Die Sicherheitslücken waren immer da. Jetzt findet sie jemand.
Es ist kein Gefühl, es ist Realität. 2025 hat mit über 48.000 veröffentlichten CVEs schon einen Rekord aufgestellt, gut 20 Prozent mehr als im Jahr davor. 2026 stellt das in den Schatten. Ende 2025 kamen pro Monat rund 5.000 neue Einträge dazu. Die Statistik von CVE Find zeigt für die letzten Monate Werte von über 17.000. In einem einzigen Monat.
Das Bemerkenswerte daran: Die meisten dieser Lücken sind nicht neu. Sie stecken seit Jahren im Code, manche seit Jahrzehnten. Nur hat sie bisher niemand bemerkt.
Im Januar hat ein KI-System zwölf neue Schwachstellen in OpenSSL gefunden. Drei davon existierten schon seit 1998 bis 2000. In einer Bibliothek, die Teams über zwei Jahrzehnte geprüft und mit Millionen CPU-Stunden gefuzzt haben. Im April folgte Anthropic mit Claude Mythos Preview, das unter anderem einen 27 Jahre alten Fehler in OpenBSD aufgespürt hat. Ausgerechnet OpenBSD, ein System, das sich Sicherheit auf die Fahne schreibt.
KI liest Code nicht müde und nicht gelangweilt. Sie liest einfach alles. Deshalb taucht jetzt auf, was Menschen jahrzehntelang übersehen haben.
Was folgt daraus? Für mich ist die Antwort ziemlich klar. Wer Software anbietet, muss gemeldete Sicherheitslücken so schnell wie möglich schließen. Nicht im nächsten Quartal. Nicht wenn das Budget es hergibt.
Denn auf dem Spiel steht mehr als ein einzelnes Produkt. Es geht um das Vertrauen in IT-Systeme insgesamt. Unternehmen, Behörden, Mitarbeitende: Alle verlassen sich darauf, dass die Systeme halten, mit denen sie arbeiten. Wenn dieses Vertrauen bröckelt, kann sich das niemand leisten. Und niemand kann das gut finden.
Die Realität sieht leider oft anders aus. Laut einem Benchmark von Qualys brauchen Unternehmen bei komplexen Anwendungen im Schnitt mehr als fünf Monate, um kritische Lücken zu beheben. Bei dem aktuellen Tempo ist das eine Ewigkeit.
Gleichzeitig hat das Ganze eine gute Seite. Jeden Fehler, den jetzt jemand findet und behebt, kann später niemand mehr ausnutzen. Lieber jetzt die unangenehme Welle als in fünf Jahren der große Knall.
Zwei Fragen beschäftigen mich trotzdem. Ist das eine Welle, die abebbt, sobald der alte Code durchgekämmt ist? Oder bleibt die Zahl auf diesem Niveau, weil KI ab jetzt auch jeden neuen Fehler sofort findet? Ich weiß es nicht. Und daran hängt direkt die zweite Frage: Wie schnell müssen wir in Zukunft reagieren?
Wir stellen uns jedenfalls darauf ein. Wir halten unsere Systeme konsequent aktuell. Und wir bauen sie so, dass wir schnell updaten können. Automatisierte Tests, saubere Deployments, keine Abhängigkeiten, die seit Jahren keiner angefasst hat. Wenn heute schon Tempo gefragt ist, wie sieht es dann in einem Jahr aus?
Ein Update, das niemand testen kann, spielt auch niemand schnell ein. Sicherheit fängt für mich deshalb nicht beim Patch an, sondern bei der Architektur.
Mein Fazit: Alle, die in der IT und an Softwareprodukten arbeiten, haben eine Pflicht. Wir müssen dafür sorgen, dass das Vertrauen in IT-Systeme nicht schlechter wird. Die KI liefert uns gerade die Liste. Abarbeiten müssen wir sie selbst.
Wie geht ihr damit um? Wie schnell landen bei euch Sicherheitsupdates in Produktion?
Quellen