Wenn KI Schwachstellen schneller findet, als Unternehmen reagieren können… 

Warum kürzere Angriffsfenster, unbekannte IT-Systeme und überlastete Sicherheitsteams eine neue Cyberabwehr erfordern 

Stellen Sie sich vor, Sie beginnen Ihren Arbeitstag mit einer dringenden Sicherheitswarnung. Zwei kritische Schwachstellen wurden in PHP entdeckt, jener Technologie, die zahlreiche Webseiten, Webanwendungen und digitale Dienste im Hintergrund antreibt. Unter bestimmten Bedingungen könnten Angreifer aus der Ferne eigenen Code auf einem betroffenen Server ausführen, ohne Anmeldung und ohne Interaktion eines Nutzers. 

Während technische Details bereits kursieren, läuft die Suche nach betroffenen Systemen. Behörden, Hochschulen und Unternehmen stehen vor denselben Fragen: Welche unserer Anwendungen nutzen PHP? Welche davon sind aus dem Internet erreichbar? Wer kann die Sicherheitsupdates einspielen? 

Genau dieses Szenario trat letzte Woche ein. Das Bundesamt für Sicherheit in der Informationstechnik (BSI), CERT-EU und das britische National Cyber Security Centre (NCSC) empfahlen, betroffene Systeme umgehend zu aktualisieren. Wo das nicht möglich sei, sollten öffentlich erreichbare Anwendungen isoliert oder vorübergehend vom Netz genommen werden. 

Der Vorfall ist mehr als eine weitere Meldung über kritische Sicherheitslücken. Er zeigt, wie stark sich das Tempo der Cybersecurity verändert hat. Er macht mehrere Entwicklungen gleichzeitig sichtbar: 

• Schwachstellen werden zunehmend auch mithilfe künstlicher Intelligenz entdeckt. 

• Sicherheitsinformationen verbreiten sich in kürzester Zeit. 

• Angreifer können Aufklärung und Scans automatisieren. 

• Das Zeitfenster für Gegenmaßnahmen wird kleiner. 

• Sicherheitsteams müssen mehrere dringliche Risiken parallel bewältigen. 

Maschinen arbeiten in Sekunden. Unternehmen reagieren in Prozessen. 

Wenn künstliche Intelligenz Fehler ausnutzbar macht 

Die Schwachstellen steckten nicht in einem einzelnen Plugin, sondern in der zentralen Laufzeitumgebung. Dadurch konnten auch Anwendungen gefährdet sein, deren eigener Code den Fehler nicht enthielt. Die Ursachen lagen in der Speicherverwaltung und im Umgang mit internen Zuständen zwischen Webanfragen. 

Entdeckt wurden die Lücken mit Hilfe moderner KI-Modelle. Forschende von Wiz, Calif und OpenAI untersuchten die PHP-Codebasis. Teile des Problems waren in der Fachwelt schon länger bekannt, galten aber als praktisch nicht ausnutzbar. KI half dabei, daraus einen funktionierenden Angriff abzuleiten. Der Fall zeigt damit das Potenzial künstlicher Intelligenz für die defensive Sicherheitsforschung. 

Was KI in der Sicherheitsforschung leisten kann 

KI kann Sicherheitsforschende beispielsweise unterstützen bei: 

• der Untersuchung großer und komplexer Codebasen 

• der Identifikation ungewöhnlicher Muster 

• dem Vergleich unterschiedlicher Softwareversionen 

• der Suche nach potenziell gefährlichen Programmfehlern 

• der Priorisierung auffälliger Befunde 

• der Analyse möglicher Auswirkungen einer Schwachstelle 

Was dasselbe Potenzial für Angreifer bedeutet 

Dieses Potenzial ist nicht auf die Verteidigung beschränkt. Ähnliche Fähigkeiten können Angreifern helfen, veröffentlichte Schwachstellen zu verstehen, Patches zu analysieren, Angriffsskripte anzupassen oder die Suche nach exponierten Systemen zu automatisieren. 

Das bedeutet nicht, dass jede neue Schwachstelle durch KI entdeckt oder jeder Angriff mit KI durchgeführt wird. Belegt ist jedoch, dass KI bei defensiven wie offensiven Sicherheitsaufgaben eingesetzt werden kann, etwa bei Codeanalyse, Schwachstellenforschung, Aufklärung, Skripterstellung und der Auswertung technischer Informationen. 

Für Sie entsteht daraus eine entscheidende Frage: Was passiert, wenn die Entdeckung und Analyse von Schwachstellen schneller wird, Ihre internen Abläufe aber unverändert bleiben? 

Von der Warnung zum Angriffsversuch 

Nach der Veröffentlichung einer kritischen Schwachstelle beginnt ein Wettlauf. Sicherheitsbehörden, Hersteller und Unternehmen untersuchen das Risiko, während auch potenzielle Angreifer die Informationen auswerten. 

Wie ein solcher Ablauf aussehen kann 

1. Eine Schwachstelle wird öffentlich bekannt, teils schon vor Verfügbarkeit des Patches. 

2. Forschende und Angreifer analysieren die technischen Details. 

3. Erste funktionsfähige Angriffscodes werden entwickelt. 

4. Automatisierte Scans suchen nach erreichbaren Systemen. 

5. Erste Ausnutzungsversuche beginnen. 

6. Unternehmen prüfen ihre Betroffenheit und planen die Behebung. 

7. Sicherheitsteams suchen nach Hinweisen auf Kompromittierungen. 

Besonders kritisch ist das für Systeme, die direkt aus dem Internet erreichbar sind, etwa Webserver, VPN-Zugänge, Firewalls, Dateiübertragungsdienste und Verwaltungsoberflächen. 

Was die Zahlen zeigen 

Eine Untersuchung der Google Threat Intelligence Group (GTIG) zeigt die wachsende Dynamik. Die Zahl der monatlich veröffentlichten Schwachstellen stieg von 5.045 im Januar 2026 auf 10.740 im August, nicht allein durch KI, sondern auch durch automatisierte Vergabeprozesse. Die durchschnittliche Zahl der monatlich tatsächlich ausgenutzten Schwachstellen lag 2025 bei 10,5 und von Januar bis August 2026 bei 18. GTIG führt das vor allem auf die schnelle Ausnutzung bereits bekannter Schwachstellen zurück. Zugleich wurden nur 0,23 % aller veröffentlichten Schwachstellen tatsächlich ausgenutzt. Gerade deshalb kommt es auf Priorisierung an. 

Auch der Known Exploited Vulnerabilities (KEV) Catalog der Cybersecurity and Infrastructure Security Agency (CISA) macht den Zeitdruck sichtbar. Laut einer Auswertung von Barracuda (Juli 2026) lag für seit 2022 veröffentlichte Schwachstellen der Median zwischen Veröffentlichung und Aufnahme in den Katalog bei neun Tagen, knapp die Hälfte wurde innerhalb einer Woche aufgenommen. Der Katalog enthält nur Schwachstellen mit ausreichenden Belegen für aktive Ausnutzung. 

Warum Abwarten keine Strategie ist 

Nicht jede Schwachstelle lässt sich gleich schnell oder zuverlässig ausnutzen. Technische Komplexität, benötigte Zugriffsrechte, verfügbare Angriffscodes und die Systemkonfiguration beeinflussen das Risiko erheblich. Auch bei kritischen PHP-Lücken hängt die Ausnutzbarkeit oft von der konkreten Konfiguration ab. An der Dringlichkeit eines Updates ändert das nichts. 

Gerade diese anfängliche Unsicherheit macht die Situation schwierig. Sie wissen nicht, wie zuverlässig ein Angriff funktioniert, und ebenso wenig, wer bereits nach verwundbaren Systemen sucht. Abwarten ist keine belastbare Sicherheitsstrategie. 

Sie können nicht schützen, was Sie nicht kennen 

Angenommen, eine neue Warnung betrifft eine Technologie, die in Ihrem Unternehmen eingesetzt wird. Können Sie innerhalb weniger Minuten sagen, wo sie läuft, welche Instanzen öffentlich erreichbar sind, welche Versionen installiert sind und wer verantwortlich ist? Drei Fragen sollte Ihr Unternehmen kurzfristig beantworten können: 

• Welche Systeme und Anwendungen sind betroffen? 

• Welche davon sind aus dem Internet erreichbar? 

• Wer ist für Aktualisierung, Überwachung und Wiederherstellung verantwortlich? 

Warum aus einem technischen Fehler ein organisatorisches Problem wird 

In gewachsenen IT-Umgebungen sind diese Antworten oft schwerer zu finden als erwartet. PHP kann direkt auf einem Webserver installiert sein, in einem Container laufen oder Teil eines Drittprodukts sein. Auch Appliances, Netzwerkgeräte, Verwaltungsoberflächen und eingebettete Systeme können PHP enthalten, ohne dass dies in einem zentralen Inventar sichtbar wird. Das niederländische NCSC wies deshalb ausdrücklich darauf hin, auch Produkte und Geräte mit eingebettetem PHP zu prüfen. 

Ohne vollständiges Inventar müssen Ihre Teams erst suchen, bevor sie handeln können. Bei unklaren Zuständigkeiten beginnt eine Kette aus Rückfragen: Die interne IT verweist auf den Hostinganbieter, dieser auf die Agentur, die Agentur auf den Hersteller. Währenddessen bleibt das System möglicherweise erreichbar. Asset-Transparenz ist keine administrative Nebenaufgabe, sondern Voraussetzung für schnelle Cyberabwehr. 

Was ein belastbares Inventar erkennen lassen sollte 

• welche Systeme und Anwendungen betrieben werden 

• welche Softwareversionen installiert sind 

• welche Systeme öffentlich erreichbar sind 

• welche Daten dort verarbeitet werden 

• welche geschäftliche Bedeutung ein System besitzt 

• welche internen und externen Verantwortlichen zuständig sind 

• welche Abhängigkeiten zu Dienstleistern und Drittprodukten bestehen 

Das britische NCSC nannte im Zusammenhang mit den PHP-Schwachstellen die Bestandsaufnahme aller Installationen als ersten Schritt. 

Ein Update schließt die Lücke, aber nicht den Vorfall 

Patchmanagement bleibt eine der wichtigsten Sicherheitsmaßnahmen. Für nicht mehr unterstützte Entwicklungszweige mussten Betreiber prüfen, ob ihre Distribution oder ein Anbieter eine Korrektur bereitstellte. 

Ein erfolgreich installiertes Update beantwortet jedoch nur eine Frage: Ist der bekannte Angriffsweg jetzt geschlossen? Ein Patch zeigt Ihnen nicht automatisch: 

• ob das System vor der Aktualisierung angegriffen wurde 

• ob Angreifer bereits Schadcode ausgeführt haben 

• ob Zugangsdaten oder Sicherheitsschlüssel entwendet wurden 

• ob neue Benutzerkonten angelegt wurden 

• ob eine Webshell oder andere Hintertür vorhanden ist 

• ob Angreifer weitere Systeme erreicht haben 

Ein vollständig aktualisiertes System kann weiterhin kompromittiert sein, wenn ein Angreifer vor dem Patch Zugriff erlangt und einen dauerhaften Zugang eingerichtet hat. Zu jedem Update gehört deshalb die Prüfung auf Anzeichen eines unbefugten Zugriffs. Wenn weder Update noch ausreichende Schutzmaßnahmen zeitnah möglich sind, sollten Sie eine vorübergehende Isolation oder Abschaltung erwägen, wie BSI, CERT-EU und NCSC es empfahlen. 

Prävention und Erkennung dürfen nicht getrennt betrachtet werden. Patchmanagement reduziert Ihre Angriffsfläche. Kontinuierliche Überwachung zeigt Ihnen, ob diese Angriffsfläche bereits ausgenutzt wurde. 

Wenn jede Sicherheitswarnung dringend erscheint 

Während Ihr Team eine kritische Schwachstelle bewertet, verschwinden andere Risiken nicht. Parallel treffen Hinweise zu Cloud-Diensten, Betriebssystemen, Identitäten, Lieferketten und Drittanwendungen ein. 

Die Fragen hinter jeder Meldung 

• Sind unsere Systeme betroffen? 

• Ist die verwundbare Komponente öffentlich erreichbar? 

• Gibt es bereits aktive Angriffe? 

• Welche Daten oder Geschäftsprozesse wären gefährdet? 

• Existiert ein Update oder eine verlässliche Schutzmaßnahme? 

• Können wir die Änderung sofort umsetzen? 

• Müssen wir nach Spuren einer Kompromittierung suchen? 

Warum Kontext wichtiger ist als der Schweregrad allein 

Eine nur nach technischem Schweregrad sortierte Aufgabenliste reicht nicht aus. Ein hoher CVSS-Wert beschreibt die Eigenschaften einer Schwachstelle, aber nicht automatisch Ihr individuelles Risiko. Ein kritischer Fehler in einem isolierten Testsystem kann weniger dringlich sein als eine aktiv ausgenutzte Schwachstelle auf einem öffentlich erreichbaren Produktionssystem. 

CISA empfiehlt, den Katalog nachweislich ausgenutzter Schwachstellen für die risikobasierte Priorisierung zu nutzen. Auch GTIG plädiert angesichts steigender Fallzahlen für eine Priorisierung nach Bedrohungsinformationen und konkreter Exposition. Sie brauchen also nicht nur Geschwindigkeit, sondern Kontext. Erst die Verbindung aus Schwachstelleninformationen, Asset-Inventar, externer Erreichbarkeit, bekannten Angriffen und geschäftlicher Bedeutung zeigt, wo Sie zuerst handeln sollten. 

Geschwindigkeit entsteht nicht durch ein einzelnes Werkzeug 

Wenn Angreifer automatisiert nach verwundbaren Systemen suchen, genügt es nicht, Ihre Umgebung nur während der üblichen Geschäftszeiten zu beobachten. Verdächtige Anfragen, ungewöhnliche Prozesse, neue Dateien, auffällige Anmeldungen und unerwartete Netzwerkverbindungen müssen möglichst früh erkannt und bewertet werden. 

Mehr Sicherheitsdaten führen dabei nicht automatisch zu mehr Sicherheit. Ohne Priorisierung und Kontext belasten zusätzliche Warnmeldungen Ihre Teams weiter. Entscheidend ist, relevante Signale aus verschiedenen Quellen zusammenzuführen und daraus eine angemessene Reaktion abzuleiten. 

Bausteine einer resilienten Cyberabwehr 

• Transparenz über Systeme, Software und Abhängigkeiten 

• risikobasierte Priorisierung neuer Schwachstellen 

• schnelles und strukturiertes Patchmanagement 

• kontinuierliche Überwachung kritischer Systeme 

• klare Zuständigkeiten und Eskalationswege 

• erprobte Prozesse für Untersuchung und Eindämmung 

• getrennte und regelmäßig getestete Backups 

• aktuelle Bedrohungsinformationen 

• verlässliche Wiederherstellungsverfahren 

Kein einzelnes Produkt kann das vollständig übernehmen. Geschwindigkeit entsteht erst, wenn Technik, Prozesse und Verantwortlichkeiten ineinandergreifen. 

Warum Managed Detection and Response zum zweiten Sicherheitsnetz wird 

Auch mit gutem Patchmanagement werden Sie nicht jede Schwachstelle sofort schließen können. Manchmal fehlt zunächst ein Update, eine geschäftskritische Anwendung muss getestet werden, ein Hersteller liefert verspätet oder ein älteres System lässt sich nicht ohne größere Änderungen aktualisieren. 

In diesem Zeitraum brauchen Sie ein zweites Sicherheitsnetz. Detection and Response ergänzt präventive Maßnahmen durch die kontinuierliche Suche nach verdächtigen Aktivitäten, die Untersuchung möglicher Angriffe und eine schnelle Reaktion auf bestätigte Bedrohungen. 

Managed Detection and Response (MDR) kann besonders Unternehmen unterstützen, die eine durchgehende Überwachung und spezialisierte Sicherheitsanalyse nicht vollständig intern abbilden können. MDR ersetzt weder Asset Management noch Patchmanagement, sondern ergänzt sie dort, wo ein Risiko nicht sofort beseitigt werden kann. 

Daten aus Endgeräten, Identitäten, Netzwerken, Cloud-Umgebungen und weiteren Quellen können überwacht, verknüpft und im Kontext bewertet werden. Der Mehrwert liegt vor allem in der Reaktionsfähigkeit: Während Ihre internen Teams Updates koordinieren und den Geschäftsbetrieb absichern, können verdächtige Aktivitäten parallel untersucht werden. So wird es deutlich unwahrscheinlicher, dass eine noch ungepatchte oder bereits kompromittierte Umgebung unbemerkt bleibt. 

NovaMDR™ als zweites Sicherheitsnetz 

Unser Partner ForeNova unterstützt Unternehmen in der DACH-Region genau an dieser Stelle. Mit NovaMDR™ überwacht ein spezialisiertes Team Ihre IT-Umgebung rund um die Uhr, bewertet verdächtige Aktivitäten im Kontext und leitet bei bestätigten Bedrohungen schnell Gegenmaßnahmen ein. Ihre internen Teams behalten den Fokus auf Patchmanagement und Geschäftsbetrieb, während NovaMDR™ die Lücke dazwischen absichert. 

Gemeinsam mit ForeNova bieten wir Ihnen damit Schutz, der präventive Maßnahmen sinnvoll ergänzt. Sprechen Sie uns an, wir beraten Sie gerne dazu, wie sich NovaMDR™ in Ihre bestehende Sicherheitsstrategie einfügen lässt. 

Fazit: Reaktionsfähigkeit wird zum entscheidenden Sicherheitsfaktor 

Der Vorfall zeigt, wie die Zukunft der Cybersecurity aussehen könnte. KI-gestützte Forschung macht Fehler ausnutzbar, die lange verborgen blieben. Technische Informationen verbreiten sich schnell, manchmal noch vor dem Patch. Angreifer automatisieren Suche und Analyse. Unternehmen müssen gleichzeitig ihre Betroffenheit feststellen, Systeme aktualisieren und mögliche Einbrüche untersuchen. 

Die entscheidende Lehre lautet deshalb nicht, dass Sie nur schneller patchen müssen. Sie müssen Ihre gesamte Reaktionskette verkürzen. Fragen Sie sich: 

• Wissen Sie, welche Systeme und Softwarekomponenten Sie betreiben? 

• Erkennen Sie, welche davon öffentlich erreichbar sind? 

• Können Sie Schwachstellen nach Ihrem tatsächlichen Risiko priorisieren? 

• Sehen Sie, wenn eine Schwachstelle aktiv ausgenutzt wird? 

• Kann Ihr Team auch außerhalb regulärer Arbeitszeiten reagieren? 

• Wissen alle Beteiligten, was in einem kritischen Fall zu tun ist? 

Je klarer Sie diese Fragen beantworten können, desto weniger Zeit verlieren Sie im Ernstfall. Denn im Zeitalter künstlicher Intelligenz entscheidet nicht allein, wer eine Schwachstelle zuerst findet. Entscheidend ist, wer die gewonnenen Informationen schneller in wirksames Handeln übersetzt.