Ein Virus, der ein Antivirus ausnutzt, ein vernetztes Gerät, das die Tür zum Unternehmensnetzwerk öffnet, eine Drittanbieter-Webkomponente, die als Exfiltrations-Relay dient: Die aktuellen Bedrohungen zielen nicht mehr auf einen isolierten Bereich ab. Sie durchdringen die gesamte Vertrauensschicht. Die Mechanismen hinter diesen Angriffen zu verstehen, ermöglicht es, die Nachrichten zur Cybersicherheit besser zu interpretieren und die Prioritäten für notwendige Patches zu antizipieren.
Zero-Day auf Verteidigungswerkzeugen: Wenn das Antivirus zur Schwachstelle wird
Ein Zero-Day bezeichnet eine Schwachstelle, die ausgenutzt wird, bevor ein Patch verfügbar ist. Der Begriff stammt daher, dass der Anbieter null Tage Vorlaufzeit hat, um seine Nutzer zu schützen.
Im Jahr 2026 war Microsoft Defender von einem Zero-Day betroffen, der BlueHammer genannt wurde und eine lokale Privilegienerhöhung ermöglichte. Ransomware-Gruppen nutzten diese Schwachstelle aus, bevor der Patch veröffentlicht wurde. Das Paradoxon ist direkt: Das Werkzeug, das eigentlich den Arbeitsplatz schützen sollte, wird zum Angriffsvektor.
Dieses Szenario erschwert die Priorisierung von Patches für Unternehmen. Traditionell priorisieren Sicherheitsteams Schwachstellen in den über das Internet exponierten Diensten. Wenn die Schwachstelle ein Sicherheitskomponente betrifft, die bereits auf jedem Arbeitsplatz bereitgestellt ist, ist die Angriffsfläche der gesamte Bestand. Es ist möglich, die Neuigkeiten auf Viruslab zu entdecken, um diese Zero-Day-Warnungen im Laufe ihrer Veröffentlichung zu verfolgen.
KEV-Katalog und BOD 26-04-Richtlinie: Der Rahmen für die Behebung wird strenger
Die CISA (amerikanische Cybersicherheitsbehörde) führt einen Katalog namens KEV (Known Exploited Vulnerabilities). Dieser Katalog listet die Schwachstellen auf, deren aktive Ausnutzung bestätigt ist. Jeder Eintrag ist mit einer verpflichtenden Behebungsfrist für die Bundesbehörden verbunden.
Die Richtlinie BOD 26-04, die 2026 veröffentlicht wurde, hat diese Verpflichtung verstärkt, indem sie gezielt die über das Internet exponierten Vermögenswerte ins Visier nimmt. Der Wandel ist operationell: Man wechselt von allgemeinen Empfehlungen zu einer messbaren Verpflichtung mit einem festgelegten Zeitrahmen für Korrekturen.
Für europäische Unternehmen dient dieser Katalog als indirekte Referenz. Die ANSSI in Frankreich empfiehlt, den KEV zu überwachen und in die Prozesse des Schwachstellenmanagements zu integrieren, auch ohne direkte gesetzliche Verpflichtung. Der Tätigkeitsbericht von Cybermalveillance.gouv.fr hat zudem einen signifikanten Anstieg der Unterstützungsanfragen festgestellt, was bestätigt, dass die Cyberangriffe auf dem Gebiet zunehmen.
Warum der KEV die Priorisierung von Patches verändert
Ohne Referenzkatalog klassifiziert ein Sicherheitsteam Schwachstellen nach CVSS-Score (technische Schwere). Das Problem: Ein hoher Score bedeutet nicht unbedingt eine aktive Ausnutzung. Der KEV kehrt diese Logik um. Eine moderate Schwachstelle, die aktiv ausgenutzt wird, hat Vorrang vor einer theoretischen kritischen Schwachstelle.
Dieser Ansatz zwingt dazu, zwei Informationsströme zu kombinieren: das Bulletin des Anbieters (Microsoft, Cisco usw.) und die von der CISA aktualisierte KEV-Liste. KMUs, die kein dediziertes Team haben, können sich auf Schwachstellenmanagement-Tools stützen, die diesen Katalog direkt integrieren.
IoT-Geräte und Webkomponenten: Die blinden Flecken der Vertrauensschicht
Die aktuellen Angriffe beschränken sich nicht mehr auf Server oder Arbeitsplätze. Zwei Kategorien von Vermögenswerten bleiben regelmäßig unterbehandelt: vernetzte Geräte (IoT) und Drittanbieter-Webkomponenten (JavaScript-Bibliotheken, npm/yarn-Paketmanager).
Ein IoT-Gerät, sei es eine Überwachungskamera, ein Industriesensor oder ein Netzwerkdrucker, arbeitet oft mit einer Firmware, die selten aktualisiert wird. Sein Betriebssystem ist minimal, seine Authentifizierungsmechanismen manchmal nicht vorhanden. Ein nicht segmentiertes IoT-Gerät im Netzwerk bietet lateral Zugang zur gesamten Infrastruktur.
Im Web haben kritische Schwachstellen in npm und yarn Angriffe durch Abhängigkeitsinjektion erleichtert. Das Prinzip: Ein Angreifer veröffentlicht ein bösartiges Paket, dessen Name einer legitimen Bibliothek ähnelt. Der Entwickler installiert es versehentlich, und der bösartige Code wird in der Produktionsumgebung ausgeführt.
Patches auf drei gleichzeitigen Ebenen priorisieren
Die Schwierigkeit für Unternehmen besteht darin, diese drei Fronten (Infrastruktur, Web, IoT) mit begrenzten Ressourcen zu bearbeiten. Eine realistische Priorisierungsmatrix basiert auf drei überlappenden Kriterien:
- Die Netzwerkaussetzung des Vermögenswerts: Ein Dienst, der über das Internet zugänglich ist, wird vor einem isolierten internen Gerät gepatcht
- Die Präsenz im KEV-Katalog oder einem europäischen Äquivalent: Eine bestätigte aktive Ausnutzung löst einen Patch innerhalb weniger Tage aus, nicht innerhalb von Wochen
- Die Fähigkeit zur Segmentierung: Wenn ein IoT-Gerät nicht schnell aktualisiert werden kann, es auf einem dedizierten VLAN zu isolieren, reduziert das Risiko einer lateralen Ausbreitung
Dieser risikobasierte Ansatz ersetzt die Methode, die sich rein auf technische Scores stützt. Er erfordert ein aktuelles Inventar der Vermögenswerte, was nach wie vor der Schwachpunkt vieler Kommunen und KMUs ist.
Ransomware und Datenexfiltration: Die Angriffstechniken konvergieren
Ransomware-Gruppen kombinieren mittlerweile Verschlüsselung und Exfiltration. Das klassische Schema (Dateien verschlüsseln, ein Lösegeld verlangen) wird durch die Drohung ergänzt, die gestohlenen Daten zu veröffentlichen. Diese doppelte Erpressung erhöht den Druck auf die Opfer, insbesondere auf die Kommunen, die persönliche Daten ihrer Bürger verwalten.
Der Einsatz von künstlicher Intelligenz durch die Angreifer beschleunigt die Anpassung von Malware. Dokumentierte Fälle zeigen, dass generative KI-Tools verwendet werden, um den Code einer bösartigen Software automatisch zu modifizieren, um die Erkennungssignaturen zu umgehen. Die Malware mutiert schneller, als sich die Signaturdatenbanken aktualisieren.
Dieses Phänomen betrifft auch die exponierten APIs. Ein aktueller Fall zeigte, dass eine API eines KI-Anbieters umgeleitet werden konnte, um Daten zu exfiltrieren. Der legitime Dienst dient dann als Ausgangskanal, was die Erkennung durch traditionelle Firewalls sehr schwierig macht, da der Datenverkehr wie eine normale Nutzung aussieht.
Daten über den Netzwerkperimeter hinaus schützen
Die alleinige perimeterbasierte Sicherheit reicht nicht mehr aus. Unternehmen, die mit sensiblen Daten umgehen, müssen die ausgehenden Datenströme ebenso überwachen wie die eingehenden. Die Verschlüsselung von Daten im Ruhezustand und während der Übertragung, kombiniert mit einer verhaltensbasierten Erkennung abnormaler Zugriffe, stellt eine solidere Grundlage für die aktuellen Bedrohungen dar.
- Ungewöhnliche API-Anfragen in Bezug auf Volumen oder Ziel überwachen
- Das Prinzip der minimalen Berechtigung auf jedes Dienstkonto anwenden
- Regelmäßig die Wiederherstellung von Backups testen, um ihre Integrität im Falle eines Ransomware-Szenarios zu validieren
Die Bedrohungslandschaft im Jahr 2026 ist durch diese Konvergenz gekennzeichnet: Eine Gruppe nutzt einen Zero-Day auf ein Verteidigungswerkzeug aus, wechselt zu einem schlecht segmentierten IoT-Gerät und exfiltriert dann über eine legitime API. Die Antwort besteht in einem umfassenden Inventar der Vermögenswerte, einer Priorisierung basierend auf der tatsächlichen Ausnutzung und einer Netzwerksegmentierung, die die Ausbreitung selbst dann einschränkt, wenn die erste Barriere bricht.