Es war einer dieser Tage, an denen eigentlich alles „unter Kontrolle“ ist. Die Dashboards sind grün genug, die Reports sauber, die Zahlen plausibel. Irgendwo im System stehen ein paar tausend Schwachstellen, priorisiert, bewertet, in Tickets gegossen. Alles genau so, wie man es über Jahre gelernt hat.
Und trotzdem fühlt es sich falsch an.
Nicht, weil etwas kaputt ist. Sondern weil man merkt, dass man sich in einer Realität bewegt, die es so eigentlich nicht mehr gibt.
Denn während wir noch sauber unsere Listen pflegen, Freigaben abstimmen und auf das nächste Wartungsfenster schielen, hat sich die Physik des Problems längst verändert. Das ist nicht nur ein Gefühl und auch keine überdramatisierte Marktbeobachtung. Genau das beschreiben aktuelle Analysen inzwischen sehr deutlich. Die Qualys-Studie „The Broken Physics of Remediation“ kommt im Kern zu einer unbequemen Aussage: Unser heutiges Vulnerability Management ist zu langsam, zu manuell, zu teuer – und genau dadurch strukturell gefährlich [1].
Wir sehen mehr Schwachstellen als je zuvor, aber wir schaffen es immer seltener, die wirklich relevanten rechtzeitig in wirksame Maßnahmen zu übersetzen. Backlogs sind längst kein Ausnahmezustand mehr, sondern Normalbetrieb. Die meiste Zeit verlieren Organisationen nicht einmal beim eigentlichen Patchen, sondern im Dazwischen: Ticketing, Priorisierung, Freigaben, Change-Prozesse, Rückfragen, Betriebsabstimmungen. Währenddessen bleibt das System verwundbar. Genau dieses Geschwindigkeitsgefälle zwischen Angreifer und Verteidiger wird inzwischen von mehreren aktuellen Analysen beschrieben [1][3][4].
Besonders unangenehm wird es in dem Moment, in dem man akzeptiert, dass die Zeit zwischen „Schwachstelle bekannt“ und „Schwachstelle wird aktiv ausgenutzt“ nicht mehr in unseren gewohnten Maßstäben funktioniert. Der neue SANS-/CSA-/OWASP-Brief bringt das auf eine Formulierung herunter, die hängen bleibt: Das Zeitfenster zwischen Entdeckung und Weaponization ist auf Stunden zusammengeschrumpft. Ergänzend verweist der Brief auf den Zero Day Clock, nach dem die mittlere Zeit zwischen Offenlegung und bestätigter Ausnutzung 2026 unter einem Tag liegt – 2019 waren es noch 2,3 Jahre [3].
Und genau an dieser Stelle wird der Begriff „AI Vulnerability Storm“ plötzlich sehr konkret.
In den letzten Wochen wurde viel über Claude Mythos und Project Glasswing gesprochen. Sicherlich ist da auch Hype dabei. Sicherlich steckt darin auch ein Stück Inszenierung und Mystik. Aber selbst wenn man all das großzügig abzieht, bleibt etwas übrig, das man nicht mehr ignorieren kann. Der Brief wurde von mehr als 60 benannten Mitwirkenden in einem Wochenende erstellt und von mehr als 250 CISOs gegengelesen. Dahinter steht also nicht nur eine steile These, sondern eine sehr schnelle kollektive Reaktion eines großen Teils der Security-Community auf einen wahrgenommenen Bruch [3].
Die Botschaft ist im Grunde brutal einfach: AI-getriebene Schwachstellenanalyse produziert heute nicht mehr nur Hinweise, sondern funktionsfähige Exploits – schneller, als klassische Unternehmen patchen können. Jede veröffentlichte Korrektur wird gleichzeitig zum Bauplan für den nächsten Exploit, weil AI Patch-Diffing und Reverse Engineering massiv beschleunigt [3][5].
Das ist der Punkt, an dem klassische Prozesse anfangen, fast altmodisch zu wirken. Nicht falsch im historischen Sinn. Aber gebaut für eine andere Welt.
Wir haben jahrelang so getan, als sei Schwachstellenmanagement vor allem eine Fleißaufgabe. Mehr Scans, bessere Priorisierung, mehr Disziplin im Patchen. Dahinter steckt die stille Annahme, dass wir das Problem mit genug Struktur in den Griff bekommen. Die Wirklichkeit sieht inzwischen anders aus. Das System erkennt immer mehr Schwachstellen, aber es skaliert in der Behebung nicht mit. Genau das macht es dysfunktional. Wenn ein einzelner KI-getriebener Analysezyklus in kurzer Zeit mehr kritische Findings erzeugt, als ein Unternehmen in Monaten sinnvoll abarbeiten kann, dann liegt das Kernproblem nicht mehr in der Erkennung. Dann liegt es in einer Remediation, die weiterhin im Menschenmaßstab festhängt [1][6].
Und hier wird es vielleicht am unangenehmsten, weil es den Menschen selbst betrifft.
Ich lehne mich bewusst aus dem Fenster: Unsere aktuellen Prozesse machen den Menschen operativ oft zum Engpass
Nicht, weil Menschen unfähig wären. Sondern weil wir ihnen ein Prozessmodell gebaut haben, das Reibung produziert, wo eigentlich Geschwindigkeit nötig wäre. Je mehr Rollen beteiligt sind, desto mehr Abstimmung. Je mehr Abstimmung, desto mehr politische Priorisierung. Je mehr politische Priorisierung, desto länger bleiben Systeme offen.
Der neue Brief adressiert auch das erstaunlich offen. Er beschreibt explizit, dass Organisationen ohne AI-gestützte Unterstützung einen wachsenden Fähigkeitsabstand zu AI-unterstützten Angreifern haben werden – und dass das nicht nur ein Technologieproblem ist, sondern ein kulturelles [3].
Und genau deshalb ist AI und Automatisierung inzwischen keine Zukunftsoption mehr. Es ist eine strukturelle Notwendigkeit.
Wenn Angreifer Schwachstellen in Maschinenlogik entdecken und kombinieren, dann kann die Verteidigerseite nicht ernsthaft weiter in Monatsfenstern und Freigabeschleifen denken. Der Brief formuliert das bewusst pragmatisch: kurzfristig AI auf eigenen Code anwenden, mittelfristig eine dauerhafte „VulnOps“-Fähigkeit etablieren [3].
Das ist ein Perspektivwechsel.
Vulnerability Management ist damit nicht mehr Hygiene. Es wird zu einer operativen Disziplin.
Und dann kommt noch ein Gedanke dazu, der oft untergeht: Haftung.
Mit regulatorischen Entwicklungen wie dem EU AI Act verschiebt sich auch die Erwartung an angemessene Sicherheitsmaßnahmen. Wenn Technologien existieren, die Risiken schneller erkennen und reduzieren können, wird es schwer zu argumentieren, warum man sie nicht genutzt hat [3].
Das ist unbequem. Aber notwendig.
Denn wir reden oft so, als sei diese Entwicklung nur eine neue Waffe der Angreifer. Das stimmt nicht. Die gleichen Werkzeuge stehen uns auch zur Verfügung. Und wir wissen schlicht nicht, wie viele spezialisierte Modelle bereits außerhalb der Öffentlichkeit existieren – bei staatlichen Akteuren, in privaten Strukturen oder in organisierten Communities.
Deshalb glaube ich, dass wir gerade erst am Anfang des eigentlichen Wachrüttelns stehen.
Die große Welle kommt nicht erst. Sie baut sich bereits auf.
Und das eigentliche Risiko liegt nicht in der Technologie. Sondern darin, sie zu unterschätzen.
Ich selbst versuche gerade, dieses Thema aktiv anzugehen – mit dem klaren Ziel, schneller zu werden und unsere Ansätze grundlegend zu verändern. Gleichzeitig bleibt die Frage im Raum, ob wir es schaffen, schnell genug zu sein, um auf diese neue Realität angemessen zu reagieren. Mehr Automatisierung, mehr Integration, mehr Geschwindigkeit. Und trotzdem fühlt es sich oft so an, als wären wir vielleicht bei fünf Prozent von dem, was eigentlich notwendig wäre.
Das ist kein Problem, das man mit einem Tool löst. Das ist ein Strukturwandel.
Und der beginnt damit, dass man akzeptiert, dass die Welt, für die man seine Prozesse gebaut hat, so nicht mehr existiert.
Quellen
[1] Qualys – The Broken Physics of Remediation https://blog.qualys.com/vulnerabilities-threat-research/2026/03/23/the-broken-physics-of-remediation
[2] Qualys Whitepaper https://cdn2.qualys.com/docs/mktg/qualys-tru-the-broken-physics-of-remediation.pdf
[3] SANS / CSA / OWASP – Emergency Strategy Briefing https://www.globenewswire.com/news-release/2026/04/14/3273499/0/en/SANS-Institute-Cloud-Security-Alliance-un-prompted-and-OWASP-GenAI-Security-Project-Release-Emergency-Strategy-Briefing-as-AI-Driven-Vulnerability-Discovery-Compresses-Exploit-Time.html
SANS Institute, Cloud Security Alliance, [un]prompted, and
[4] Google / Mandiant – M-Trends 2026 https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026
[5] Unit42 – State of Exploit Development https://unit42.paloaltonetworks.com/state-of-exploit-development/
[6] Hadrian – Negative Time-to-Exploit https://hadrian.io/blog/understanding-the-new-negative-time-to-exploit
[7] Cloud Security Alliance – Mythos Brief https://labs.cloudsecurityalliance.org/mythos-ciso/
[8] CISA KEV Übersicht https://www.cvefind.com/de/cve-find-cisa-kev.html
[9] Barracuda – KEV Erklärung https://de.blog.barracuda.com/2023/03/31/what-is-cisa-kev–
[10] Netzpalaver – Einordnung https://netzpalaver.de/2026/04/07/the-broken-physics-of-remediation-studie-zeigt-fundamentalen-wandel-in-der-cyberabwehr/
[11] IAVCworld – Zusammenfassung https://www.iavcworld.de/security/11658-neue-studie-zeigt-fundamentalen-wandel-in-der-cyberabwehr.html
[12] Reuters – Mythos / Glasswing https://www.reuters.com/legal/litigation/ai-boosted-hacks-with-anthropics-mythos-could-have-dire-consequences-banks-2026-04-13/