KI-gesteuerte Sicherheitslücken verkürzen das Patch-Fenster und erfordern eine schnellere Abwehr

KI beschleunigt jede Phase des Lebenszyklus von Sicherheitslücken. Neue Schwachstellen werden schneller entdeckt, und Angreifer reagieren nach ihrer Bekanntgabe schneller denn je, um sie auszunutzen. Zwei Schlagzeilen aus diesem Sommer veranschaulichen diesen Wandel.

Der „Patch Tuesday“ von Microsoft im Juli 2026 ging mit einer Rekordzahl von 622 Korrekturen als größtes Sicherheitsupdate in der Geschichte des Programms in die Annalen ein. Diese Rekordzahl an Korrekturen betraf das Windows-Ökosystem, Microsoft Office, SharePoint, Azure-Dienste und Visual Studio. Zu den Sicherheitslücken zählten drei Zero-Day-Schwachstellen, von denen zwei bereits aktiv ausgenutzt wurden.

Ein Bericht des „Infosecurity Magazine“ weist auf eine neue Entwicklung hin: KI-Modelle verkürzen den Zeitraum zwischen der Offenlegung einer Sicherheitslücke und deren Ausnutzung. Die kritische „React2Shell“-Sicherheitslücke wurde von Angreifern bereits innerhalb eines Tages nach ihrer Offenlegung ausgenutzt.

Die bisherige Annahme, dass der „Patch Tuesday“ eine überschaubare, vorhersehbare Reihe von Updates liefert, trifft nicht mehr zu. Drei wesentliche Veränderungen sind für diesen Wandel ausschlaggebend:

1. KI entdeckt Schwachstellen schneller denn je : Dank KI lassen sich Schwachstellen weitaus schneller aufdecken, als Sicherheitsteams sie manuell bewerten und priorisieren können.
2. Das Zeitfenster zwischen Offenlegung und Ausnutzung wird immer kleiner: Dieselbe Automatisierung, die Forschern und Anbietern hilft, Schwachstellen schneller zu finden, steht auch Angreifern zur Verfügung, die bereits KI-Tools einsetzen, um Angriffskampagnen zu koordinieren und Ziele in großem Umfang zu identifizieren. Die Umwandlung in Angriffswerkzeuge erfolgt mittlerweile innerhalb von Stunden statt Tagen oder Wochen.
3. Die Erkennung von Sicherheitslücken in KI-Geschwindigkeit erfordert eine Erkennung und Behebung in KI-Geschwindigkeit: Wenn die Erkennung exponentiell zunimmt und das Patchen weiterhin manuell erfolgt, wird die Lücke zwischen bekannt gewordenen und behobenen Sicherheitslücken nur noch größer werden.
4. Angreifer nutzen zunehmend verkettete Sicherheitslücken aus: Diese können durch die Kombination mehrerer Schwachstellen entstehen – genau die Art von Mustern, die sich durch KI-gestützte Angreifer gut erkennen lassen.

Ein von Menschen gesteuerter Workflow war nie dafür ausgelegt, eine 24-Stunden-Lücke bei Hunderten von Endpunkten und Hunderten von CVEs in ein und derselben Version zu schließen. Das Patch-Management ist nicht mehr nur eine Herausforderung für den Workflow. Es ist eine Herausforderung hinsichtlich des Umfangs. Der Versuch, mehr als 600 CVEs in Windows-, Office-, SQL- Server-, SharePoint- und Azure-Umgebungen manuell zu priorisieren, ist nicht mehr praktikabel. Unternehmen benötigen eine automatisierte, intelligente und skalierbare Lösung.

Wenn Angreifer mit KI-Geschwindigkeit agieren, müssen die Cyberabwehrmaßnahmen mit ihrem Tempo Schritt halten und damit die Anforderungen an ein gutes Patch-Management neu definieren:

• Die Transparenz muss kontinuierlich sein, nicht nur in bestimmten Abständen. Man kann nicht auf ein 24-Stunden-Angriffsfenster reagieren, wenn der letzte Scan der Systeme bereits drei Wochen zurückliegt.
• BlindeFlecken im Bestandsüberblickwerden zu einem erheblichen Risiko. Unternehmen können keine Assets patchen, die sie nicht sehen können, wodurch unverwaltete Endgeräte und Endgeräte mit veralteter Software ungeschützt bleiben.
• Die Priorisierung muss automatisiert werden. Angesichts von Hunderten von CVEs, die auf einmal eingehen, kann die manuelle Einstufung des Schweregrads nicht mit den Angreifern Schritt halten, die bereits Exploits für genau diese Liste testen. Sicherheitsteams benötigen eine automatisierte Bewertung des Schweregrads und der Ausnutzbarkeit, um zu wissen, welche Patches nicht 48 Stunden warten können – wie beispielsweise die BitLocker- und AD FS-Schwachstellen vom Juli.
• Die Bereitstellung muss schnell und nachprüfbar erfolgen. Zu wissen, dass ein Patch existiert, bedeutet noch keinen Schutz. Er ist erst dann wirklich wirksam, wenn bestätigt ist, dass er auf jedem exponierten Endpunkt installiert ist – auch auf denen, an deren Überprüfung die IT-Abteilung nicht immer denkt.
• Die Lücke zwischen Bekanntgabe und Behebung ist mittlerweile der wichtigste Risikokennwert. Es geht nicht mehr darum, ob ein Patch vorhanden ist, sondern darum, wie lange Ihr Unternehmen benötigt, um ihn zu installieren. Dies muss in Stunden gemessen werden, nicht in Wochen. Angesichts der steigenden Zahl von Sicherheitslücken sind Verzögerungen bei der Installation von Patches mittlerweile eher die Regel als die Ausnahme, wodurch sich das Zeitfenster, in dem ein Risiko besteht, mit wachsendem Rückstand verlängert.

Rekordverdächtige „Patch Tuesdays“ und die Ausnutzung von Sicherheitslücken innerhalb von 24 Stunden sind keine Einzelfälle. Sie sind der Beginn einer neuen Realität. Unternehmen, die das Patch-Management als manuelle, periodisch wiederkehrende Notmaßnahme betrachten, werden immer weiter ins Hintertreffen geraten. Angesichts dieser Rekordzahlen bei der Entdeckung und Ausnutzung von Sicherheitslücken ist es unerlässlich, den Lebenszyklus von Sicherheitslücken – von der Entdeckung über die Priorisierung bis hin zur Behebung – zu automatisieren. Dies hilft Unternehmen dabei, sich auf die Bewältigung rekordverdächtiger Updates vorzubereiten, ohne auf Krisenmanagementmaßnahmen zurückgreifen zu müssen.

Das bedeutet den Übergang von einem Ansatz nach dem Motto „Patches, wann immer es geht“ zu einer kontinuierlichen, automatisierten Pipeline. Dieser Ansatz umfasst Echtzeit-Transparenz für jeden Endpunkt, eine risikobasierte Priorisierung, die die wichtigsten CVEs hervorhebt, sowie eine Bereitstellung, die nicht auf manuelle Terminierung angewiesen ist.