Zero-Day-Exploit: was KI am Patch-Tempo ändert

Kurz beantwortet

• Ein Zero-Day wird ausgenutzt, bevor es einen Patch gibt. Ein N-Day ist bekannt und behoben, das Update ist nur bei Ihnen noch nicht eingespielt. Für ein KMU zählt vor allem die zweite Sorte, weil sie sich schliessen lässt. Laut dem Bericht von Verizon zu Datenabflüssen (DBIR 2026) hatten 29 % der Ransomware-Opfer mit weniger als 1'000 Mitarbeitenden ungepatchte Schwachstellen in Geräten am Netzrand, etwa in der Firewall oder im VPN-Zugang.
• Bei schweren Schwachstellen vergingen im dritten Quartal 2026 im Schnitt drei Tage zwischen Veröffentlichung und Ausnutzung, laut dem Sicherheitsunternehmen Rapid7.
• Nach Einschätzung von Cyberbehörden und Sicherheitsfirmen verkürzt KI den Weg vom veröffentlichten Patch zum Angriff. Mit KI gefundene neue Lücken gibt es auch. In zwei Sammlungen solcher Funde, die VulnCheck ausgewertet hat, wurden bis Juli 2026 aber nur 1,3 % nachweislich ausgenutzt.
• Ein KMU ohne Sicherheitsabteilung klärt zuerst, was vom Internet aus erreichbar ist. Dann spielt es Updates automatisch ein, nimmt Software ohne Herstellerunterstützung vom Netz, setzt auf die Anmeldung mit zweitem Faktor (MFA) und übt das Zurückspielen der Backups. Dazu kommt ein automatischer Prüflauf mit einer klaren Regel, was ein Mensch freigibt.
• Gegen einen echten Zero-Day hilft kein Patch, nur Schadensbegrenzung, also eine zweite Kontrolle hinter der ersten, getrennte Netze und ein Notfallplan.

Wie schnell die Uhr heute läuft

Im dritten Quartal 2026 dauerte es im Schnitt drei Tage, bis eine öffentlich gewordene schwere Schwachstelle ausgenutzt wurde. Die Zahl stammt aus dem Quartalsbericht des Sicherheitsunternehmens Rapid7 vom 21. Oktober 2026, das 43 neu ausgenutzte Schwachstellen der Stufen hoch und kritisch verfolgt hat.

Die Uhr startet, wenn eine Schwachstelle öffentlich wird. Von der beobachteten Ausnutzung fielen 71 % in die ersten sieben Tage und 90 % in die ersten 30. Die Sicherheitsfirma Mandiant kam in einer anderen Erhebung mit anderer Methode für 2018 und 2019 im Mittel noch auf 63 Tage.

Der Fall PHP

PHP ist die Skriptsprache, auf der viele Websites und Webshops laufen. Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Updates gegen zwei kritische Schwachstellen. Beide können es Angreifern erlauben, ohne Anmeldung fremden Code auf dem Server auszuführen, und beide sind mit 9,2 von 10 Punkten auf der üblichen Skala für den Schweregrad bewertet.

Amazon hatte schon am 17. Oktober in einer Lockfalle für Angreifer einen ersten Versuch gesehen, die Lücken auszunutzen. Das war vier Tage vor der Veröffentlichung. Der Bericht sagt nicht, ob der Versuch gelang. Fünf Tage nach dem Update nahm die US-Behörde CISA beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen auf.

Läuft Ihre Website auf PHP, finden Sie die Schritte bei den häufigen Fragen.

Warum die Uhr manchmal vor dem Patch startet

Im PHP-Fall lief der erste Versuch vier Tage vor dem Update. Mandiant schätzt in seinem Bericht M-Trends 2026 die mittlere Zeit bis zur Ausnutzung auf minus sieben Tage. Ausnutzung beginnt demnach regelmässig, bevor es einen Patch gibt. Die frei lesbare Zusammenfassung des Berichts nennt die Methode dahinter nicht.

Zero-Day oder N-Day: zwei verschiedene Probleme

Zero-Day: ausgenutzt, bevor es einen Patch gibt

Nach der Definition des britischen National Cyber Security Centre (NCSC UK) nutzt ein Zero-Day-Exploit eine Schwachstelle aus, für die es noch keine Sicherheitskorrektur gibt. Sobald der Hersteller eine Korrektur herausgibt, wird aus dem Zero-Day eine bekannte Schwachstelle, ein N-Day. Das Bundesamt für Cybersicherheit (BACS) fasst den Begriff etwas weiter und zählt auch Lücken dazu, die vor dem Update öffentlich bekannt waren.

Die Google Threat Intelligence Group (GTIG) zählte 90 Zero-Days, die 2025 tatsächlich ausgenutzt wurden. Davon betrafen 43, also 48 %, Software und Geräte für Unternehmen. Neun davon schreibt GTIG sicher oder wahrscheinlich finanziell motivierten Gruppen zu.

Ich halte einen Zero-Day für ein KMU selten für das erste Problem. Trifft er Sie doch, gibt es keinen Patch zum Einspielen, und es bleibt nur, den Schaden zu begrenzen.

N-Day: der Patch existiert, nur nicht bei Ihnen

Im Data Breach Investigations Report 2026 von Verizon (DBIR) ist das Ausnutzen von Schwachstellen mit 31 % inzwischen der häufigste Einstieg bei Datenabflüssen. Bei Firmen unter 1'000 Mitarbeitenden, die Verizon als KMU zählt, hatten 29 % der Ransomware-Opfer ungepatchte Schwachstellen in Geräten am Netzrand, also etwa in der Firewall oder im VPN-Zugang.

Das Schliessen dauert. Laut Verizon waren 2025 nur 26 % der Schwachstellen aus dem CISA-Katalog aktiv ausgenutzter Lücken bei den untersuchten Firmen vollständig behoben, im Median brauchte die vollständige Behebung 43 Tage. Das Wachstum bei den ausgenutzten Schwachstellen kam von Januar bis August 2026 nach Einschätzung von GTIG vor allem von N-Days, die Angreifer rasch einsatzfähig machten.

Die meisten Schwachstellen werden allerdings nie ausgenutzt. Von allen 2026 veröffentlichten Schwachstellen hat GTIG nur 0,23 % je bei einem Angriff beobachtet, etwa eine von 431. Sortieren Sie darum. Zuerst kommt, was vom Internet aus erreichbar ist und schon angegriffen wird.

Quellen: NCSC UK und BACS (Definition), GTIG 2025 Zero-Day Review, Verizon DBIR 2026.

Was KI daran ändert, und was nicht

Vom Patch zum Angriff in Tagen

Ein Patch verrät, wo die Lücke sitzt. Laut BACS laden Cyberkriminelle die Patches manchmal «gleich bei der Veröffentlichung herunter, mit dem Zweck, die Unterschiede zur Vorgängerversion zu analysieren».

GTIG hält es für möglich, dass Angreifer mit KI-Werkzeugen die Unterschiede zwischen Versionen und Patches automatisch auswerten, um N-Days schnell einsatzfähig zu machen. Die Messung von GTIG zeigt einen Anstieg von durchschnittlich 10,5 ausgenutzten Schwachstellen pro Monat 2025 auf 18 pro Monat von Januar bis August 2026.

Das BACS schreibt in seiner Einschätzung vom Mai 2026, es rechne damit, «dass Schwachstellen schneller und häufiger ausgenutzt werden».

Neue Lücken finden mit KI

Im Mai 2026 meldete GTIG zum ersten Mal einen Angreifer mit einem Zero-Day-Exploit, der nach ihrer Einschätzung mit KI entwickelt wurde. Er sollte die Zwei-Faktor-Anmeldung in einem verbreiteten Open-Source-Werkzeug zur Systemverwaltung umgehen. Einer der Hinweise auf KI war laut GTIG eine frei erfundene Angabe zum Schweregrad.

«Software ist voll mit unbekannten Sicherheitslücken. KI findet die und kommt überall rein. Egal für wie verschlossen wir es halten.» Das schrieb jemand im Juli 2026 in den Kommentaren unter einem Artikel des Tages-Anzeigers.

Die Sicherheitsfirma VulnCheck hat nachgezählt. In zwei Sammlungen solcher Funde kamen bis Juli 2026 insgesamt 1'061 Schwachstellen zusammen, die mit KI-Hilfe gefunden wurden, und 14 davon, also 1,3 %, wurden nachweislich ausgenutzt. VulnCheck nennt die Wirkung «real but modest», also real, aber bescheiden.

Was gleich bleibt

Das BACS ordnet KI als «aktuell primär ein Beschleuniger bestehender Bedrohungen» ein. Die Cyberbehörden der Five-Eyes-Staaten schreiben in ihrer gemeinsamen Erklärung vom Juni 2026, es komme darauf an, die Grundlagen im Griff zu haben und schnell zu handeln.

Mein eigener Fall: sieben Meldungen, ein Vormittag

Meine eigene Foto-App entsteht seit April 2026, und die meisten Änderungen daran habe ich mit KI-Unterstützung geschrieben.

Am Morgen des 7. Oktober meldete ein automatischer Prüflauf, dass die App Versionen von Web-Framework und Login-Baustein nutzte, gegen die sieben Sicherheitsmeldungen vorlagen, zwei davon als kritisch eingestuft. Die Installation des Updates hielt an, bis ich es freigab. Noch am selben Vormittag lief die aktualisierte Version, geprüft und getestet, auf der Live-Seite. Danach meldete die Prüfung der Fremdpakete keine kritische Lücke mehr. Ein Rest, vor allem in einem Entwicklungswerkzeug, ist bewusst akzeptiert.

Auch das Update selbst liess ich vor dem Livegang gegenprüfen. Die Prüfung fand, dass meine eigenen Tests auf alten Paketversionen gelaufen waren, also gar nicht das getestet hatten, was live gehen sollte.

Die zweite Kontrolle hinter dem Tor

Mehrere der sieben Meldungen beschrieben Wege, die Anmeldeprüfung zu umgehen, die wie ein Tor vor den Schnittstellen der App steht. Am selben Tag ging eine weitere Prüfung jede Schnittstelle durch. 79 von 80 geschützten Schnittstellen prüften selbst, wer anfragt, statt sich nur auf das Tor davor zu verlassen. Die eine Ausnahme war noch am selben Tag abgesichert.

Für Lücken im eigenen Code erscheint keine Sicherheitsmeldung, die muss man selbst suchen. Seit diesem Tag schlägt bei mir ein automatischer Test an, sobald eine neue Schnittstelle nicht selbst prüft, wer anfragt. Meine Blogtexte prüfe ich nach demselben Muster, mit einer zweiten, unabhängigen Prüfung vor der Veröffentlichung, nachzulesen in KI-Texte schreiben: so prüfe ich jede Aussage.

Was ein KMU ohne Sicherheitsabteilung konkret tut

Wissen, was am Internet hängt

Die erste Massnahme in der Einschätzung des BACS ist ein Systeminventar. Die Five Eyes raten, bei jedem System zu fragen, ob es überhaupt vom Internet aus erreichbar sein muss, und Systeme, die es nicht müssen, abzuschotten. Für die Studie KMU Cybersicherheit 2026 wurden 507 Geschäftsleitende von KMU mit 1 bis 49 Mitarbeitenden befragt. Nur 34 % der KMU inventarisieren nach eigener Angabe ihre IT-Systeme, Geräte, Software und Cloud-Dienste vollständig.

Fangen Sie bei Firewall, VPN, Fernzugang, Website und Webshop an. Dort treffen die schnellen N-Days, und laut dem Halbjahresbericht des BACS nutzten Ransomware-Gruppen für den ersten Zugang unter anderem Schwachstellen in VPN und Firewalls.

Updates automatisch, Ausnahmen mit Frist

Das BACS rät, Sicherheitsupdates «umgehend, sobald diese zur Verfügung stehen» einzuspielen. Das NCSC UK empfiehlt, Updates standardmässig einzuspielen, so bald wie möglich und idealerweise automatisch, und sonst zuerst bei den Systemen, die von aussen erreichbar sind. In der KMU-Studie geben 83 % der befragten KMU an, regelmässig zu aktualisieren.

Leser wenden in Kommentaren zu Sicherheitsupdates ein, dass ein Update etwas kaputt machen kann. Dagegen helfen eine feste Reihenfolge und ein Weg zurück zur alten Version. Eine Ausnahme bekommt eine Frist und eine Person, die sie verantwortet.

Software ohne Herstellerunterstützung gehört vom Netz. Das BACS rät, keine Software ohne Hersteller-Support mehr einzusetzen, und die Five Eyes nennen solche Systeme ein leichtes Ziel. Muss eine alte Maschine bleiben, weil ein Spezialprogramm sie braucht, schotten Sie sie vom Internet und vom übrigen Netz ab.

Grundschutz: MFA, Backups, getrennte Netze

Die Anmeldung mit zweitem Faktor (MFA) haben nach eigener Angabe 55 % der befragten KMU umgesetzt, ein getrenntes Netz 15 %. Das BACS rät, das Backup solle «nicht dauerhaft mit dem Computer verbunden» bleiben. Laut den Ergebnisfolien üben 27 % der KMU mit regelmässigem Backup auch das Zurückspielen regelmässig.

Gegen einen Zero-Day ist das, zusammen mit einer zweiten Kontrolle hinter der ersten, die eigentliche Abwehr. Ein Patch fehlt dann, also zählt, wie weit ein Angreifer kommt und wie schnell Sie mit dem Backup wieder arbeiten.

Automatisch prüfen, mit einer Regel, was ein Mensch freigibt

Drei Tage sind mir zu kurz für Handarbeit. Ich empfehle einen Prüflauf, der täglich die eingesetzten Versionen mit den veröffentlichten Meldungen vergleicht und eigene Software gegen eigene Regeln prüft. Routine-Updates laufen dabei automatisch. Ein Mensch gibt frei, was den Betrieb verändern kann, und jede Korrektur bekommt eine zweite Prüfung.

Die Five Eyes halten fest, dass Angreifer KI schon nutzen, um schneller zu werden, und dass Verteidiger dasselbe tun müssen. Nur 7 % der befragten KMU setzen KI zum Schutz gegen Cyberangriffe ein. Sie sorgt dafür, dass ein Update nicht liegen bleibt, bis jemand zufällig nachschaut. In KI-Agenten im KMU: Nutzen, Grenzen, Leitplanken gehe ich genauer darauf ein, wo ein Mensch freigeben sollte und wo eine Maschine allein handeln darf.

Zuerst die Systeme auflisten, die von aussen erreichbar sind

Notieren Sie zu jedem System, das vom Internet aus erreichbar ist, die Version und die Person oder Firma, die es aktualisiert. Der Website-Check wirft einen ersten Blick von aussen auf Ihre Website. Wenn Sie automatische Prüfungen im eigenen Betrieb aufsetzen wollen, schreiben Sie mir über die Kontaktseite.

Häufige Fragen