Die Ausnutzung von Schwachstellen ist laut dem neuen „Data Breach Investigations Report 2026“ von Verizon erstmals der häufigste initiale Angriffsvektor bei Sicherheitsverletzungen. Gleichzeitig verlängern sich die Reaktionszeiten bei der Behebung kritischer Sicherheitslücken deutlich.
Foto: Tenable
Cyberangriffe über bekannte Schwachstellen nehmen weiter zu. Das geht aus dem aktuellen „Data Breach Investigations Report (DBIR) 2026“ von Verizon hervor, zu dessen wichtigsten Datenlieferanten Tenable zählt. Besonders auffällig: Die Ausnutzung von Schwachstellen war im Untersuchungszeitraum für 31 Prozent aller analysierten Sicherheitsverletzungen verantwortlich und damit der häufigste initiale Angriffsvektor.
Parallel dazu verschlechtern sich die Zeiten für die Behebung von Sicherheitslücken weiter. Laut Report stieg die mediane Zeit bis zum Einspielen von Patches von 32 auf 43 Tage. Das entspricht einer Zunahme um 34 Prozent.
Tenable verweist darauf, dass Unternehmen zunehmend Schwierigkeiten haben, mit der wachsenden Zahl sicherheitskritischer Schwachstellen Schritt zu halten. Als zusätzliche Belastung gilt die steigende Anzahl sogenannter „Known Exploited Vulnerabilities“ (KEV), also Schwachstellen, die bereits aktiv von Angreifern ausgenutzt werden.
Laut Analyse ist die Zahl der von der US-Behörde CISA erfassten KEV-Schwachstellen 2025 um nahezu 50 Prozent gestiegen. Gleichzeitig verkürzt sich das Zeitfenster zwischen der Veröffentlichung einer Schwachstelle und ihrer aktiven Ausnutzung. Sicherheitsverantwortliche stehen damit zunehmend unter Druck, kritische Lücken schneller zu identifizieren und zu priorisieren.
Der Report zeigt außerdem, dass Unternehmen laut Tenable derzeit nur rund 26 Prozent der bekannten und aktiv ausgenutzten KEV-Schwachstellen erfolgreich beheben.
Laut Tenable könnten KI-gestützte Werkzeuge zur automatisierten Schwachstellenanalyse die Situation zusätzlich verschärfen. Systeme zur automatisierten Codeanalyse seien in der Lage, Sicherheitslücken deutlich schneller und in größerem Umfang zu identifizieren als bisher.
Während solche Technologien auch Verteidigern helfen könnten, steigt gleichzeitig das Risiko, dass Angreifer Schwachstellen früher entdecken und ausnutzen. Damit könnten sich in weiterer Folge die bestehenden Probleme klassischer Patch-Strategien weiter verschärfen und die Belastung für Security-Teams zusätzlich erhöhen.
Tenable verweist in diesem Zusammenhang auf die Grenzen klassischer Schwachstellenbehebung. Unternehmen könnten künftig nicht mehr jede Sicherheitslücke gleich behandeln, sondern müssten Risiken stärker kontextbasiert bewerten.
Entscheidend sei unter anderem, ob betroffene Systeme direkt aus dem Internet erreichbar sind, welche Zugriffsrechte bestehen oder ob kompromittierte Zugangsdaten vorliegen. Neben Schwachstellen nennt der DBIR auch den Missbrauch von Zugangsdaten als wesentlichen Angriffsvektor. Sicherheitsrisiken entstünden zunehmend aus der Kombination mehrerer Faktoren wie Fehlkonfigurationen, übermäßigen Berechtigungen und ungepatchten Systemen.
Die Analyse von Tenable zeigt zudem deutliche Unterschiede zwischen einzelnen Produktkategorien. Besonders hohe Quoten nicht behobener Schwachstellen fanden sich bei Entwicklungswerkzeugen, Virtualisierungs- und Hypervisor-Technologien sowie Lösungen für Remote Monitoring und Management (RMM). Insgesamt liege die Rate nicht behobener Schwachstellen in vielen Kategorien weiterhin bei über 50 Prozent.
