Montagmorgen. Der Hersteller deines VPN-Gateways veröffentlicht einen Hinweis: kritische Lücke, Patch folgt am Mittwoch. Was im Hinweis nicht steht: Der Exploit war seit Freitag im Umlauf, und die ersten Angreifer haben das Wochenende genutzt. Dein nächster Schwachstellen-Scan läuft am ersten Sonntag im Monat.
So sieht das Jahr 2026 für die meisten IT-Teams aus. Nicht, weil sie schlecht arbeiten, sondern weil die Rechnung nicht mehr aufgeht: Es erscheinen mehr Lücken als je zuvor, sie werden schneller ausgenutzt als je zuvor, und die Werkzeuge der meisten Unternehmen stammen aus einer Zeit, in der ein monatlicher Patch-Zyklus genügte. Dieser Artikel zeigt mit Zahlen, warum das so ist, was Vulnerability Management heute leisten muss, und wie wir das mit Goldoak Spectacles gelöst haben.
Vulnerability Management 2026: Die Zahlen hinter der Überschrift
Vulnerability Management bedeutet, Sicherheitslücken in der eigenen Umgebung laufend zu finden, nach Risiko zu bewerten, zu beheben und die Behebung nachzuweisen. Das klingt nach Routine. Die Zahlen zeigen, warum es keine mehr ist.
- 48'185 neue CVEs im Jahr 2025, 20 Prozent mehr als 2024. Das sind rund 132 veröffentlichte Schwachstellen pro Tag, eine alle 11 Minuten, rund um die Uhr. Fast 40 Prozent davon sind als "High" oder "Critical" eingestuft.
- 90 ausgenutzte Zero-Days im Jahr 2025, nach 78 im Vorjahr. Das zählt nur, was Google Threat Intelligence tatsächlich beobachten konnte. Fast die Hälfte davon zielte auf Unternehmenstechnik: Firewalls, VPN-Gateways, Sicherheitsprodukte, Server-Software. Microsoft war mit 25 Zero-Days der am häufigsten betroffene Hersteller, gefolgt von Google und Apple.
- 245 neue Einträge im CISA-Katalog der aktiv ausgenutzten Schwachstellen (KEV) in 2025, 30 Prozent mehr als 2024. Das sind fünf neue Lücken pro Woche, von denen Behörden wissen, dass Angreifer sie gerade verwenden.
- Schwachstellen sind der zweithäufigste Einstieg bei Datenpannen. Laut Verizon Data Breach Investigations Report 2025 begannen 20 Prozent aller untersuchten Sicherheitsverletzungen mit einer ausgenutzten Lücke, 34 Prozent mehr als im Vorjahr. Damit liegen Schwachstellen knapp hinter gestohlenen Zugangsdaten (22 Prozent) und vor Phishing (16 Prozent).
Der letzte Punkt verdient einen zweiten Blick. Jahrelang hiess es, der Mensch sei das schwächste Glied. Das stimmt noch immer, aber eine ungepatchte Lücke ist inzwischen genauso oft die Eingangstür wie eine Phishing-Mail, und der Anteil wächst schneller.
Das Patch-Fenster ist weg
Die zweite Entwicklung ist noch wichtiger als die reine Menge: die Zeit zwischen Veröffentlichung und Ausnutzung.
Mandiant misst seit Jahren, wie lange es im Schnitt dauert, bis eine Schwachstelle nach Bekanntwerden ausgenutzt wird. 2018 waren das 63 Tage. 2023 noch fünf Tage. Für 2025 liegt der Wert laut M-Trends 2026 bei minus sieben Tagen: Im Durchschnitt beginnt die Ausnutzung eine Woche, bevor der Hersteller überhaupt einen Patch bereitstellt.
VulnCheck kommt mit einer anderen Methode zum selben Bild: Von den 884 Schwachstellen, die 2025 erstmals ausgenutzt wurden, waren 29 Prozent am Tag der CVE-Veröffentlichung oder davor bereits unter Beschuss. 2024 waren es 24 Prozent.
Was das praktisch heisst, hat der PHP2Shell-Fall im Oktober 2026 gezeigt: Patch und erste Angriffe am selben Tag, betroffen war jede aus dem Internet erreichbare PHP-Anwendung. Wer dort auf den nächsten Wartungstermin gewartet hat, hat verloren.
Für dein Unternehmen bedeutet das: Ein monatlicher Scan plus Patch-Dienstag deckt den Normalfall ab. Den Fall, der dich wirklich trifft, deckt er nicht. Dort zählen Stunden.
Was klassisches Vulnerability Management nicht schafft
Die meisten Werkzeuge, die wir bei Kunden antreffen, wurden für eine Welt mit 5'000 CVEs im Jahr gebaut. Sie scheitern heute an vier Stellen:
- Der Scan ist zu selten. Ein Netzwerk-Scanner, der einmal im Monat oder einmal pro Woche läuft, sieht eine Lücke im Schnitt erst Tage nach ihrer Veröffentlichung. Zu diesem Zeitpunkt ist sie laut den Zahlen oben oft bereits ausgenutzt. Laptops im Homeoffice erreicht er meist gar nicht.
- Die Liste ist zu lang. Ein mittleres Unternehmen mit 300 Geräten bekommt aus einem Scan schnell mehrere tausend Funde. Die Antwort vieler Tools ist eine Excel-Tabelle, sortiert nach CVSS-Score. Niemand arbeitet 4'000 Zeilen ab.
- Der Score kennt deinen Kontext nicht. CVSS 9.8 auf einem Testserver ohne Netzwerkzugang ist weniger dringend als CVSS 7.5 auf dem Gateway, das aus dem Internet erreichbar ist. Ein reiner Schweregrad kann das nicht unterscheiden.
- Niemand ist zuständig, nichts wird nachgewiesen. Der Fund steht im Report, aber keine Person, kein Termin, keine Kontrolle, ob das Update wirklich angekommen ist. Beim nächsten Audit beginnt die Suche von vorn.
Das Ergebnis ist in vielen KMU dasselbe: Es gibt ein Tool, es gibt einen Report, und trotzdem weiss am Montagmorgen niemand, ob das VPN-Gateway betroffen ist.
Was gutes Vulnerability Management heute leisten muss
Aus den Zahlen und aus unserer Arbeit bei Vorfällen ergeben sich fünf Anforderungen:
- Inventar statt Scan. Du musst jederzeit wissen, welche Software in welcher Version auf welchem Gerät läuft. Dann kann eine neue CVE sofort gegen den Bestand geprüft werden, ohne auf den nächsten Scan zu warten.
- Stunden statt Wochen. Zwischen der Veröffentlichung einer Lücke und dem Moment, in dem du weisst, ob sie dich betrifft, dürfen keine Tage liegen.
- Kontext statt Schweregrad. Erreichbarkeit aus dem Internet, Rolle des Systems, lauschende Dienste und ob die Lücke bereits ausgenutzt wird müssen in die Priorität einfliessen.
- Massnahmen statt Funde. Ein IT-Team arbeitet keine CVEs ab, sondern Aufgaben: "Chrome auf 14 Geräten aktualisieren", "Gateway-Firmware einspielen". Das Werkzeug muss Funde dafür bündeln.
- Nachweis statt Hoffnung. Eine Massnahme ist erst erledigt, wenn die Lücke nachweislich verschwunden ist. Und das muss sich später gegenüber Geschäftsleitung, Versicherung oder Auditor belegen lassen.
So macht es Goldoak Spectacles
Wir haben den Patchmanager in Goldoak Spectacles genau entlang dieser fünf Punkte gebaut, als Teil der Plattform, die ohnehin schon auf jedem Gerät läuft.
Inventar über den Agent. Der Spectacles-Agent meldet die installierte Software und die genaue Betriebssystem-Version jedes Geräts, ob Server im Rechenzentrum, Laptop im Homeoffice oder Notebook im Zug. Ein Netzwerk-Scan ist dafür nicht nötig, und Geräte ohne VPN sind kein blinder Fleck.
Kein geplanter Scan mehr, sondern laufende Erkennung. In Spectacles gibt es keinen Scan-Termin, den jemand einplanen, starten oder abwarten muss. Unser eigener Schwachstellen-Dienst beobachtet rund um die Uhr die Quellen, bei denen eine neue Schwachstelle nach ihrer Identifikation registriert und veröffentlicht wird, und führt sie zu einem Bild zusammen:
- CVE.org und die National Vulnerability Database (NVD), die zentralen Register, in denen jede neue Lücke ihre CVE-Nummer, Beschreibung und Bewertung erhält, inklusive der Fix-Versionen, die die Hersteller selbst als CNA melden.
- EU Vulnerability Database (EUVD) der ENISA, das europäische Gegenstück zum NVD, das seit 2025 unter NIS2 betrieben wird und oft eigene Einstufungen und Hinweise ergänzt.
- CISA Known Exploited Vulnerabilities (KEV) und FIRST EPSS, damit wir wissen, welche Lücken tatsächlich ausgenutzt werden und wie wahrscheinlich ein Angriff in den nächsten 30 Tagen ist.
- Herstellerdaten wie das Microsoft Security Response Center (MSRC) mit den genauen Windows-Builds und KB-Nummern je CVE, der Debian Security Tracker mit Backports, sowie die Advisories weiterer Hersteller und Distributionen, die wir laufend ergänzen.
Sobald ein Eintrag in einer dieser Quellen erscheint, wird er automatisch im Hintergrund gegen das Inventar aller Kunden geprüft, ohne dass jemand etwas anstossen muss. Betrifft die Lücke eines deiner Systeme, erscheint sie innert weniger Stunden nach der Veröffentlichung im Dashboard und dein Team erhält eine Meldung per Teams oder E-Mail. Nicht erst beim nächsten Wartungsfenster, sondern noch am selben Tag, meist bevor die Lücke überhaupt in den Fachmedien steht.
Priorität aus Zugang und Wirkung. Jeder Fund wird nicht nur nach CVSS bewertet, sondern danach, wie erreichbar das System ist (Internet, lauschende Ports, Rolle) und was ein Angreifer damit anrichten könnte. Daraus entstehen vier Stufen: Sofort, Dringend, Normal, Niedrig. Zu jeder Stufe gehört eine Zielfrist, bei "Sofort" sind das 24 Stunden.
Massnahmen statt Fundlisten. Das ist der Teil, den wir bei keinem anderen Werkzeug in dieser Form gesehen haben: Spectacles fasst zusammengehörige Funde automatisch zu Massnahmen zusammen. Aus 40 CVE-Zeilen für denselben Browser auf drei Geräten wird eine Aufgabe mit Priorität, Zielfrist, betroffenen Systemen und der Risikoreduktion, die sie bringt. Massnahmen lassen sich einer Person zuweisen, in einen Wochenplan aufnehmen oder mit Begründung und Freigeber als akzeptiertes Risiko einstufen, mit Ablaufdatum, damit nichts für immer liegen bleibt.
Nachweis durch den nächsten Lauf. Eine Massnahme gilt erst als erledigt, wenn der Agent die Lücke auf allen betroffenen Geräten nicht mehr sieht. Jede Bewertung, jede Statusänderung und jede Entscheidung landet im Audit-Trail und lässt sich als Export für Auditoren oder Versicherungen ziehen.
Ehrlich dazu: Spectacles spielt die Updates heute nicht selbst ein. Es sagt deinem Team innert Stunden, was wo dringend ist, in einer Form, die sich direkt abarbeiten lässt, und bestätigt, wenn es erledigt ist. Das Einspielen bleibt bei deinen Werkzeugen und Prozessen.
Häufige Fragen zu Vulnerability Management
Was ist Vulnerability Management? Der laufende Prozess, Sicherheitslücken in der eigenen IT zu finden, nach Risiko zu priorisieren, zu beheben und die Behebung nachzuweisen. Der Unterschied zum einmaligen Schwachstellen-Scan ist das Wort "laufend".
Was ist ein Zero-Day? Eine Schwachstelle, die Angreifer bereits ausnutzen, bevor der Hersteller einen Patch bereitstellt. Der Name kommt daher, dass der Hersteller "null Tage" Zeit hatte, sie zu schliessen. 2025 wurden laut Google 90 solcher Fälle beobachtet.
Reicht Windows Update? Für das Betriebssystem und Microsoft-Produkte ist es die Grundlage. Es sieht aber weder Browser von Drittanbietern, noch Fernwartungssoftware, Firewall-Firmware oder die PHP-Version auf dem Webserver. Genau dort lagen 2025 viele der ausgenutzten Lücken.
Wie schnell muss ich patchen? Für aktiv ausgenutzte Lücken auf aus dem Internet erreichbaren Systemen: innert Stunden bis maximal wenigen Tagen. Für den Rest reicht ein geordneter Zyklus. Die eigentliche Frage ist deshalb nicht "wie schnell", sondern "woher weiss ich innert Stunden, dass ich betroffen bin".
Was mache ich, wenn es keinen Patch gibt? Erreichbarkeit einschränken, den Dienst vom Internet trennen oder abschalten, Überwachung auf Ausnutzungsversuche. In Spectacles wird das als Massnahme mit Begründung und Ablaufdatum dokumentiert, damit der Fall nicht vergessen geht.
Fazit
Alle 11 Minuten eine neue Schwachstelle, alle paar Tage ein ausgenutzter Zero-Day, und die Ausnutzung beginnt im Schnitt vor dem Patch. Gegen diese Zahlen hilft kein monatlicher Scan und keine Excel-Liste. Vulnerability Management muss 2026 heissen: jederzeit wissen, was läuft, innert Stunden wissen, was betroffen ist, und das Richtige zuerst tun. Genau dafür haben wir den Patchmanager in Goldoak Spectacles gebaut.
Wie das in deiner Umgebung aussieht, zeigen wir dir gern in einer Demo, mit echten CVEs und ohne Verkaufsgespräch. Wenn du zuerst klären willst, wo dein aktueller Patch-Prozess steht, gehen wir das in einem Consulting-Gespräch gemeinsam durch. Die Grundlagen für den Start findest du in unseren 10 Regeln für mehr Cybersicherheit.