Auf die Schnelle

Der Bericht State of Exploitation 1H-2026 von VulnCheck, veröffentlicht am 28. Juli 2026, ordnet 1.061 Schwachstellen des ersten Halbjahres einer KI-gestützten Suche zu. Bestätigt angegriffen wurden davon 14, also 1,3 Prozent, was in etwa der allgemeinen Ausnutzungsrate entspricht. Insgesamt kamen 495 bekannte ausgenutzte Schwachstellen dazu, 23,43 Prozent davon wurden am Tag der Veröffentlichung oder davor bereits ausgenutzt. Die mittlere Zeit bis zum ersten belegten Angriff fiel von 120 auf 80 Tage.

Seit KI-Systeme in großem Stil Quelltext auf Schwachstellen absuchen, steht die Sorge im Raum, dass jede dieser Lücken zur nächsten Angriffswelle wird. Der am 28. Juli 2026 veröffentlichte Bericht von VulnCheck liefert dazu erstmals eine belastbare Zahl, und die fällt anders aus als erwartet.

Die Zahl, um die es geht

1.061 Schwachstellen des ersten Halbjahres 2026 ordnet VulnCheck einer KI-gestützten Suche zu. Bei 14 davon ist eine Ausnutzung im Feld bestätigt.

Das sind 1,3 Prozent. Zum Vergleich: Diese Quote entspricht ungefähr der Rate, die für alle Schwachstellen im selben Zeitraum gilt. Eine Lücke wird also nicht dadurch gefährlicher, dass eine Maschine sie gefunden hat.

Zum selben Bild passt ein Befund aus Anthropics Sicherheitsprogramm Project Glasswing. Aus mehr als 23.000 Funden wurden dort 126 veröffentlichte Einträge und ein einziger belegter Angriff. Wir haben das Programm im Beitrag zu Project Glasswing beschrieben.

Warum das trotzdem keine Entwarnung ist

Im ersten Halbjahr 2026 kamen 495 bekannte ausgenutzte Schwachstellen hinzu. Bei 23,43 Prozent davon gab es Belege für eine Ausnutzung am Tag der Veröffentlichung des Eintrags oder schon davor.

Fast jede vierte Lücke wird also angegriffen, bevor der Hersteller sie öffentlich macht oder spätestens am selben Tag.

Der Wert, der uns dabei am meisten beschäftigt, ist ein anderer. Die mittlere Zeit von der Veröffentlichung einer Schwachstelle bis zum ersten belegten Angriff ist von 120 Tagen im Jahr 2025 auf 80 Tage im ersten Halbjahr 2026 gefallen. Wer bisher davon ausging, dass ein Quartal Zeit bleibt, um Aktualisierungen einzuspielen, liegt seit diesem Jahr daneben. Und weil es ein Mittelwert ist, ist die Hälfte aller Fälle schneller.

Content-Management-Systeme sind das Hauptziel

Die am häufigsten angegriffene Technologiekategorie waren im ersten Halbjahr Content-Management-Systeme. Auf sie entfiel ein Drittel aller neu aufgenommenen ausgenutzten Schwachstellen, ein deutlich höherer Anteil als in den Jahren davor.

Damit ist die Firmenwebsite gemeint. WordPress, TYPO3, Joomla, Shopsysteme.

Für kleine Betriebe ist das der praktisch wichtigste Satz im ganzen Bericht. Die Website läuft, sie kostet nichts Laufendes außer dem Hosting, und genau deshalb schaut niemand hin. Erweiterungen sind vor Jahren installiert worden, der Dienstleister, der sie eingerichtet hat, ist längst ein anderer, und niemand kann sagen, welche davon noch gepflegt werden. Bei den meisten Betrieben, bei denen wir hineinschauen, sind es mehr veraltete Erweiterungen als der Inhaber vermutet, und die Einbrüche laufen fast nie über einen gezielten Angriff, sondern über automatisierte Massenscans, die eine bekannte Lücke abklopfen.

Woran man sich beim Priorisieren halten kann

Aus den Zahlen lässt sich eine brauchbare Reihenfolge ableiten. Sie ersetzt kein Sicherheitskonzept, aber sie schlägt das Bauchgefühl.

Zuerst kommen die Systeme, die von außen erreichbar sind, also Website, Shop, Fernzugänge, Mailserver. Dann die Frage, ob es zu einer Schwachstelle einen bestätigten Angriff gibt, denn danach richtet sich die Dringlichkeit weit besser als nach der Schwere-Bewertung allein. Erst danach folgt alles, was nur intern erreichbar ist.

Der 80-Tage-Median übersetzt sich in eine schlichte Vorgabe: Wer Aktualisierungen einmal im Quartal einspielt, ist zu langsam. Einmal im Monat ist die Untergrenze, und für alles, was von außen erreichbar ist, gehören sicherheitsrelevante Aktualisierungen innerhalb weniger Tage eingespielt. Wie das mit vertretbarem Aufwand organisiert wird, steht in unserem Beitrag zur Cyberabwehr im Mittelstand.

Wer keine eigene IT hat, kann das vertraglich lösen. In einem Wartungsvertrag für die Website gehört ein Satz dazu, der festlegt, in welcher Frist sicherheitsrelevante Aktualisierungen eingespielt werden und wer das protokolliert. Ohne diesen Satz ist Pflege eine Kulanzleistung, die genau so lange stattfindet, wie der Dienstleister Luft hat. Mit ihm gibt es einen Termin, eine Zuständigkeit und im Zweifel einen Nachweis darüber, wann zuletzt jemand hingeschaut hat.

Was der Bericht über die Debatte sagt

Seit gut einem Jahr wird darüber gestritten, ob KI-gestützte Schwachstellensuche die Lage verschlechtert, weil sie Angreifern Material liefert, oder verbessert, weil Fehler früher gefunden werden. Der Bericht gibt der zweiten Seite mehr Argumente, ohne die Frage zu entscheiden.

Was sich sagen lässt: Die schiere Menge an gefundenen Lücken hat sich nicht in eine entsprechende Menge an Angriffen übersetzt. Angreifer nehmen weiterhin das, was billig und breit funktioniert, und das sind bekannte Lücken in weit verbreiteter Software.

Für den Mittelstand ist die Lehre daraus unspektakulär und gerade deshalb belastbar. Die Bedrohung kommt nicht aus einer neuen Technik, sondern aus dem Zeitfenster zwischen dem Bekanntwerden einer Lücke und dem Tag, an dem jemand sie im eigenen Haus schließt. Dieses Fenster ist in einem Jahr um ein Drittel kleiner geworden, und daran ändert sich nichts dadurch, dass man den Bericht gelesen hat.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 4. August 2026):

Häufige Fragen

Wie viele KI-gefundene Sicherheitslücken wurden wirklich angegriffen?

VulnCheck ordnet 1.061 Schwachstellen des ersten Halbjahres 2026 einer KI-gestützten Suche zu. Bei 14 davon ist eine Ausnutzung im Feld bestätigt, das sind 1,3 Prozent. Diese Quote entspricht ungefähr der allgemeinen Ausnutzungsrate aller Schwachstellen im selben Zeitraum.

Welcher Wert aus dem Bericht ist für Betriebe der wichtigste?

Die mittlere Zeit von der Veröffentlichung einer Schwachstelle bis zum ersten belegten Angriff ist von 120 Tagen im Jahr 2025 auf 80 Tage gefallen. Da es ein Mittelwert ist, geht die Hälfte aller Fälle schneller. Wer Aktualisierungen nur quartalsweise einspielt, ist damit zu langsam.

Welche Systeme werden am häufigsten angegriffen?

Content-Management-Systeme waren im ersten Halbjahr 2026 die am häufigsten angegriffene Technologiekategorie und machten ein Drittel aller neu aufgenommenen ausgenutzten Schwachstellen aus. Gemeint sind damit Firmenwebsites und Shops auf Basis von WordPress, TYPO3, Joomla und vergleichbaren Systemen.

In welcher Reihenfolge sollte man Schwachstellen abarbeiten?

Zuerst alles, was von außen erreichbar ist, also Website, Shop, Fernzugänge und Mailserver. Danach richtet sich die Dringlichkeit danach, ob zu einer Lücke ein bestätigter Angriff bekannt ist, was besser trägt als die Schwere-Bewertung allein. Rein interne Systeme folgen zuletzt.

Verstehen, wo KI im eigenen Betrieb wirklich hilft und wo nicht?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag nutzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 4. August 2026. Stand der Recherche: 4. August 2026.