CVE-Explosion und Zero-Day-Erkennung: Warum Schwachstellenmanagement allein nicht mehr reicht
48.000 neu veröffentlichte CVE-Schwachstellen im Jahr 2025. Ein Anstieg von 20 Prozent gegenüber dem Vorjahr. Und Angreifer, die Schwachstellen in manchen Fällen über 100 Tage vor der offiziellen Herstellerkommunikation aktiv ausnutzen. Das sind keine hypothetischen Worst-Case-Szenarien – das sind belegte Zahlen aus der aktuellen Bedrohungslandschaft. Sie zeigen: Wer auf Patch-Management als primäre Sicherheitsstrategie setzt, verlässt sich auf ein Werkzeug, das strukturell zu langsam ist. Die Frage ist nicht mehr nur, wie schnell ein Unternehmen patcht – sondern ob es einen Angriff erkennt, bevor der Patch überhaupt existiert.
Die CVE-Explosion: Was die Zahlen wirklich bedeuten
Seit dem Jahr 2000 ist die Anzahl jährlich registrierter Common Vulnerabilities and Exposures (CVEs) kontinuierlich gestiegen. Bis etwa 2015 hielt sich das Wachstum in einem handhabbaren Rahmen. Dann hat sich die Kurve fundamental verändert: 2024 wurden über 40.000 CVEs in einem einzigen Jahr veröffentlicht – das entspricht 15,2 Prozent aller jemals dokumentierten Schwachstellen allein in diesem Zeitraum. 2025 stieg die Zahl weiter auf mehr als 48.000, ein Plus von über 20 Prozent gegenüber dem Vorjahr.
Was hinter dieser Entwicklung steht, ist kein Zufall: KI-gestützte Angriffswerkzeuge ermöglichen es, Schwachstellen automatisiert und in einem früher undenkbaren Tempo zu identifizieren und auszunutzen. Angreifer setzen heute dieselben Technologien ein, die auch Verteidiger nutzen – mit dem Unterschied, dass sie keine Compliance-Vorgaben, keine Wartungsfenster und keine Freigabeprozesse kennen. Das Schwachstellenmanagement vieler Organisationen läuft dieser Entwicklung strukturell hinterher.
Zero Day vor dem Patch: Die gefährlichste Phase der Schwachstelle
Das eigentliche Problem ist nicht die schiere Menge der CVEs – es ist der Zeitraum zwischen dem ersten aktiven Ausnutzen einer Schwachstelle und dem Moment, in dem ein Patch verfügbar und eingespielt ist. Dieser Zeitraum ist bei Zero-Day-Schwachstellen per Definition unkalkulierbar, weil der Vendor noch nicht weiß, dass die Lücke existiert. Aber auch bei bekannten CVEs mit veröffentlichtem Patch klafft in der Praxis ein oft kritisches Zeitfenster.
Die folgende Auswertung zeigt, wie viele Tage zwischen der aktiven Ausnutzung und der öffentlichen CVE-Meldung vergangen sind – bei realen Vorfällen der Jahre 2023 bis 2025:
Das Fortinet-Beispiel ist besonders eindrücklich: Die Schwachstelle CVE-2024-47575 wurde aktiv ausgenutzt, bevor Fortinet selbst sie als Sicherheitslücke kommunizierte – und das über einen Zeitraum von rund 125 Tagen. In dieser Zeit hatten Unternehmen ohne verhaltensbasierte Netzwerkerkennung keinerlei Chance, den Angriff zu entdecken. Kein Patch, keine Signatur, kein Alert aus einer regelbasierten Lösung – denn die Regel existierte schlicht noch nicht.
Log4J: Das Paradebeispiel für KI-basierte Früherkennung
Fallbeispiel – Log4Shell (CVE-2021-44228)
Darktrace erkannte Log4J-Aktivität über 120 Tage vor der offiziellen Kommunikation
120+ Tage früher als die offizielle Vendor-Kommunikation beobachtete Darktrace in Kundennetzwerken anomales Verhalten, das auf die Ausnutzung der Log4Shell-Schwachstelle hindeutete. Da Darktrace nicht auf Signaturen oder bekannte Angriffsmuster angewiesen ist, sondern das Normalverhalten jedes Systems individuell erlernt, erkannte die KI die ungewöhnlichen Netzwerkverbindungen und Ausführungsmuster – obwohl die Schwachstelle selbst noch nicht dokumentiert war. (Quelle: Darktrace)
Log4Shell gilt bis heute als eine der folgenreichsten Schwachstellen in der Geschichte der IT-Sicherheit. Die Apache-Bibliothek Log4j ist in Tausenden von Softwareprodukten und Systemen verbaut – oft unsichtbar für die eigenen IT-Teams. Als die Schwachstelle im Dezember 2021 öffentlich wurde, war die globale Reaktion entsprechend chaotisch: Millionen von Systemen potenziell betroffen, Patches im Notfallmodus, Angreifer, die innerhalb von Stunden nach der Veröffentlichung aktiv wurden.
Was das Darktrace-Beispiel zeigt: Ein verhaltensbasiertes NDR-System hätte Unternehmen in diesem Szenario einen entscheidenden Vorsprung gegeben. Nicht weil es Log4Shell kannte – sondern weil es erkannte, dass sich etwas im Netzwerk anders verhielt als zuvor. Genau das ist der fundamentale Vorteil von KI-basierter Anomalieerkennung gegenüber regelbasierten Systemen: Sie braucht keine Kenntnis des Angriffsvektors, um die Auswirkung zu erkennen.
Was das für Ihre Sicherheitsarchitektur bedeutet
Kernaussage: Schwachstellenmanagement und Patch-Management sind notwendig – aber nicht hinreichend. Solange Patches nicht existieren oder nicht eingespielt sind, ist die einzige verlässliche Schutzschicht eine, die Angriffe am Verhalten erkennt, nicht an der Signatur.
Die Konsequenz aus diesen Zahlen ist keine Absage an klassisches Vulnerability Management. Patches müssen weiterhin so schnell wie möglich eingespielt werden – keine Frage. Aber die Datenlage macht eines unmissverständlich klar: Zwischen dem Erscheinen einer Schwachstelle und ihrer Behebung existiert ein Zeitfenster, das mit signaturbasierten Mitteln nicht geschlossen werden kann. In diesem Fenster ist verhaltensbasierte Erkennung – NDR – die einzige Sicherheitsschicht, die greift.
Darktrace schließt genau diese Lücke. Weil die Plattform für jedes Gerät, jeden Nutzer und jede Verbindung im Netz ein individuelles Normalverhalten erlernt, erkennt sie Angriffe auch dann, wenn keine Signatur, kein Feed und kein Patch existiert. Das ist besonders relevant für Umgebungen mit langen Patch-Zyklen – etwa in der Produktion, der Gebäudetechnik oder bei Legacy-Systemen, wo Updates oft erst nach Wochen oder Monaten eingespielt werden können. Als Darktrace Premier Partner begleitet SCALTEL Unternehmen dabei, diese Erkennungsschicht in ihre bestehende Sicherheitsarchitektur zu integrieren – ergänzend, nicht ersetzend.
