Exposure Management: Wenn der Exploit schneller ist als der Patch

Anfang April 2026 hat Anthropic mit Claude Mythos Preview ein Modell herausgebracht, oder vielmehr nicht herausgebracht, das eine Grenze überschreitet, über die die Security-Branche bisher eher theoretisch gesprochen hat. Das Modell findet Schwachstellen nicht nur, es schreibt auch funktionierende Exploits. Anthropic berichtet von Zero-Days in jedem grossen Betriebssystem und jedem grossen Browser, von Bugs, die zehn oder zwanzig Jahre alt sind, und in einem Fall von einem Browser-Exploit, der vier Schwachstellen verkettet und dabei sowohl die Renderer- als auch die OS-Sandbox verlässt. Das britische AI Security Institute hat unabhängig einen deutlichen Sprung bei mehrstufigen Angriffssimulationen bestätigt. Diese Entwicklung zeigt, warum Exposure Management in den kommenden Jahren zu einer der wichtigsten Disziplinen der Cybersecurity wird.

Wichtig ist dabei: Diese Fähigkeiten wurden nicht gezielt antrainiert. Sie sind ein Nebenprodukt allgemein besserer Codeanalyse und Autonomie. Das heisst, sie sind reproduzierbar, und sie werden nicht auf verantwortungsvolle Anbieter beschränkt bleiben.

Inzwischen hat sich die erste Euphorie gelegt, und auch andere Modelle, teilweise auch im OpenWeight-Bereich, finden ähnliche Lösungen und Exploits. Das verschärft die Lage zusätzlich, denn damit sind auch noch potenzielle Guardrails eventuell einfach ausser Kraft zu setzen.

Für Verteidiger entsteht daraus ein Szenario, das sich mathematisch beschreiben lässt.

Die erste Kurve steigt: Wenn KI-Systeme Schwachstellen im industriellen Massstab finden, wächst die Zahl bekannter, aber noch nicht behobener CVEs schneller, als jedes Patch-Team sie abarbeiten kann. Change-Fenster, Freigabeprozesse, Legacy-Systeme, OT-Umgebungen und Vendor-Abhängigkeiten verschwinden nicht, nur weil das Meldevolumen steigt.

Die zweite Kurve fällt: Die Zeit von der Veröffentlichung bis zum waffenfähigen Exploit schrumpft von Wochen auf Tage, dann auf Stunden. Was früher Reverse Engineering durch spezialisierte Teams erforderte, wird zu einem automatisierten Arbeitsschritt.

Der Bereich zwischen diesen beiden Kurven ist Exposure. Und er wird strukturell grösser, unabhängig davon, wie diszipliniert ein Unternehmen patcht. Wer seine Sicherheitsstrategie weiterhin primär auf Patch-Geschwindigkeit aufbaut, plant gegen einen Trend, der sich nicht umkehren lässt.

Detection ist nicht überflüssig, im Gegenteil. Ohne Telemetrie gibt es keine Entscheidungsgrundlage. Aber Detection ist konstruktionsbedingt reaktiv. Sie meldet, dass etwas passiert ist.

Das Problem: Wenn Aufklärung, Exploitation und Lateral Movement in einer einzigen automatisierten Sequenz komprimiert werden, verkürzt sich das Fenster zwischen Erstzugang und Schaden dramatisch. Ein Alert, der nach 20 Minuten im SOC landet und nach zwei Stunden bearbeitet wird, kommt bei einem Angriff mit Maschinengeschwindigkeit schlicht zu spät. Die relevante Frage lautet nicht mehr nur: „Sehen wir es?“, sondern: „Wie weit kommt der Angreifer, während wir noch schauen?“

Hier liegt der eigentliche Hebel. Eine Schwachstelle, die nicht erreichbar ist, ist praktisch nicht ausnutzbar. Wer die Anzahl offener Pfade zwischen Workloads reduziert, senkt seine Angriffsfläche unabhängig vom Patchstand. Das ist der Kern von Zero Trust und der Grund, warum Segmentierung jetzt doppelt wichtig wird und ein elementares Element der Verteidigung darstellt, das auch noch agnostisch gegenüber gefundenen Schwachstellen ist, proaktiv schützt, keinen Zeitversatz in der Reaktion hat und das Risiko damit massiv senkt.

Illumio setzt genau dort an: Sichtbarkeit über tatsächliche Kommunikationsbeziehungen, Bewertung riskanter Pfade, Bewertung der Schwachstellen in Kombination mit der Erreichbarkeit der Schwachstelle sowie Enforcement direkt am Workload, im Rechenzentrum, in der Cloud und am Endpoint. Ringfencing kritischer Anwendungen, das Schliessen ungenutzter Management-Ports und die Trennung von Shared Services verwandeln ein CVSS-9.8-Ereignis oft in einen kontrollierbaren Vorfall statt in einen Notfall.

Genau hier setzt auch die im Juni 2026 erweiterte Partnerschaft zwischen Check Point und Illumio an. Sie richtet die Check Point Firewall-Policy und das Illumio-Workload-Modell aufeinander aus, sodass Nord-Süd-Kontrolle und Ost-West-Containment nicht länger zwei getrennte Regelwerke mit zwei getrennten Wahrheiten sind. Check Point verhindert, dass Bedrohungen hereinkommen, Illumio verhindert, dass sie sich frei bewegen. Illumio ist zudem über Check Point beziehbar, was Konsolidierung und Rollout beschleunigt.

Das Ziel ist eine einzige, konsistente Netzwerk-Policy, die Exposure fortlaufend senkt, statt sie nur zu messen.

Mythos ist kein Grund zur Panik. Es ist ein Zeitstempel. Die Frage für 2027 lautet nicht, ob Angreifer solche Werkzeuge nutzen werden, sondern ob Ihre Architektur den Unterschied überlebt.