Im Gegensatz dazu aber hat sich der Anteil kritischer Schwachstellen laut einer Analyse von Zafran von etwa 13 % 2024 auf 7 % im Jahr 2025 etwa halbiert. Die Analyse basiert auf Daten der National Vulnerability Database des National Institute of Standards and Technology (NIST). Der Anteil der Schwachstellen, die in der Praxis aktiv ausgenutzt werden, bleibt mit deutlich unter 1 % bemerkenswert stabil.
Laut dem FIRST Exploit Prediction Scoring System (EPSS) werden nur etwa 5 % aller veröffentlichten CVEs tatsächlich ausgenutzt. Die Zahl der Einträge im CISA-KEV-Katalog erhöhte sich zwar deutlich – von 1.239 Einträgen Ende 2024 auf 1.484 Ende 2025 –, doch im Vergleich zu den Zehntausenden neuer Offenlegungen ist dies nur ein Rundungsfehler.
Die Herausforderung liegt in dem massiven Engpass bei der Triage, den die „Vulpocalypse“ verursacht. Das NVD analysierte 2025 nur etwa 28 % der neu gemeldeten CVEs vollständig, doch laut der Zafran-Analyse gab es keine proportionale Zunahme des Ausnutzungsrisikos. NIST bestätigt diese Belastung Die Behörde meldete einen Anstieg der Meldungen um 263 % seit 2020 und führt die Triage nun nach Risikostufen durch, anstatt jede einzelne CVE zu analysieren.
Gründe für Explosion der absoluten Zahl
Es ist anzumerken, dass der Anstieg der CVEs kein Anzeichen dafür ist, dass Software plötzlich deutlich unsicherer geworden ist, sondern vielmehr auf drei strukturelle Faktoren zurückzuführen ist:
- KI-gestützte Fehlersuche: Die autonome Fehlersuche setzt modernste Modelle auf jahrzehntealten Legacy-Code an (Mythos, GPT 5.5). Allerdings ist Menge nicht gleich Risiko: Z.B. hat der Linux-Kernel mittlerweile mehr als 5.800 CVEs, da seine CVE Naming Authority (CNA) fast jedem Bugfix eine Kennung zuweist, selbst wenn keine Auswirkungen auf die Sicherheit nachgewiesen sind. Eine Schwachstelle zu finden und sie als Angriffswaffe zu nutzen, sind zwei völlig unterschiedliche Dinge.
- Veränderungen in der strukturellen Berichterstattung: Die Infrastruktur für die Erkennung und Katalogisierung holt auf, und das führt zu höheren Zahlen, ohne dass sich das tatsächliche Risiko ändert. Dazu gehören ein Anstieg des Volumens der GitHub-Sicherheitshinweise um rund 449 % im Vergleich zum Vorjahr sowie ein großer Rückstand an zuvor nicht zugeordneten Schwachstellen, die nun endlich katalogisiert werden.
- Produktzunahme: Die Anzahl der verschiedenen Produkte mit nachverfolgten Schwachstellen ist um mehrere Größenordnungen gestiegen. Mehr Software bedeutet schlichtweg mehr CVEs. Dies gilt auch für den Code: Je mehr Code durch KI und Programmieragenten geschrieben wird, desto mehr Fehler werden ebenfalls erzeugt.
Die eigentliche Bedrohung liegt in der Geschwindigkeit
Die Kennzahl, auf die es tatsächlich ankommt, ist die Geschwindigkeit. Der Zeitraum zwischen der Offenlegung einer Sicherheitslücke und ihrer Ausnutzung verkürzt sich von Wochen auf Stunden, und ein zunehmender Anteil der Angriffe beginnt mittlerweile bereits, bevor ein Patch des Herstellers überhaupt veröffentlicht wurde.
Der „Known Exploited Vulnerabilities“-Katalog“ (KEV) der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) ist eine maßgebliche Liste von Schwachstellen, von denen bekannt ist, dass sie aktiv von Angreifern ausgenutzt werden, und die weltweit von Sicherheitsverantwortlichen zur Priorisierung von Abhilfemaßnahmen genutzt wird. Kürzlich hat die CISA ihre pauschale 14-tägige KEV-Frist für Abhilfemaßnahmen zugunsten eines risikobasierten Modells abgeschafft, das bei Kombinationen mit dem höchsten Risiko bereits nach drei Tagen Maßnahmen verlangen kann. (siehe weiterführende Infos am Ende des Beitrags)
Genau hier sind „AI Operational Excellence“ und proaktive Intelligenz unverzichtbar. Die TrendAI™ Zero Day Initiative™ (ZDI) schließt diese Lücke im Vorfeld. Unterstützt von mehr als 19.000 mitwirkenden Forschern war die TrendAI™ ZDI laut einer unabhängigen Erhebung von 2023 für rund 60 % der weltweit koordinierten Offenlegungen verantwortlich, darunter 57 % der Schwachstellen mit kritischem Schweregrad. Die ZDI wandelt diese Erkenntnisse in Schutzmaßnahmen um, die den Kunden durchschnittlich 115 Tage vor dem Patch des Herstellers zur Verfügung stehen.
Wenn Angreifer Zero-Day-Schwachstellen am Tag Null gegen Edge-Geräte ausnutzen, ist Schutz vor der Offenlegung nicht mehr optional.
Ein Aktionsplan für Sicherheitsverantwortliche
Um das zu bewältigen, was für 2026 vorhergesagt ist, müssen Sicherheitsprogramme davon abkommen, nur die einzelnen Tropfen zu zählen, und stattdessen die Flut eindämmen. Sicherheitsverantwortliche sollten sich fragen: „Erfassen wir immer noch die Anzahl der CVEs, oder haben wir unsere Kennzahlen auf die Ausnutzbarkeit ausgerichtet?“ Die folgenden Best Practices sind zu empfehlen, um die Überlastung zu minimieren und Schwachstellen strategisch anzugehen:
- Melden Sie dem Vorstand keine rohen CVE-Zahlen: Rohdaten schüren Angst, ohne aufzuklären. Berichten Sie über aussagekräftige Ausschnitte und Trends auf der Grundlage der vorliegenden Daten.
- Triage: Zuerst KEV, dann EPSS: Bestätigte Ausnutzung ist der effektivste Filter, der zur Verfügung steht. Beheben Sie die obersten Perzentile der Ausnutzbarkeit mit Zero-Day-Dringlichkeit, und lassen Sie den Rest den Standardzyklen folgen. (siehe auch untenstehende weiterführende Infos)
- Gewinnen Sie Zeit durch virtuelles Patching und Eindämmung: Wenn die Ausnutzung der Schwachstelle schneller kommt als die Behebung oder Hersteller-Patch, neutralisiert der Schutz anfälliger Systeme auf Netzwerk- oder Workload-Ebene den Angriffspfad, ohne auf eine Codeänderung warten zu müssen. Virtuelles Patching und Eindämmung verwandeln die Lücke zwischen Bekanntgabe und Patch von einem offenen in ein kontrolliertes Risiko. Dies ist gerade für jene kleine Gruppe aktiv ausgenutzter Schwachstellen, die bei der Triage zutage treten, von größter Bedeutung.
- Investieren Sie in Automatisierung, nicht in ein immer größeres Patch-Karussell: Der Aufwand für Datenanreicherung und Triage verdoppelt sich, während die Anzahl dringender Patches für Live-Systeme unverändert bleibt. Planen Sie Mittel für intelligente Lösungen ein, die den Überblick behalten.
- Schließen Sie die Metadatenlücke: Ein großer Teil der neuen CVEs wird ohne vollständige Angaben zum Schweregrad oder zu den Produktdaten gemeldet. Stützen Sie sich auf Informationen zur Ausnutzbarkeit statt auf rohe Katalogfelder.
Wissenswerte Zusatzinfos zum Thema
Nach Risikostufen gestaffelte Priorisierung
Die CISA hat die verbindliche operative Richtlinie (BOD) 26-04 erlassen, die grundlegende Änderungen hinsichtlich der Priorisierung der Behebung von Sicherheitslücken aus dem KEV-Katalog regelt. Die Richtlinie ersetzt feste Zeitpläne für Patches durch eine nach Risikostufen gestaffelte Priorisierung, wobei Schwachstellen mit dem höchsten Risiko nun innerhalb von 3 Tagen behoben werden müssen. Das risikobasierte Rahmenwerk baut auf vier konkreten Faktoren auf: Ist die anfällige Komponente öffentlich zugänglich, ist die Schwachstelle im KEV-Katalog aufgeführt, kann sie automatisch ausgenutzt werden und kann der Angreifer nach der Ausnutzung weitreichende Kontrolle erlangen.
Wie priorisiert TrendAI™ Schwachstellen?
TrendAI™ konzentriert sich verstärkt auf den CISA-KEV-Katalog als bewährtes Indiz für aktive Risiken. Jede Schwachstelle im Katalog wird von Angreifern aktiv ausgenutzt – ihre Behebung führt daher zu einer echten, messbaren Risikominderung und nicht nur zu einem Schutz vor hypothetischen Gefahren. Unser Schwerpunkt bei virtuellen Patches und der Reaktion auf Schwachstellen richtete sich schon seit Langem genau auf diese Art von Schwachstellen mit schwerwiegenden Folgen, und wir verstärken diesen Fokus nun noch weiter.
Wir kombinieren den KEV-Katalog, eigene TrendAI™ ZDI-Schwachstellenforschung, Exploit-Informationen, das Risiko für das Unternehmen und den geschäftlichen Kontext und nutzt dabei KI in TrendAI Vision One™, um kontinuierlich zu ermitteln, wo Maßnahmen das Risiko am stärksten reduzieren.