In vielen Security-Teams entsteht gerade eine neue Diskussion: KI-Modelle verkürzen die Zeit, in der aus einer Offenlegung von Schwachstellen tatsächlich ein Angriff wird. Die Frage lautet dann oft: Muss sich das Vulnerability-Management-Playbook komplett ändern?
Die ehrliche Antwort lautet: Ja—aber nicht dort, wo die meisten gerade hinschauen. Der Kern des Problems ist nicht neu. Mythos und ähnliche Systeme machen vielmehr die bestehenden Schwächen in Ihrem Priorisierungsprozess deutlich teurer.
Warum KI Exploit-Zeitleisten verkürzt – und was das wirklich bedeutet
Es ist nachvollziehbar, dass der Fokus auf Discovery liegt. KI kann Reconnaissance beschleunigen, Exposure schneller identifizieren und Techniken effizienter verketten. Dadurch können Angreifer schneller durch Umgebungen navigieren, in denen bisher vor allem die eigene Zeitknappheit eine Rolle gespielt hat.
Doch diese Dynamik erklärt nicht vollständig, warum Teams heute unter Druck geraten. Der entscheidende Punkt ist: Viele Organisationen haben vor KI-gestützten Angriffen schon das Priorisierungs-Problem nicht sauber gelöst. Die komprimierten Angriffszeiten verschieben die Kosten dafür nur nach oben.
Das Priorisierungsproblem begann nicht mit KI
Wenn man Security-Architekten, Verantwortliche für Detection & Response und CISOs in mittelständischen und wachstumsorientierten Unternehmen fragt, sind die Antworten oft überraschend ähnlich:
- Ein Großteil der gefundenen Schwachstellen ist vermutlich nicht wirklich ausnutzbar—aber das lässt sich nur durch intensivere Recherche bestätigen. Diese Zeit und Kapazität fehlt häufig.
- Viele priorisieren primär über CVSS-Werte—oft ohne fundierte Einordnung.
- Andere stützen sich auf Risikoscores aus Toolketten oder externen Security-Tests. Der Ablauf ist jedoch langsam und lässt sich verbessern.
Das Auffällige: Es sind nicht nur kleine Teams mit unausgereiften Programmen. Häufig laufen mehrere etablierte Lösungen parallel. Trotzdem landet man am Ende bei einer sortierten CVE-Backlog-Liste—statt bei einer wirklich priorisierten Liste, die den Weg zum geschäftlich relevanten Schaden abbildet.
Warum CVSS allein keine ausreichende Entscheidung liefert
Die Ursachen liegen weniger in der Abdeckung oder Qualität einzelner Scanner. Der Engpass steckt im Kontext. CVSS bewertet die Schwachstelle, aber nicht, was sie in Ihrem konkreten System bedeuten kann.
Es fehlen vor allem drei Perspektiven:
- Identitätskontext: Welche Accounts haben Zugriff auf das betroffene System—und sind sie besonders privilegiert?
- Erreichbarkeit: Ist der betroffene Host internet-exponiert oder nur „eine Hop“-Stufe von einem kritischen Ziel entfernt?
- Pfad-Kontinuität: Gibt es tatsächlich eine bestätigte Angriffskette, die diese CVE mit etwas verknüpft, das Ihrem Unternehmen wirklich schadet?
Ohne diese Bausteine sind 50.000 Findings keine priorisierte Liste. Es ist eher ein Backlog ohne Kompass. Und wenn Angreifer ihre Schritte beschleunigen, wird aus „viel Rauschen“ sehr schnell ein „teures Raten“.
Was Mythos ändert – und was sich nicht ändert
Mythos und Modelle dieser Art verkürzen die Zeit von Disclosure bis zur Ausnutzung. Wo Teams früher eventuell drei Wochen Patching-Zeit hatten, kann es nun eher drei Tage werden—in manchen Fällen sogar nur Stunden.
Das ist eine echte Veränderung der Betriebsbedingungen. Aber die grundlegende Architektur des Vulnerability-Management bleibt gleich: Wenn Sie weiterhin von einer nach CVSS sortierten Ausgangsliste arbeiten, hilft zusätzliche Geschwindigkeit nicht. Sie starten weiterhin an der falschen Stelle.
Die passende Leitfrage lautet daher nicht nur: „Wie schnell patchen wir?“, sondern: „Reicht unsere Priorisierung, um mit der neuen Angreifer-Taktung Schritt zu halten?“
Der blinde Fleck: Angriffspfade sind noch nicht integriert
Typische Unternehmens-Stacks bestehen aus mehreren Spezialwerkzeugen. Zum Beispiel:
- Identität: Okta oder Entra
- Cloud-Security: Wiz oder Orca
- Vulnerability Management: Qualys, Tenable oder Rapid7
- Endpoint-Schutz: CrowdStrike oder SentinelOne
- Netzwerk: Zscaler oder Palo Alto
- SIEM: Splunk oder Sentinel
Jedes Tool liefert wertvolle Signale in seinem Zuständigkeitsbereich. Ein Scanner findet die CVE. Identitätslösungen zeigen überprivilegierte Konten. Cloud- oder Misconfig-Tools entdecken Fehlkonfigurationen. Endpoint-Tools sehen den Zustand von Clients.
Aber: Die entscheidende Verbindung fehlt häufig—also die Angriffskette, die diese Einzelsignale zu einem realen Pfad formt, der am Ende Ihr geschäftskritisches Ziel erreicht.
Genau hier entsteht Arbeit: Manuelles Korrelationstuning, Tab-Wechsel, Querverweise und Analystenstunden, um ein Bild nachzubauen, das eigentlich im System selbst entstehen müsste. Ein Angreifer, der auf Maschinengeschwindigkeit operiert, nutzt nicht die zwei Stunden, die ein Mensch zum Abgleich braucht.
Angriffspfade priorisieren: So sieht das „richtige“ Modell aus
Der Unterschied zwischen einem CVE-Zettel und einer sinnvollen Entscheidung liegt in der Frage, die Sie stellen:
Statt nur zu fragen, wie hoch der CVSS-Wert einer Schwachstelle ist, fragen Sie: Kann diese Schwachstelle ein Crown-Jewel-Ziel erreichen—über welche Identität, über welche Vertrauensgrenzen und mit welchem potenziellen Schaden?
Sobald Sie Identitätskontext und Erreichbarkeit einbeziehen, kippt die Bewertung oft stark. Eine Schwachstelle mit „mittlerer“ Einstufung kann plötzlich zu einem kritischen Angriffspfad werden, wenn ein überprivilegierter Account nahe dran ist und eine realistische Kette existiert.
Umgekehrt kann ein hoher CVSS-Wert auf einem isolierten Testsystem deutlich weniger dringend sein, wenn der Weg zum relevanten Ziel praktisch blockiert ist. CVSS allein kann das nicht abbilden—und Einzeltools liefern selten die Gesamtschau.
Das Ergebnis einer solchen Herangehensweise: Es geht nicht darum, mehr Daten zu haben. Es geht darum, die richtigen 12 statt 50.000 Findings zu erkennen—also die Exposures, die einen bestätigten Pfad zu etwas Kritischem besitzen.
Validierung statt Bauchgefühl: Was vor Remediation stehen muss
Ein weiteres Prinzip ist entscheidend: Validieren Sie, bevor Sie Ressourcen binden. Die Quelle betont, dass bestätigte Pfade gegenüber theoretischen Annahmen priorisiert werden sollten. Nur weil eine Kette theoretisch möglich wirkt, bedeutet das nicht, dass sie im aktuellen Kontext tatsächlich funktioniert.
Mit KI-komprimierten Zeitfenstern wird „auf Verdacht“ besonders riskant. Punktuelle Einschätzungen werden schnell zu Momentaufnahmen—und damit zu einer potenziellen Schwachstelle im eigenen Prozess.
Das Playbook, das sich wirklich ändern muss
Das alte Playbook sah typischerweise so aus: Scanner laufen, Findings werden nach CVSS sortiert, Tickets werden erzeugt, Remediation-Quoten werden verfolgt.
Das neue Modell setzt an mehreren Stellen gleichzeitig an:
- Tools verbinden: Nicht ersetzen, sondern über eine einheitliche Intelligenzebene korrelieren. Ziel ist eine gemeinsame Sicht auf Identität, Cloud, Endpoint und Vulnerability-Daten.
- Nach Pfad priorisieren: Entscheiden Sie anhand bestätigter Routen zum Crown-Jewel-Ziel—inklusive Identität und „Blast Radius“.
- Pfad-Exploits vor Remediation validieren: Bestätigte Pfade zuerst behandeln, um Ressourcen nicht in Sackgassen zu schicken.
- Kontinuierlich operieren: Da Zeitfenster zwischen Exposure und möglicher Ausnutzung schrumpfen können, sind nur periodische Bewertungen oft zu langsam.
Wichtig: Das bedeutet nicht, dass Scanner, Identitätssteuerung oder Cloud-Wächter ihre Rolle verlieren. Sie liefern weiterhin Signals. Der Unterschied ist die fehlende Verbindung zwischen diesen Signalen zu einem verteidigbaren, nachvollziehbaren Entscheidungsbild.
Fazit: Nicht schneller patchen, sondern Angriffspfade priorisieren
KI wird Ihr Vulnerability-Management nicht „ungültig“ machen. Aber sie macht Prozesse ohne Kontext deutlich anfälliger. Das Versprechen hinter dem Ansatz ist klar: Angreifer werden nicht automatisch durch zu langsames Patching „bestraft“, sondern durch das falsche Priorisieren.
Wenn Sie Angriffspfade priorisieren, erhalten Sie eine Entscheidungsgrundlage, die sich auch vor dem Board vertreten lässt: evidenzbasiert, nachvollziehbar und auf die wirklich relevanten Exposures ausgerichtet. Genau diese Liste ermöglicht es, mit der neuen Realität der verkürzten Angriffszeiten Schritt zu halten.
Quelle: https://thehackernews.com/2026/07/mythos-asks-right-question-it-doesnt.html
