Mobile-Menu

Time-to-Exploit laut Mandiant erstmals negativ Bei Schwachstellen zählt bald nur noch ausnutzbar oder nicht

Ein Gastbeitrag von Thomas Joos für Wiz 6 min Lesedauer

Anbieter zum Thema

Google Cloud EMEA Ltd
Onapsis Europe GmbH

Patches kommen im Schnitt eine Woche zu spät. Mandiant beziffert die Time-to-Exploit neuer Schwachstellen erstmals im Minusbereich, während KI-Analysen wie beim Linux-Kernel-Fehler „Copy Fail“ jahrealte Lücken ans Licht holen. Ob sich der Vorsprung der Angreifer noch aufholen lässt, entscheidet sich an einer einzigen Frage.

Exploits laufen zunehmend automatisiert und in Sekunden ab, tagelange Vorbereitung braucht kaum noch ein Angreifer. Aus Wochen bis zur ersten Ausnutzung werden so nur noch Minuten.(Bild: Gemini / KI-generiert)
Exploits laufen zunehmend automatisiert und in Sekunden ab, tagelange Vorbereitung braucht kaum noch ein Angreifer. Aus Wochen bis zur ersten Ausnutzung werden so nur noch Minuten.
(Bild: Gemini / KI-generiert)

Mandiant misst die mittlere Zeit bis zur Ausnutzung neuer Lücken inzwischen im negativen Bereich. Das bedeutet, dass Angreifer eine Schwachstelle im Median bereits ausnutzen, bevor der Hersteller überhaupt einen Patch veröffentlicht. Die Time-to-Exploit liegt bei geschätzt minus sieben Tagen, der Angriff kommt dem Fix also im Schnitt rund eine Woche zuvor. Oron Noah, VP of Product bei Wiz, erklärt die Folgen für die Verteidigungsarchitektur und den Wandel der Ausnutzbarkeit zur reinen Ja-Nein-Frage.

Der M-Trends-2026-Bericht von Mandiant und Google Cloud beziffert die mittlere Time-to-Exploit auf geschätzt minus sieben Tage. Die Ausnutzung beginnt im Median, bevor ein Patch bereitsteht. Parallel ist die Weitergabe eines Erstzugriffs an den nächsten Akteur von acht Stunden vor drei Jahren auf 22 Sekunden gefallen. Exploits bleiben im sechsten Jahr hin­ter­ei­n­an­der der häufigste Einstiegsvektor und stehen hinter rund einem Drittel der untersuchten Vorfälle. Für jede Organisation, die Updates ausrollt, verliert damit eine Grundannahme ihre Gültigkeit. Der Patch-Zyklus schützt nicht mehr verlässlich vor der ersten Angriffswelle.

Die IT-Sicherheit ändert sich in den nächsten Monaten grundlegend

Noah rechnet damit, dass sich die Bewertung einer Schwachstelle im kommenden Jahr auf eine binäre Auskunft verengt. „Im kommenden Jahr gilt eine neue Norm. Man findet eine Schwach­stelle, und die einzige Frage lautet, ob sie ausnutzbar ist, ja oder nein. Die Monate, die früher zwischen dem Eintrag im CVE-Katalog und der ersten Ausnutzung lagen, gibt es dann nicht mehr“, sagt Noah. Sicherheitsteams verlieren damit die Spanne, in der sie früher in Ruhe priorisieren und nachziehen konnten. An ihre Stelle rückt eine Reaktionsgeschwindigkeit, die der maschinellen Taktung der Angreifer standhält.

Den Umbruch führt Noah auf die großflächigen Ausnutzungswellen der vergangenen Jahre zurück. Das Muster zeigte sich bei der MOVEit-Kampagne von 2023. Die Cl0p-Gruppe nutzte ab dem 27.05.2023 eine SQL-Injection in Progress MOVEit Transfer aus, geführt als CVE-2023-34362. Zum Zeitpunkt der Massenausnutzung existierte kein Fix. Mehrere Tausend aus dem Internet erreichbare Server standen offen, bevor Hersteller und Behörden reagierten. Eine als Zero-Day breit ausgenutzte Schwachstelle lässt klassischen Vulnerability-Management-Teams keinen Spielraum mehr für ruhige Hygiene.

KI legt jahrealte Lücken offen

Die nächste Stufe setzt noch früher an. KI-gestützte Analyse deckt Schwachstellen auf, die jahrelang unbemerkt im Quellcode lagen. Im April 2026 meldete das Sicherheitsunternehmen Theori über seine KI-gestützte Testplattform den Kernel-Fehler CVE-2026-31431, getauft „Copy Fail“. Der Logikfehler steckt seit 2017 in der Krypto-Schicht des Linux-Kernels und erlaubt einem lokalen Nutzer die Rechteausweitung auf root. CrowdStrike beobachtet aktive Ausnutzung, die CISA führt den Eintrag im Katalog bekannter ausgenutzter Schwachstellen. Allein für 2025 zählte die Google Threat Intelligence Group 90 aktiv ausgenutzte Zero-Days, knapp die Hälfte davon in Unternehmenstechnik. Genau diese Dynamik beschreibt Noah. „Man muss seine exponierten Technologien vollständig kennen und die wichtigen Assets markieren und ranken, also die Dinge, die von vornherein nach außen offen liegen. Heute sind sie nicht verwundbar. Morgen können sie es sein“, erläutert er. Aus diesem Befund leitet er einen Vorbereitungs­auf­trag an jedes Team ab, lange bevor der erste Angriff trifft.

Der Red Agent prüft Ausnutzbarkeit am realen Pfad

Wiz beantwortet die verkürzte Zeitachse mit drei autonom arbeitenden Agenten. Der Red Agent übernimmt die Rolle eines Penetrationstesters und prüft die Umgebung von außen. Grundlage bildet der Security Graph, der die Netzwerktopologie samt Firewall-Regeln und die nach außen offenen Endpunkte modelliert. Einen offen erreichbaren Kubernetes-Cluster behandelt der Agent als mögliche Eintrittsstelle, verbindet das Wissen über die darunterliegenden Tech­no­lo­gien und versucht den Durchbruch von außen. Am Ende steht ein eindeutiges Verdikt. Gelingt die Ausnutzung dem Agenten, gilt sie auch für einen realen Angreifer als machbar, und das Team kennt zugleich die Pfade, die sich daraus öffnen.

Den wesentlichen Unterschied zur reinen Risikoliste sieht Noah in der Nachvollziehbarkeit. „Der Red Agent übergibt dem SOC-Team beides, den Weg des Durchbruchs und den exakten Befehl zum Nachstellen. Bei Zweifeln am Ergebnis spielt das Team den Schritt selbst nach und be­ob­ach­tet die Ausnutzung selbst“, beschreibt er den Ablauf. Aus einer langen Aufstellung nominell kritischer Funde wird so eine überschaubare Menge bestätigter Angriffspfade. Die Frage zielt damit auf einen konkreten Pfad im eigenen Netz statt auf die Zahl offener CVEs.

Kontext verschafft den Verteidigern den Vorteil

Die Verteidiger sieht Noah im Vorteil, sobald KI auf beiden Seiten steht. „Viele fürchten sich vor KI. Wir halten dagegen, dass Verteidiger wie Wiz zusammen mit Google die besseren Vo­r­aus­set­zungen haben. Ein Angreifer kennt nur, was er von außen sieht. Eine Verteidiger-KI braucht Kontext, und den Kontext haben wir, über die Identitäten, die Verbindungen und die Be­zie­hungen zwischen den Elementen in der Cloud“, sagt Noah. Sein Leitsatz dazu lautet „Wir nutzen KI, um KI zu schlagen.“ Der Kontext aus dem Security Graph entscheidet, ob ein Fund an der Außenschicht mit einer tiefer liegenden Schwäche zusammenhängt und ob ein kompromittierter Agent am Ende Zugriff auf ein Kronjuwel-Asset erhält.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Seit März 2026 gehört Wiz zu Google Cloud, die Marke bleibt bestehen. Für das Thema Ausnutzbarkeit verbindet der Verbund die Posture-Analyse von Wiz mit der Frontline-Aufklärung aus dem Mandiant-Umfeld. Francis deSouza, COO und President of Security Products bei Google Cloud, beschreibt den Übergang von einer menschlich geführten hin zu einer KI-geführten Verteidigung unter menschlicher Aufsicht, mit einer teilautomatisierten Zwischenstufe. Der bestehende Triage- und Untersuchungs-Agent verarbeitete nach Google-Angaben über fünf Millionen Alarme im vergangenen Jahr und drückte eine typische halb­stündige Analyse auf rund 60 Sekunden. Die Bedrohungsdaten aus den Mandiant-Un­ter­su­chun­gen fließen in die Priorisierung ein und unterscheiden eine real ausgenutzte Lücke von einer rein theoretisch kritischen.

Blue Agent und Green Agent übernehmen die Reaktion

Die beiden weiteren Agenten ergänzen den Ansatz an der Reaktionsseite. Der Blue Agent überwacht die Umgebung dauerhaft und liefert dem SOC-Analysten innerhalb einer Minute eine belastbare Aussage über einen aktiven Angriff samt dem Hinweis auf die passende Gegenmaßnahme. Der Green Agent sucht Fehler und ordnet sie dem jeweils Verantwortlichen zu. Dazu schlägt er einen Code-Fix vor, der sich per Klick an einen Coding-Agenten übergeben lässt. Für geschäftskritische Anwendungen zieht Wiz eine bewusste Grenze. Ein Mensch gibt den automatisierten Korrekturvorschlag frei, bevor er greift. Bei modern aufgesetzten Pipelines mit gestuftem Staging und automatisierten Tests gelangt der Austausch eines verwundbaren Base-Images über die regulären Prüfstufen in die Produktion.

Sichtbarkeit bildet den Ausgangspunkt

Für Unternehmen beginnt die Vorbereitung früher. Noah empfiehlt, die exponierten Tech­no­lo­gien zu erfassen und die kritischen Assets zu ranken. Für jeden Posten rät er zudem zu einem Verantwortlichen und einem Remediation-Plan. „Alles beginnt mit Sichtbarkeit. Sichtbarkeit ist der Schlüsselfaktor, denn ungesehene Systeme lassen sich nicht schützen“, fasst er zusammen. Den ersten Schritt für eine unübersichtlich gewordene KI-Umgebung beschreibt er als voll­stän­di­ge Inventarisierung der Agenten, und MCP-Server samt der genutzten Tools, verbunden mit der Klärung, wer sie angelegt hat. Nach Wiz-Angaben zeigen über 70 Prozent der untersuchten Kundenumgebungen bereits Spuren solcher KI-Komponenten, oft schneller eingeführt, als die Sicherheitsteams mitwachsen.

Die verkürzte Zeitachse macht den Patch-Zyklus zur notwendigen, doch nicht mehr hin­rei­chen­den Kontrolle. Entscheidend ist die Geschwindigkeit, mit der ein Team einen Fund als aus­nutz­bar bestätigt und den passenden Angriffspfad schließt. Wiz verlagert diese Bestätigung in eine maschinelle Prüfung am realen Pfad und übergibt dem SOC ein Ja oder Nein anstelle einer Risikoliste. Für jede Organisation, die Updates einspielt, verschiebt sich der Maßstab von der Zahl offener Schwachstellen hin zur belegten Ausnutzbarkeit im eigenen Netz.

(ID:50968876)

Weiterführende Inhalte