Mean Time to Exploit schrumpft 2026 auf unter einen Tag Claude Mythos und das Ende der Kostenbarriere für Cyberangriffe

Anbieter zum Thema

Aagon GmbH

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Die Suche nach Schwachstellen war bislang teuer, zeitintensiv und meist Experten vorbehalten. Mit Systemen wie Claude Mythos von Anthropic droht diese Kostenbarriere zu fallen und damit die Grundlage, auf der unsere Ver­tei­di­gungs­logik seit Jahren beruht. Das BSI spricht bereits von einem Pa­ra­dig­men­wech­sel. Daniel Thomas Heessel, CISO des Jahres 2026, ana­ly­siert, was das konkret für CISOs und Sicher­heits­architekturen bedeutet.

Als das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor wenigen Tagen verlauten ließ, man stehe in direktem Austausch mit Anthropic und erwarte nach Gesprächen mit den Entwicklern „erhebliche Disruptionen“ im Umgang mit Sicherheitslücken, war dies mehr als eine der üblichen Warnmeldungen. BSI-Präsidentin Claudia Plattner sprach ungewohnt deutlich von einem Paradigmenwechsel, von einer Verschiebung der Angriffsvektoren und rührte an die Grundfesten nationaler und europäischer Souveränität.

Bemerkenswert ist das nicht, weil staatliche Stellen vor neuen Technologien warnen – das gehört zu ihrem Pflichtenheft. Bemerkenswert ist es, weil sich die Behörde zu einem System äußert, das laut Herstellerangaben in der Lage sein soll, kritische Schwachstellen in Betriebssystemen und Browsern mit einer Effizienz aufzuspüren, die menschliche Research-Teams in den Schatten stellt. Dass das BSI zeitgleich einräumte, „Mythos“ noch nicht selbst geprüft zu haben, markiert das Spannungsfeld der aktuellen Debatte: Sie bewegt sich zwischen einer möglichen Zäsur und einem System, dessen tatsächliche Fähigkeiten bislang weitgehend im Dunkeln liegen.

Claude Mythos Preview

Diese enorme Gefahr geht von Anthropics neuem KI-Modell aus

Der Verlust der Kostenbarriere und der Kollaps der „Mean-Time“

Die aktuellen Diskussionen über Mythos kratzen bislang nur an der Oberfläche. Während die einen in dem System bereits einen Wendepunkt der Cybersicherheit sehen, halten andere es vor allem für eine gut inszenierte Technologieerzählung. Beides greift zu kurz. Entscheidend ist, ob eine Fähigkeit, die bislang knapp, teuer und exklusiv war, ihren Ausnahmecharakter verliert.

Denn die Verteidigungslogik der vergangenen Jahre beruhte wesentlich auf einer Kostenstruktur auf Angreiferseite, in der die Suche nach neuen Sicherheitslücken für die meisten Akteure außerhalb der Reichweite lag. Genau diese Struktur gerät nun ins Wanken. Wie dramatisch dieser Wandel ist, belegt die „Mean Time to Exploit“ (Mean TTE): Die mittlere Zeitspanne zwischen der Offenlegung einer Schwachstelle (CVE) und ihrer aktiven Ausnutzung ist im Jahr 2026 auf unter einen Tag geschrumpft – im Schnitt liegen zwischen Entdeckung und Angriff nur noch 20 Stunden.

Anthropic beschreibt „Mythos“ als autonomes System, das diesen Weg von der Entdeckung bis zum Angriffswerkzeug radikal weiter verkürzt. Um das Risiko zu kanalisieren, startete das Unternehmen mit „Project Glasswing“ ein exklusives Präventionsprogramm für Tech-Giganten wie Microsoft, Google und Amazon. Doch jenseits dieses Marketing-Rauschens wird deutlich: Wir sprechen hier über den Transfer von strategischen Elite-Fähigkeiten in den privaten Sektor.

KI und das Ende der digitalen Sicherheit, wie wir sie kennen

Claude Mythos markiert eine Zäsur für die Cybersicherheit

Von der Skalpell- zur Brechstangen-Logik

Glasswing illustriert, dass es nicht nur um Technologie geht, sondern um Machtasymmetrien. Wenn ein elitärer Kreis frühzeitig Zugriff auf automatisierte Defensive erhält, während der Mittelstand im Unklaren bleibt, wird aus einer technischen Innovation eine politische Souveränitätsfrage. Wer die KI-gestützte Lupe zuerst hält, bestimmt die Regeln des Spiels. Gegenüber dieser Exklusivität müssen Verteidiger eine „Collective Defense“ entwickeln: Nur wenn wir uns wie Angreifer-Syndikate koordinieren und Bedrohungsdaten in Echtzeit teilen, lässt sich die Asymmetrie aufbrechen.

Gefährlich wird es dort, wo die „Industrie der Ausnutzung“ ihre exklusive Kostenstruktur verliert. Die Geschichte liefert hierfür eine düstere Blaupause: 2017 mutierte das NSA-Skalpell „EternalBlue“ in den Händen von Kriminellen zu den verheerenden Brechstangen WannaCry und NotPetya. Wenn die Kosten für High-End-Exploitation gegen Null sinken, ändert sich das Zielprofil der Angreifer radikal.

Dass die Flut bereits eingesetzt hat, zeigt die Lage bei Open-Source-Projekten: Beim Linux-Kernel stiegen die wöchentlichen Meldungen von zwei auf zehn; beim Projekt curl wich der anfängliche Frust über KI-generierten „Slop“ (halluzinierte Fehler) der Erkenntnis, dass die Berichte nun zunehmend verifizierte, hochwertige Sicherheitslücken enthalten.

Update: NSA Exploit sorgt für weltweite Attacke

WannaCry Ransomware infiziert tausende Systeme

Das Ende der Komfortzone

Bisher trafen Angreifer rationale Budgetentscheidungen. Es war schlicht günstiger, Passwörter zu stehlen, als monatelang nach einer Lücke im Windows-Kernel zu suchen. Doch wenn Systeme wie „Mythos“ den Aufwand drastisch senken, werden hochentwickelte Cyber-Waffen vom teuren Randphänomen zum skalierbaren Standardwerkzeug.

Diese Entwicklung entlarvt die stille Abhängigkeit einer Branche von einer Knappheit, die keine bewusste Verteidigungsleistung, sondern ein glücklicher Umstand war. Dieser Umstand erodiert gerade im Zuge eines „AI Vulnerability Storms“, der die Verteidiger mit einer beispiellosen Frequenz an automatisierten Angriffen konfrontiert.

Parallelen zu WannaCry-Malware

Weltweite Ransomware-Attacke

Ein neuer Arbeitsauftrag für das C-Level

Für CISOs folgt daraus die Notwendigkeit einer strategischen Neukalibrierung:

• 1. Etablierung von VulnOps: Wir müssen weg von reinem Scoring hin zu einer permanenten „Vulnerability Operations“-Funktion (VulnOps). Ähnlich wie DevOps muss VulnOps automatisierte Pipelines für die kontinuierliche Entdeckung und Behebung von Zero-Day-Lücken im eigenen Code und bei Drittanbietern schaffen.

• 2. Renaissance der Härtung und Segmentierung: Reduzierte Angriffsoberflächen und Zero-Trust-Architekturen sind in einer Welt automatisierter Angriffe die einzige wirksame Brandmauer, um den Explosionsradius (Blast Radius) eines erfolgreichen Exploits zu begrenzen.

• 3. Ressourcen-Resilienz und Burnout-Prävention: Die exponentiell steigende Last durch KI-generierten Code und die Flut an notwendigen Patches bringt Teams an ihre Kapazitätsgrenzen. CISOs müssen zusätzliche Köpfe und gezielte Automatisierung einplanen, um die menschliche Expertise vor dem Burnout zu schützen.

• 4. Prüfung der Axiome: Wer heute noch annimmt, dass seine Systeme für diesen Aufwand „zu unbedeutend“ sind, handelt fahrlässig. Das Signal von Mythos ist eindeutig: Die Ära, in der Knappheit unser bester Verteidiger war, geht zu Ende.

Wir haben solche Krisen schon einmal bewältigt. Als zur Jahrtausendwende weltweit Computersysteme auszufallen drohten, weil ihre Software nicht auf das Jahr 2000 vorbereitet war, hat die Branche das gemeinsam gemeistert – weil sie rechtzeitig verstand, dass es kein individuelles Problem war. Der Unterschied: Damals kannten wir die Deadline. Diesmal setzen sie die Angreifer.

Über den Autor: Daniel Thomas Heessel ist Gründer und Geschäftsführer der Threat-Informed Cybersecurity Solutions GmbH sowie Gründer von certmap.de. Er beschäftigt sich mit bedrohungsorientierter Informationssicherheit und der wirksamen Verbindung von Cybersecurity und Compliance. 2026 wurde er als CISO des Jahres ausgezeichnet.

Vorsicht Falle!

Die 14 gefährlichsten Irrtümer in der IT-Security!

(ID:50819896)