The 2026 Exposure Gap Report 92 Prozent der Sicherheitswarnungen sind nicht wirklich kritisch

Anbieter zum Thema

Check Point Software Technologies GmbH

Widas ID GmbH

Fujitsu Technology Solutions GmbH

FAST LTA GmbH

Trotz wachsender Alarmflut sind laut Check Point nur wenige Schwachstellen tatsächlich kritisch. Dennoch verschärft KI das Problem durch mehr und schnellere Angriffe.

Der Anteil an kritischen Sicherheitslücken hat sich im vergangenen Jahr mehr als verdoppelt, obwohl weniger als eine von zwölf Warnmeldungen sofortige Maßnahmen erforderte. Diese Verschiebung hat konkrete Auswirkungen darauf, wie Sicherheitsteams ihre Maßnahmen priorisieren. Der „The 2026 Exposure Gap Report“ von Check Point wirft einen Blick auf die aktuellen Anforderungen von Sicherheitsverantwortlichen, die sich mit einer nicht mehr überschaubaren der Flut an Warnmeldungen auseinandersetzen müssen.

Zwei Erkenntnisse aus dem Bericht sind bei diesem Wandel von zentraler Bedeutung. Sicherheitslücken machen mittlerweile einen wesentlich größeren Anteil der kritischen Cyberrisiken aus, doch nur ein geringer Prozentsatz dieser Warnmeldungen wird als tatsächlich ausnutzbar bestätigt. Gemeinsam zeigen diese Erkenntnisse, warum die Priorisierung vom Kontext, von der Validierung und von einem klaren Verständnis dafür abhängt, bei welchen Sicherheitsrisiken sofortige Maßnahmen erforderlich sind.

„The AI Vulnerability Storm“

250 CISOs veröffentlichen AI-Strategie-Briefing

Cyberrisiken verlagern sich zunehmend auf Schwachstellen

Sicherheitslücken machen mittlerweile 43 Prozent des kritischen Risikos aus, gegenüber 19 Prozent im Jahr 2025. Dieser Anstieg zeigt, dass Schwachstellen in Systemen und Anwendungen eine immer größere Rolle dabei spielen, wie sich das kritische Risiko in vernetzten Umgebungen entwickelt. Eine höhere Anzahl an festgestellten Sicherheitslücken bedeutet nicht automatisch ein höheres tatsächliches Risiko. Sicherheitsteams müssen wissen, welche Sicherheitsrisiken in ihrer spezifischen Umgebung von Bedeutung sind, damit sie ihre Abhilfemaßnahmen gezielt dort ansetzen können, wo es darauf ankommt.

Lediglich acht Prozent der Warnungen werden als ausnutzbar bestätigt und als „kritisch“ oder „hoch“ eingestuft. Diese Erkenntnis zeigt, dass der Anteil der Schwachstellen, die tatsächlich Maßnahmen erfordern, deutlich geringer ist, als das gesamte Warnungsvolumen vermuten lässt. Eine Schwachstelle wird als „kritisch“ oder „hoch“ eingestuft, wenn die Ausnutzbarkeit im Kontext betrachtet wird. Die betroffenen Ressourcen, die geschäftliche Relevanz, bestehende Sicherheitsmaßnahmen und Hinweise auf aktive Ausnutzung durch Angreifer bestimmen gemeinsam das Risikoniveau. Die gemeinsame Betrachtung dieser Faktoren verschafft Sicherheitsteams einen genaueren Überblick darüber, welche Schwachstellen sofortige Aufmerksamkeit erfordern.

Die Überprüfung der Ausnutzbarkeit hilft Teams dabei, große Mengen an Befunden auf eine fokussierte Reihe von Prioritäten einzugrenzen. Wenn Teams wissen, welche Schwachstellen in der Praxis ausgenutzt werden können, können sie schnellere Entscheidungen treffen, Abhilfemaßnahmen effektiver planen und den operativen Ballast reduzieren, der die Reaktion verlangsamt.

Änderungen an der NVD

NIST reagiert auf Schwachstellen-Flut

Der Branchenvergleich zeigt die Gefahr für KRITIS auf

In der Energieversorgungssektor wurde die höchste Konzentration an Sicherheitslücken verzeichnet, denn dort wurden mit 78 Prozent die branchenweit kritischsten Risiken ausgemacht. Ähnlich sieht es weltweit gesehen bei der öffentlichen Verwaltung aus. In der Fertigungsindustrie dominierten Sicherheitslücken das Risikoprofil: Dort machten sie 56 Prozent bzw. 53 Prozent der kritischen Risiken aus. All diese Ergebnisse zeigen, dass ausnutzbare Schwachstellen nach wie vor der Hauptfaktor für Cyberrisiken in verschiedenen industriellen und öffentlichen Umgebungen sind.

Die Kompromittierung und Offenlegung sensibler Informationen war die führende Kategorie im Gesundheitswesen, in der Telekommunikation, im Technologie- und IT-Sektor sowie bei den Finanzdienstleistungen. Das Gesundheitswesen verzeichnete mit 64 Prozent die höchste Konzentration, gefolgt von der Telekommunikation mit 59 Prozent, dem Technologie- und IT-Sektor mit 53 Prozent und den Finanzdienstleistungen mit 43 Prozent. Diese Muster zeigen, dass exponierte Informationsressourcen, Konfigurationslücken und Herausforderungen bei der Datenverwaltung weiterhin zentrale Anliegen in dienstleistungsorientierten und informationsintensiven Branchen sind.

Der Finanzdienstleistungssektor zeichnete sich durch ein vergleichsweise ausgewogeneres Risikoprofil aus. Die Offenlegung interner Informationen war zwar die größte Kategorie, doch entfielen 28 Prozent der kritischen Risiken auf bösartige Dateien, während kompromittierte Mitarbeiterzugangsdaten und Sicherheitslücken jeweils etwa 9 Prozent ausmachten. Unternehmen im Finanzdienstleistungssektor sind vor allem Risiken in den Bereichen Offenlegung sensibler Informationen, Malware, identitätsbezogene Risiken, Phishing und ausnutzbare Schwachstellen ausgesetzt.

Neuer Ansatz für Cyber-Risikomanagement

Warum Exposure Management das Schwachstellen-Management ablöst

Sicherheitsteams standen schon immer vor der Herausforderung, dass zwischen dem Auftreten eines Risikos und dessen Behebung eine zeitliche Lücke besteht. Im Jahr 2026 ist der zeitliche Faktor noch schwieriger zu bewältigen. Angreifer können mehr Schwachstellen mit höherer Geschwindigkeit testen und ausnutzen. Automatisierte und KI-gestützte Angriffstools haben sowohl das Ausmaß als auch das Tempo der Schwachstellenerkennung verändert. Angreifer können exponierte Systeme, Anmeldedaten, Phishing-Infrastrukturen und bekannte Schwachstellen rasch testen, bis sie einen nutzbaren Einstiegspunkt finden. Sobald dieser Einstiegspunkt besteht, können sich auch Folgeaktivitäten wie laterale Bewegung und Datenzugriff beschleunigen. Das Ergebnis ist ein kürzeres Zeitfenster für die Verteidiger, um Schwachstellen zu identifizieren, zu priorisieren und zu beheben, bevor sie zu tatsächlichen Schäden führen.

Die Gesundheitsbranche wies unter den unter die Lupe genommenen Branchen eines der konzentriertesten Schwachstellenprofile auf. Die Offenlegung interner Informationen machte 64 Prozent der kritischen Schwachstellen aus, gefolgt von Sicherheitslücken mit 18 Prozent und bösartigen Dateien mit 11 Prozent. Zusammen machten diese drei Kategorien mehr als 90 Prozent der kritischen Sicherheitsrisiken in Umgebungen des Gesundheitswesens aus. Dieses Profil legt nahe, dass das Risikomanagement im Gesundheitswesen neben der Behebung von Schwachstellen auch den Schutz exponierter Informationsressourcen priorisieren sollte. Umgebungen des Gesundheitswesens umfassen häufig ältere medizinische Geräte, mit dem Internet verbundene klinische Systeme, sensible Patientendaten und zahlreiche Drittanbieter. Diese Faktoren können die Wahrscheinlichkeit von Sicherheitsrisiken im Zusammenhang mit der Offenlegung erhöhen und die Behebung dieser Risiken komplexer machen.

Ein Gastkommentar von Max Rahner, Tenable

Wer Schwachstellen zählt, statt Risiken zu verstehen, betreibt Statistik

KI lässt Remediation an der Uhr drehen

Die „Mean Time to Remediation“ (MTTR) verharrte seit Jahren unverändert bei über 60 Tagen, während die Ausbeutungsdauer in den negativen Bereich abgerutscht ist. Die beiden Kurven divergieren nicht mehr nur, sondern kreuzen die Nulllinie in entgegengesetzte Richtungen, weshalb die „Defender Gap“ nicht mehr nur ein Risikofenster darstellt, sondern bereits eine sich abzeichnende Lücke ist.

Ein Blick auf die verschiedenen untersuchten Branchen zeigt auf, wo vor allem Abhilfe nötig ist. Der Finanzdienstleistungssektor verzeichnete mit 10.155 das höchste durchschnittliche monatliche Behebungsvolumen pro Unternehmen, gefolgt von den Versorgungsunternehmen mit 2.979, dem öffentlichen Sektor mit 2.012 und dem Gesundheitswesen mit 1.546. Im Zusammenhang mit der MTTR zeigen die Daten, dass die Behebungsleistung nicht allein anhand des Volumens gemessen werden kann. Die Energieversorgungsunternehmen wiesen trotz des zweithöchsten Behebungsvolumens mit 12,6 Stunden die schnellste mittlere MTTR auf. Der öffentliche Sektor folgte mit 25,4 Stunden, während der Finanzdienstleistungssektor mit einer MTTR von 48,5 Stunden die höchste Arbeitsbelastung bewältigte. Das Gesundheitswesen wies mit 158,8 Stunden die längste MTTR auf, was auf Einschränkungen wie veraltete Technologie, Verfügbarkeitsanforderungen, Änderungskontrolle und Abhängigkeiten von Drittanbietern zurückzuführen ist. Insgesamt sind diejenigen Programme zum Risikomanagement am effektivsten, die Behebungsmaßnahmen in großem Maßstab durchführen und gleichzeitig die Zeit reduzieren können, in der kritische Sicherheitslücken offen bleiben.

BSI-Lagebericht 2025

Deutschland bleibt leichtes Ziel für Cyberangriffe

Fazit

Die Schließung der wirklich kritischen Sicherheitslücken beginnt mit einer besseren Filterung und einer konsequent durchgeführten Validierung. Für Sicherheitsteams bedeutet dass, sie müssen verstehen, welche Sicherheitslücken vorhanden sind, welche ausgenutzt werden können und welche zuerst behoben werden sollten. Diejenigen, die diese Unterscheidungen klar treffen können, reagieren schneller und setzen Prioritäten mit größerer Sicherheit.

Das Ausmaß der Sicherheitslücken und die Leistungsfähigkeit bei deren Behebung variierten stark je nach Branche, was zeigt, dass das organisatorische Risiko sowohl von der Art der Sicherheitslücke als auch von der Reaktionsfähigkeit abhängt. Erfolgreiche Ergebnisse beim Management von Sicherheitslücken hängen von einer genauen Priorisierung, einer zeitnahen Behebung, hohen Umsetzungsraten bei Korrekturmaßnahmen und der Fähigkeit ab, Sicherheitslücken zu reduzieren, bevor sie zu einem größeren Sicherheitsvorfall beitragen.

Über den Autor: Yochai Corem ist General Manager Exposure Management bei Check Point Software.

„State of Threat Management Report“ von Filigran

Wenn Threat Intelligence ohne Wirkung bleibt

(ID:50892759)