Die Zahl der Schwachstellen steigt rasant, während die Zeit bis zur Ausnutzung sinkt. Gleichzeitig kämpfen Unternehmen mit langsamen Behebungsprozessen und wachsender Komplexität. Warum klassische Ansätze im Vulnerability Management an ihre Grenzen stoßen – und welche Entwicklungen sich derzeit abzeichnen, erläutert Patrick Münch, Mitgründer und CISO bei Mondoo.
Foto: Modoo
Patrick Münch, Mitgründer und CISO bei Mondoo
Sicherheitsverantwortliche stehen vor einer strukturellen Herausforderung. Die Angriffsflächen wachsen durch Cloud-native Architekturen, Container, SaaS-Ökosysteme und CI/CD-Pipelines kontinuierlich, während Schwachstellen oft innerhalb weniger Stunden nach Veröffentlichung ausgenutzt werden. Gleichzeitig benötigen Organisationen laut verschiedenen Studien weiterhin mehrere Wochen bis Monate, um bekannte Schwachstellen vollständig zu beheben.
Die Dimension der Herausforderung wird durch aktuelle Analysen deutlich. Laut dem „State of Vulnerabilities 2026“-Report von Mondoo wurden im Jahr 2025 weltweit mehr als 48.000 neue CVEs veröffentlicht – ein neuer Höchststand. Gleichzeitig beträgt der Zeitraum zwischen Veröffentlichung einer Schwachstelle und ihrer ersten Ausnutzung im Durchschnitt nur etwa fünf Tage.
Diese Entwicklung verschärft die ohnehin angespannte Lage zusätzlich. Ein Teil der Schwachstellen erhält zudem keinen CVSS-Score und wird damit in vielen Priorisierungsprozessen kaum berücksichtigt. Sicherheitsverantwortliche stehen damit vor der Aufgabe, Risiken unter Zeitdruck und mit unvollständigen Bewertungsgrundlagen einzuordnen.
Das zentrale Problem liegt weniger in der Erkennung von Schwachstellen als in der Lücke zwischen Identifikation und tatsächlicher Behebung. Klassische Vulnerability Scanner wurden in einer Zeit entwickelt, in der IT-Infrastrukturen statischer waren und Änderungen in längeren Zyklen erfolgten.
Ihr Grundprinzip „Finden, Melden, Weiterreichen“ basiert auf periodischen Scans, Ticket-Erstellung und manueller Priorisierung. In dynamischen Cloud-Umgebungen stößt dieses Modell jedoch an Grenzen. Der Prozess ist ressourcenintensiv, fehleranfällig und nur begrenzt skalierbar.
In der Praxis führt das häufig zu langen Behebungszeiten, wachsenden Backlogs und einer hohen operativen Belastung der Sicherheitsteams. Besonders kritisch ist dabei, dass Priorisierung häufig auf generischen CVSS-Werten basiert, ohne ausreichenden Geschäfts- oder Expositionskontext. Die Folge ist, dass Teams Listen abarbeiten, statt reale Risiken gezielt zu reduzieren.
Hinzu kommt ein architektonischer Aspekt. Viele etablierte Plattformen wurden ursprünglich für klassische Rechenzentren konzipiert und im Laufe der Jahre um Cloud-, Container- oder SaaS-Funktionen erweitert. Diese nachträglichen Erweiterungen erhöhen die Komplexität und führen zu fragmentierten Produktlandschaften.
Sicherheit und Infrastrukturautomatisierung bleiben dabei oft organisatorisch und technisch getrennt, obwohl moderne IT-Umgebungen eine eng integrierte Herangehensweise erfordern. Gleichzeitig entstehen Risiken zunehmend auch außerhalb klassischer CVE-Einträge – etwa durch manipulierte Open-Source-Pakete oder kompromittierte Software-Abhängigkeiten.
Sicherheitsverantwortliche müssen Schwachstellen daher nicht mehr isoliert auf einzelnen Systemen betrachten, sondern im Kontext gesamter Software- und Infrastrukturketten analysieren.
Vor diesem Hintergrund zeichnet sich ein Paradigmenwechsel ab. Der Fokus verschiebt sich von reiner Schwachstellenerkennung hin zu kontinuierlichem Exposure Management und automatisierter Behebung. Neue Plattformansätze setzen stärker auf Echtzeit-Transparenz, kontextbasierte Priorisierung und die Integration in Infrastructure-as-Code- sowie CI/CD-Prozesse.
Zudem entstehen Ansätze, die Vulnerability Intelligence, Infrastrukturkontext und Remediation enger miteinander verbinden. Ziel ist es, Sicherheitsdaten aus unterschiedlichen Umgebungen zusammenzuführen und mit Kontextinformationen anzureichern, um betroffene Systeme schneller zu identifizieren und Behebungsprozesse effizienter zu gestalten.
Ein zentrales Element dieser Entwicklung ist der Einsatz agentischer KI-Systeme. Diese analysieren nicht nur Befunde, sondern können innerhalb definierter Prozesse auch Handlungsschritte vorbereiten oder auslösen – etwa durch das Generieren getesteter Remediation-Skripte oder durch automatisierte Verifizierungsschleifen. Dadurch soll die Zeitspanne zwischen Entdeckung und Absicherung signifikant verkürzt werden.
Für IT-Organisationen bedeutet das, dass sich Vulnerability Management von einer reporting-orientierten Disziplin hin zu einem automatisierungsgetriebenen Bestandteil moderner Infrastruktur entwickelt. Entscheidend ist künftig weniger die Anzahl identifizierter Schwachstellen als vielmehr die Geschwindigkeit und Nachhaltigkeit ihrer Behebung – sowie die Fähigkeit von Sicherheits- und Betriebsteams, dabei eng zusammenzuarbeiten.
