KI findet Schwachstellen schneller, als Unternehmen sie schließen können. Was die neue Lückenflut für Betriebe ohne eigene IT-Abteilung bedeutet – und was jetzt zu tun ist.
Am Juni-Patchday hat Microsoft über 200 Sicherheitslücken geschlossen. Im Juni des Vorjahres waren es rund 60. Diese Verdreifachung innerhalb von zwölf Monaten hat einen einzigen Grund – und der liegt nicht bei Microsoft. Er liegt in der Fähigkeit moderner KI-Systeme, Software selbstständig nach Schwachstellen zu durchsuchen. Was früher Monate spezialisierter Handarbeit erforderte, erledigt heute ein Programm in Stunden. Die Branche hat dafür bereits einen Begriff geprägt: die „Vulnocalypse“ – die Lückenflut.
Was gerade passiert
Die Softwarehersteller reagieren, und zwar sichtbar. Adobe, Mozilla und Oracle haben ihre Update-Zyklen bereits verkürzt. Cisco liefert seine Sicherheitsupdates seit diesem Monat im Zwei-Wochen-Takt aus. Google zieht bei seinem Browser Chrome ab September nach.
Das ist keine Marketing-Maßnahme, sondern eine Kapitulation vor der Menge. Wer monatlich patcht, aber wöchentlich neue kritische Lücken gemeldet bekommt, hat ein strukturelles Problem – und die Hersteller wissen das. Modernes Schwachstellenmanagement muss mit dieser neuen Taktung Schritt halten.
Die Zahlen im Überblick
Ein erheblicher Teil der Lücken im Juni-Patchday wurde nicht von Menschen gefunden, sondern von KI-Agenten. Die Hersteller finden Fehler in der eigenen Software heute früher – aber dieselben Werkzeuge stehen auch der Gegenseite zur Verfügung. Und für einen Angreifer ist der Aufwand deutlich geringer: Er muss nur eine einzige ausnutzbare Lücke finden, nicht alle schließen. Genau deshalb wird strukturiertes Schwachstellenmanagement vom Kürprogramm zur Pflicht.
| Kennzahl | Befund |
| 200+ | geschlossene Lücken bei Microsoft, Patchday Juni 2026 – ein Rekord |
| ~60 | Vergleichswert Juni 2025 – eine Verdreifachung in 12 Monaten |
| 2 Wochen | neuer Cisco-Takt für Sicherheitsupdates statt monatlich |
| Adobe · Mozilla · Oracle | bereits auf verkürzte Zyklen umgestellt |
Warum das passiert – und warum es nicht wieder aufhört
Große Sprachmodelle – die Technologie hinter Werkzeugen wie ChatGPT – haben in den vergangenen Monaten eine Fähigkeit erworben, die man ihnen lange nicht zugetraut hat: Sie können Programmcode lesen, verstehen und systematisch nach Fehlern absuchen. Nicht perfekt, aber schnell, billig und in beliebiger Menge.
Für die Hersteller ist das zunächst eine gute Nachricht – sie finden Fehler, bevor jemand anderes sie findet. Der Haken: Dieselben Werkzeuge stehen auch der Gegenseite zur Verfügung.
Wie ernst die Lage eingeschätzt wird, zeigt ein Blick nach Brüssel: Die EU-Kommission hat Anfang Juli einen eigenen Aktionsplan zu Cybersicherheit und Künstlicher Intelligenz vorgelegt. Ausdrücklicher Anlass ist die Erkenntnis, dass fortgeschrittene KI-Modelle missbraucht werden können, um Schwachstellen zu identifizieren und Angriffe zu automatisieren – in einem Tempo, das es bisher nicht gab. Wenn die Europäische Union Notfallpläne schreibt, ist das kein reines Herstellerthema mehr.
Was das für einen Betrieb mit 30 Mitarbeitern bedeutet
Rechnen wir ehrlich. Wer bisher monatlich Updates eingespielt hat, musste im vergangenen Jahr etwa 60 Schwachstellen bewerten – die meisten davon betrafen Komponenten, die im eigenen Haus gar nicht im Einsatz waren. Ein überschaubarer Vorgang, den ein IT-Verantwortlicher an einem Nachmittag abarbeiten konnte.
Heute sind es über 200 pro Monat, allein bei Microsoft. Dazu kommen Cisco im Zwei-Wochen-Takt, Adobe, die Browser, das ERP-System, die Firewall, die Backup-Software. Die Zyklen mehrerer Hersteller laufen künftig parallel und asynchron.
Der Engpass ist dabei nicht das Einspielen der Updates – das ist technisch trivial. Der Engpass ist die Priorisierung: Welche Lücke betrifft mein Unternehmen überhaupt? Welche wird bereits aktiv ausgenutzt? Welche muss heute geschlossen werden, welche kann bis zum nächsten Wartungsfenster warten?
Diese Frage beantwortet niemand nebenbei am Freitagnachmittag. Und genau hier entsteht das Risiko: Das Zeitfenster zwischen der Veröffentlichung eines Patches und der aktiven Ausnutzung der zugehörigen Lücke schrumpft seit Jahren. Ein Patch ist zugleich eine Landkarte für Angreifer – er verrät ihnen, wo die Schwachstelle sitzt.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das Verhalten der Angreifer nüchtern: Sie gehen den Weg des geringsten Widerstands und suchen sich die Ziele mit dem niedrigsten Schutzniveau. Das trifft besonders häufig kleine und mittlere Unternehmen.
Der Denkfehler: „Wir machen die Updates doch“
Diesen Satz höre ich in Erstgesprächen regelmäßig. Er ist gut gemeint – und er verwechselt zwei Dinge.
Updates einspielen heißt: Windows meldet einen Neustart, jemand klickt auf „Später“ und irgendwann doch auf „Jetzt“.
Patch-Management heißt:
- Inventar – Welche Systeme, Geräte und Programme laufen überhaupt im Unternehmen? Wer ist Hersteller, welche Version?
- Priorisierung – Welche gemeldete Lücke betrifft diese Systeme, und wird sie bereits angegriffen?
- Kontrollierte Verteilung – Testfenster, Reihenfolge, Rückfallebene, falls ein Update etwas kaputt macht.
- Nachweis – Dokumentation, wann was geschlossen wurde. Im Schadensfall interessiert das die Versicherung.
Der erste Punkt ist der Aha-Moment in fast jedem Gespräch. Die wenigsten Geschäftsführer können auf Anhieb sagen, wie viele Geräte in ihrem Netzwerk hängen und welche Software darauf läuft. Ohne diese Liste ist jedes Patch-Management Glückssache.
Was Sie jetzt tun sollten
Diese Woche: Bestandsaufnahme. Lassen Sie sich eine vollständige Liste aller Systeme geben – Server, Arbeitsplätze, Notebooks, Firewall, Netzwerkgeräte, Drucker, Maschinensteuerungen mit Netzwerkanschluss. Inklusive Hersteller, Version und Support-Ende. Wenn Ihnen niemand diese Liste liefern kann, haben Sie Ihr erstes Ergebnis.
Diesen Monat: Automatisierung. Für Standardsysteme (Windows, Office, Browser) gehört das Einspielen von Sicherheitsupdates automatisiert – mit definierten Wartungsfenstern und einem klaren Verfahren für Notfall-Patches außerhalb des Zyklus. Wir bei bios-tec automatisieren unsere Managed Services seit 2018 konsequent. Nicht, weil es damals schon nötig war – sondern weil absehbar war, dass manuelle Prozesse irgendwann an der Menge scheitern. Dieser Punkt ist jetzt erreicht.
Dieses Quartal: Überprüfung. Automatisierung ist nur so gut wie ihr blinder Fleck. Ein Penetrationstest zeigt Ihnen, welche ungepatchten Systeme von außen tatsächlich angreifbar sind – bevor es jemand anderes tut. Erfahrungsgemäß sind es selten die Server. Es sind das vergessene Notebook im Lager, das Gerät des ausgeschiedenen Mitarbeiters, die Steuerung, an die sich niemand mehr erinnert.
Häufige Fragen zu Patch-Management und Schwachstellenmanagement
1️⃣ Was ist Schwachstellenmanagement?
Schwachstellenmanagement ist der fortlaufende Prozess, Sicherheitslücken in der eigenen IT systematisch aufzuspüren, nach Risiko zu bewerten und gezielt zu schließen. Es umfasst ein Inventar aller Systeme, die laufende Beobachtung neuer Lücken und eine klare Priorisierung – und geht damit weit über das reine Einspielen von Updates hinaus.
2️⃣ Was ist der Unterschied zwischen Updates und Patch-Management?
Updates einspielen heißt, eine einzelne Aktualisierung zu installieren. Patch-Management ist der organisierte Gesamtprozess dahinter: Inventar, Priorisierung nach Risiko, kontrollierte Verteilung mit Testfenster und Rückfallebene sowie die Dokumentation zum Nachweis. Ohne diesen Rahmen bleibt das Aktualisieren Stückwerk.
3️⃣ Warum ist Patch-Management gerade jetzt so wichtig?
Weil KI-Systeme heute Schwachstellen in Massen finden. Am Juni-Patchday 2026 schloss allein Microsoft über 200 Lücken – dreimal so viele wie ein Jahr zuvor. Ein Prozess, der auf monatliche, manuelle Durchsicht setzt, kommt mit dieser Menge nicht mehr mit.
4️⃣ Können kleine Unternehmen Patch-Management ohne eigene IT-Abteilung umsetzen?
Ja – über einen Managed-Service-Dienstleister. Für Standardsysteme lässt sich das Einspielen von Sicherheitsupdates automatisieren, kombiniert mit definierten Wartungsfenstern und einem Verfahren für Notfall-Patches. Genau das übernehmen wir bei bios-tec für mittelständische Betriebe in München und Oberbayern.
5️⃣ Wie finden wir heraus, wo wir angreifbar sind?
Über eine ehrliche Bestandsaufnahme aller Systeme und einen Penetrationstest, der Ihre IT aus der Angreiferperspektive prüft. So wird sichtbar, welche ungepatchten Systeme von außen tatsächlich erreichbar sind – bevor es jemand anderes herausfindet.
Fazit
Die Zahl der gefundenen Sicherheitslücken wird nicht wieder sinken. Sie wird steigen – weil die Werkzeuge, die sie finden, jeden Monat besser werden. Für Unternehmen ohne eigene IT-Abteilung bedeutet das eine schlichte Konsequenz: Ein Prozess, der auf menschliche Aufmerksamkeit angewiesen ist, skaliert nicht mehr mit. Das ist keine gute Nachricht – aber eine, auf die man reagieren kann. Und der erste Schritt kostet nichts außer einer ehrlichen Bestandsaufnahme.
Wie wir Sie unterstützen
Mit über 20 Jahren Erfahrung in der IT-Sicherheit in München wissen wir, wo bei mittelständischen Betrieben die Lücken sitzen – und wie sich Patch-Management so aufsetzen lässt, dass es auch ohne eigene IT-Abteilung funktioniert.
Sprechen Sie uns an – unverbindliche Erstberatung
Wir schauen uns gemeinsam an, welche Systeme bei Ihnen laufen, wo der Aktualisierungsstand steht und welche Schritte in Ihrem Fall sinnvoll priorisiert sind.
