Ihr Security-Backlog wird zur Waffe: Was der Exposure Management Report 2025 für sensible Inhalte bedeutet

Das hier sollte jedem CISO zu denken geben

Die Schwachstelle, die Sie seit drei Jahren patchen wollten? Angreifer haben gerade gelernt, sie in weniger als einer Stunde auszunutzen – dank KI-gestützter Coding-Tools, die Ihren Patch-Rückstand zur Einkaufsliste machen.

Der Exposure Management Index 2025 von Intruder hat über 3.000 kleine und mittelständische Unternehmen analysiert – und die Ergebnisse sind zugleich ermutigend und alarmierend. Ja, Teams beheben kritische Schwachstellen schneller – 89 % werden inzwischen innerhalb von 30 Tagen beseitigt, gegenüber 75 % im Jahr 2024. Doch der Dämpfer folgt auf dem Fuß: Hochgradige Schwachstellen nehmen jährlich um 19 % zu, und Angreifer haben entdeckt, dass Ihr „Back-Katalog“ älterer CVEs leichter auszunutzen ist als je zuvor.

Für Unternehmen, die mit sensiblen Inhalten arbeiten – Finanzdokumenten, Gesundheitsdaten, Kundendaten, geistigem Eigentum – bedeutet dieser Wandel ein existenzielles Risiko. Wenn Angreifer internetexponierte Systeme ins Visier nehmen, die Ihre wertvollsten Daten schützen, kann eine einzige ungepatchte „hohe“ Schwachstelle den Unterschied zwischen Normalbetrieb und einer Datenschutzverletzung ausmachen.

Sehen wir uns an, was diese Daten für Ihr Sicherheitsprogramm, Ihre Compliance-Pflichten und Ihre Fähigkeit bedeuten, die wichtigsten Inhalte zu schützen.

Severity Shuffle: Warum „Hoch“ das neue „Kritisch“ ist

Die Kernaussage des Berichts 2025 ist eindeutig: Kritische Schwachstellen stagnieren, aber hochgradige nehmen rasant zu. Unternehmen verzeichneten einen Anstieg der durchschnittlichen hochgradigen Schwachstellen von 281 auf 334 – ein Plus von 19 %, das direkt mit einem 34%igen Anstieg von High-CVEs im gesamten Ökosystem korreliert.

Warum sollten Sie sich um hohe Schweregrade kümmern?

Weil Schweregrad-Bewertungen Ausgangspunkte sind, keine Endpunkte. Eine „hohe“ Schwachstelle auf einem internetexponierten Managed File Transfer-System, Kundenportal oder Identity Provider ist nicht nur ein Fund – sondern eine geladene Waffe, die auf Ihre sensibelsten Daten zielt. Die Klassifizierung zeigt, wie schlimm etwas sein könnte; Exponierung und Auswirkungen bestimmen, wie schlimm es wird, wenn es ausgenutzt wird.

Betrachten Sie den Ablauf moderner Datenschutzverletzungen: Sie beginnen selten mit ausgeklügelten Zero-Days. Stattdessen nutzen Angreifer bekannte Schwachstellen an vorhersehbaren Stellen aus – das VPN-Gateway, das Ihr Dokumentenarchiv schützt, die Firewall Ihrer Kollaborationsplattform, der Identity Provider für den Zugriff auf Kundendateien. Diese Systeme sind bewusst exponiert, weil sie zugänglich sein müssen. Sind sie verwundbar, wird der Angriff schnell und verheerend.

Für Unternehmen, die sichere Filesharing- und Kommunikationsplattformen nutzen, entsteht ein besonderer Druckpunkt. Ihre Sicherheits-Appliances und Perimeter-Infrastruktur schützen nicht nur Ihr Netzwerk – sie schützen die Kronjuwelen Ihres Unternehmens. Jede ungepatchte hochgradige Schwachstelle in diesen Systemen ist eine offene Einladung.

KI-gestützte Exploit-Fabrik: Alte Probleme werden wieder brandaktuell

Jetzt wird es richtig beunruhigend: Angreifer nutzen zunehmend Schwachstellen aus, die ein, zwei oder sogar drei Jahre alt sind. Warum? KI-gestütztes Coding hat die Hürde für die Entwicklung verlässlicher Exploits drastisch gesenkt. Was früher erfahrene Forscher Wochen kostete, schaffen heute durchschnittliche Angreifer in wenigen Stunden.

Die Daten bestätigen das. Die „Schwachstellen des Jahres 2025″ lesen sich wie ein Best-of-Album für Perimeter- und weit verbreitete Infrastruktur:

ToolShell: Der Albtraum am Samstagmorgen

Microsoft SharePoint CVE-2025-53770 zeigt die Anatomie eines modernen „Perfect Storms“. Unauthentifizierte Remote-Code-Ausführung auf Systemen, die oft mit Active Directory verknüpft sind, und das Ganze an einem Samstag, wenn viele Teams keinen Bereitschaftsdienst haben. Das Patch war erst nach der Offenlegung verfügbar – das nutzbare Zeitfenster wurde in Tagen, nicht Stunden gemessen.

Wenn Ihr Unternehmen SharePoint für die Zusammenarbeit und Verwaltung von Dokumenten nutzt, sollte Sie das alarmieren. Die ersten Teams, die reagierten, hatten eine Chance. Wer die ersten Tage verpasste, stand womöglich schon vor einer aktiven Kompromittierung – Angreifer waren bereits in den Dokumentenablagen.

Palo Alto PAN-OS: Wenn „behoben“ nicht behoben ist

Die Authentifizierungs-Bypass-Schwachstelle (CVE-2025-0108) zeigt schonungslos: Sicherheit ist nie endgültig „gelöst“. Frühere Schutzmaßnahmen nach einem älteren Bypass waren unvollständig. Angreifer kombinierten Unterschiede in der Verarbeitung von Requests durch Apache, Nginx und PHP, um die Authentifizierung auf Management-Ebenen zu umgehen.

Wenn die Authentifizierung an der Firewall-Management-Schnittstelle versagt, ist der Schaden sofort und massiv. Für Unternehmen, die sensible Dateiübertragungen und Kommunikation hinter Sicherheits-Appliances schützen, ist das ein Worst-Case – die Systeme, die Ihre Daten schützen sollen, werden zum Einfallstor.

Apache mod_rewrite: Verbreitung schafft Angriffsfläche

CVE-2024-38475 beweist, dass weit verbreitete Komponenten den schnellsten Weg zu Angriffen bieten. Die große Zahl an Apache-Installationen sorgt dafür, dass Bugs auf Anwendungsebene immer wieder in Exploit-Kits auftauchen – die Installationsbasis ist riesig und Updates werden langsam eingespielt.

Der rote Faden dieser drei Beispiele ist klar: Internetexponierte, Identity-nahe und weit verbreitete Infrastruktur bleibt die Überholspur für Angreifer, die es auf sensible Daten abgesehen haben.

Speed Paradox: Schneller werden und doch zurückfallen

Nun zu den guten Nachrichten – und die gibt es tatsächlich. Unternehmen verbessern ihre Remediation-Geschwindigkeit deutlich. In Nordamerika sank die durchschnittliche Behebungszeit kritischer Schwachstellen von 37 auf 16 Tage. Europa hat im Schnitt etwa 100 weniger kritische Schwachstellen pro Unternehmen als nordamerikanische Firmen, trägt aber mehr hochgradige Schwachstellen (423 vs. 248).

Die 89 % der kritischen Schwachstellen, die innerhalb von 30 Tagen behoben werden, sind ein echter Erfolg. Sie zeigen: Wenn Unternehmen Prozesse verschlanken, Teams befähigen und Bürokratie abbauen, können sie mit der Geschwindigkeit moderner Bedrohungen mithalten.

Doch das Paradoxon bleibt: Selbst wenn die Remediation schneller wird, steigen Volumen und Geschwindigkeit ausnutzbarer Schwachstellen weiter. Sie laufen schneller – aber das Ziel verschiebt sich ständig. Für Unternehmen, die sensible Inhalte verwalten, bedeutet das einen Dauerzustand kontrollierten Chaos: Sie verbessern sich, aber holen nie ganz auf.

Compliance-Goldgrube in Ihren Metriken

Für Compliance- und Datenschutzverantwortliche ist die 30-Tage-Remediation mehr als nur eine Sicherheitskennzahl – sie ist revisionssicherer Nachweis der Wirksamkeit von Kontrollen.

Regulierungsbehörden und Unternehmenskunden verlangen zunehmend Belege statt Versprechen. Sie erwarten:

• Asset-Inventare mit klar definierten Verantwortlichkeiten
• Begründungen für die Priorisierung nach Schweregrad
• Genehmigungen mit dokumentierter geschäftlicher Rechtfertigung
• Remediation-Zeitstempel als Nachweis für Reaktionsgeschwindigkeit
• Ausnahmeregelungen, die ein reifes Risikomanagement belegen

Der Wandel hin zu sub-30-Tage-Remediation bei kritischen Schwachstellen schafft ein praktisches, messbares Ziel, das Auditoren prüfen können. Das ist kein Wunschdenken – die Daten zeigen, dass es im großen Maßstab erreichbar ist.

Für Unternehmen, die unter Vorgaben wie DSGVO, HIPAA, DORA oder NIS 2 Directive fallen, schlägt Exposure Management die Brücke zwischen Security Operations und Compliance-Nachweisen. Jede entdeckte, priorisierte und behobene Schwachstelle erzeugt Artefakte, die direkt die Compliance-Anforderungen zu Sicherheit der Verarbeitung, Resilienz und Incident Response unterstützen.

Denken Sie an die konkreten Auswirkungen auf das Risiko einer Meldepflicht bei Datenschutzverletzungen. Unauthentifizierte RCEs und Authentifizierungs-Bypässe auf internetexponierten Systemen – insbesondere Identity Provider, Managed File Transfer-Plattformen und Management-Ebenen – erhöhen das Risiko einer Offenlegung personenbezogener Daten erheblich. Exposure Management senkt nicht nur das technische Risiko, sondern auch die Wahrscheinlichkeit, Meldepflichten auszulösen – und damit verbundene regulatorische, finanzielle und Reputationsschäden.

Find-Fix-Gap: Wo gute Absichten scheitern

Der Bericht zeigt eine unbequeme Wahrheit über Unternehmensgröße und Remediation-Geschwindigkeit. 2024 behoben Firmen mit weniger als 50 Mitarbeitern kritische Schwachstellen fast doppelt so schnell wie Unternehmen mit 51–2.000 Mitarbeitern (20 vs. 38 Tage). 2025 hat sich die Lücke auf 14 vs. 17 Tage verringert – ein Fortschritt, aber immer noch bezeichnend.

Warum sind kleine Teams schneller? Die Antwort ist simpel: Weniger Übergaben, weniger Genehmigungen, weniger Altlasten.

Security-Teams können Schwachstellen finden und priorisieren – und das sehr effizient. Moderne Scanning-Tools, Threat-Intelligence-Feeds und automatisierte Asset-Erkennung machen die Entdeckung einfach. Aber Security-Teams können Schwachstellen nicht beheben – das können nur Infrastruktur-Engineers, DevOps-Teams und Produktentwickler. Jede Übergabe zwischen Entdeckung und Behebung sorgt für Reibung, Verzögerung und das Risiko, dass das Problem im Rückstand verschwindet.

Branchenspezifische Daten zeigen das anschaulich:

• Softwareunternehmen sind die Spitzenreiter und verkürzen die durchschnittliche Behebungszeit kritischer Schwachstellen von 24 auf 13 Tage. Cloud-zentrierte Workflows, automatisierte Deployment-Pipelines und schnelle Rollbacks bieten klare Vorteile.
• Finanzdienstleister entwickeln sich rückwärts – von beeindruckenden 14 Tagen im Schnitt 2024 auf 22 Tage 2025. Komplexe IT-Landschaften, strenge Change-Control-Vorgaben und Risikovermeidung bremsen die Geschwindigkeit. Wer Kundendaten verwaltet und unter regulatorischer Beobachtung steht, bremst aus Angst vor Betriebsunterbrechungen oft auch kritische Security-Fixes.
• Gesundheitsdienstleister liegen bei den Remediation-Zeiten im niedrigen 20er-Bereich – mit besonderen Herausforderungen durch internetexponierte klinische Systeme und Kollaborationsplattformen, die nicht lange offline sein dürfen.
• Professional Services zeigen eine deutliche Verbesserung (29 auf 21 Tage), doch bleibt es eine Herausforderung, dieses Tempo bei Auftragsspitzen zu halten.

Für Unternehmen, die sensible Inhalte in diesen Branchen verwalten, ist die Lehre klar: Die Distanz zwischen Security-Team und Engineering-Team wird in Tagen der Exponierung gemessen. Minimieren Sie Übergaben, beseitigen Sie Bürokratie und befähigen Sie die, die Patches einspielen können.

Sechs Maßnahmen, die wirklich Wirkung zeigen

Genug Analyse – was funktioniert wirklich? Unternehmen, die sub-30-Tage-Remediation erreichen und ihre Exponierung effektiv steuern, setzen auf gemeinsame Best Practices:

1. Reduzieren Sie Ihren Internet-Footprint radikal
   Jedes internetexponierte System ist ein potenzieller Einstiegspunkt. Prüfen Sie, was exponiert ist, hinterfragen Sie die Notwendigkeit und entfernen Sie alles, was den Test „notwendig und geschützt“ nicht besteht. Für Unternehmen mit Managed File Transfer bedeutet das: Nur authentifizierte, überwachte und geschützte Systeme dürfen ins Internet.
2. Gewichten Sie Ihr Triage-Verfahren neu
   Kritische Schwachstellen bleiben vorrangig, aber der Anstieg hochgradiger Schwachstellen lässt keine Zeit, diese erst nach den Kritischen abzuarbeiten. Priorisieren Sie nach:
   • Ausnutzbarkeit (gibt es funktionierenden Exploit-Code?)
   • Exponierung (ist das System internetexponiert?)
   • Schadenspotenzial (wie groß ist die Auswirkung bei Kompromittierung?)
   • Datensensitivität (schützt das regulierte oder besonders wertvolle Inhalte?)

   Eine hochgradige Schwachstelle in der Authentifizierung Ihres Dokumentenmanagementsystems verdient mehr Aufmerksamkeit als eine kritische Schwachstelle auf einem internen Testserver.

3. Verankern Sie Sub-30-Tage-SLAs mit Board-Transparenz
   Machen Sie die 30/60/90-Tage-Remediation-Ziele zur offiziellen Policy. Visualisieren Sie sie im Dashboard für das Board-Review. Können Sie diese Metriken heute nicht messen und berichten, ist die Messbarkeit Ihre erste Priorität. Die Daten zeigen: Die Ziele sind erreichbar – jetzt machen Sie sie verbindlich.
4. Schließen Sie die Find-Fix-Gap
   Übertragen Sie die Verantwortung für Remediation so nah wie möglich an die Teams, die handeln können. Für kritische Infrastruktur und Security-Appliances sollten vorab genehmigte Notfall-Change-Windows für Perimeter-Updates eingerichtet werden. Der Genehmigungsprozess muss dokumentiert, aber schnell sein. Der Unterschied zwischen 16 und 37 Tagen liegt oft an der Zahl der Genehmigungsstufen.
5. Behandeln Sie Ihr Vendor-Ökosystem wie Ihre eigene Infrastruktur
   Third-Party-Risiken und Schatten-IT vergrößern Ihre Angriffsfläche – oft unsichtbar. Asset Discovery muss auch Lieferantenumgebungen und „inoffiziell genutzte“ Services umfassen. Vertragliche SLAs mit Anbietern sollten die gleichen 30/60/90-Tage-Vorgaben widerspiegeln wie intern. Wenn ein Anbieter Systeme betreibt, die Ihre sensiblen Daten berühren, ist dessen Remediation-Geschwindigkeit auch Ihre.
6. Integrieren Sie Compliance von Anfang an
   Dokumentieren Sie während der Arbeit: Asset-Listen, Schweregrad-Entscheidungen, Zeitstempel, Genehmigungen, Ausnahmebegründungen. Ordnen Sie sie von Tag eins an regulatorischen Vorgaben und Kundenanforderungen zu. Wenn Ihr Exposure Management-Programm zugleich Audit-Repository ist, wird die nächste Prüfung zum einfachen Datenabruf statt zum Feuerwehreinsatz.

Regionale Regulierungseffekte

Die Daten zeigen einen spannenden Zusammenhang zwischen regulatorischem Druck und Security-Performance. Europäische Unternehmen haben im Schnitt etwa 100 weniger kritische Schwachstellen pro Firma als nordamerikanische. Befürworter von DORA, NIS 2 und Cyber Resilience Act sehen darin eine frühe Bestätigung, dass regulatorische Rahmenwerke das Verhalten verändern.

Der Bericht bleibt zu Recht vorsichtig – für einen Sieg ist es zu früh, und europäische Unternehmen tragen weiterhin mehr hochgradige Schwachstellen. Aber der Trend zeigt: Externer Druck, ob von Behörden oder anspruchsvollen Unternehmenskunden, beschleunigt Security-Verbesserungen.

Sie brauchen keine Vorschrift, um diese Best Practices einzuführen. Aber wenn Sie regulatorische Compliance-Anforderungen oder vertragliche Security-Pflichten haben, nutzen Sie sie als Hebel für Budget, Personal und Management-Support.

KI als Wild Card: Schneller Code, schnellere Schwachstellen

Eine unbequeme Wahrheit: Die gleichen KI-gestützten Entwicklungstools, die Ihre Software schneller ausliefern, können auch die Auslieferung von Schwachstellen beschleunigen. Wenn KI Ihre Entwickler schneller machen kann, kann sie auch Schwachstellen schneller in Produktion bringen.

Die Lösung ist nicht, KI-gestützte Entwicklung zu verbieten – das ist längst Realität. Behandeln Sie KI-generierten Code wie jede andere Komponente der Lieferkette: Setzen Sie auf abgestufte Reviews, automatisierte Security-Scans und Testanforderungen, bevor KI-Code in Produktion geht. Ihr Vulnerability Management muss die Beschleunigung legitimer Entwicklung und potenzieller Security-Probleme gleichermaßen abdecken.

Drei Maßnahmen für dieses Quartal

Die Daten von über 3.000 Unternehmen liefern eine Roadmap. Hier sollten Sie für maximale Wirkung ansetzen:

1. Prüfen Sie Ihre internetexponierte Infrastruktur, insbesondere Systeme, die sensible Inhalte schützen oder bereitstellen. Ist ein System exponiert, muss es notwendig, authentifiziert, kontinuierlich überwacht und mit aktuellen Security-Controls geschützt sein. Alles andere gehört hinter zusätzliche Schutzschichten oder sollte entfernt werden.
2. Gewichten Sie Ihr Triage-Verfahren auf hochgradige Schwachstellen mit Exploit-Code, insbesondere bei älteren CVEs. Der „Back-Katalog ist aktiv“ – Angreifer recyceln drei Jahre alte Schwachstellen schneller, als Sie patchen können. Erstellen Sie Playbooks für die im Bericht hervorgehobenen Schwachstellenklassen – unauthentifizierte RCEs, Authentifizierungs-Bypässe und Schwachstellen in weit verbreiteter Infrastruktur. Und üben Sie die Umsetzung dieser Playbooks.
3. Institutionalisieren Sie die Sub-30-Tage-Remediation für kritische Schwachstellen. Verankern Sie sie in der Policy, leben Sie sie im Betrieb und belegen Sie sie im Audit. Machen Sie sie zum KPI für Board-Dashboards und Management-Reviews. Die Daten zeigen: Das Ziel ist branchenübergreifend erreichbar – es gibt keine Ausrede für langsamere Performance.

Fazit: Geschwindigkeit zählt – aber Fokus zählt mehr

Der Exposure Management Index 2025 liefert eine klare Botschaft – und diese Klarheit ist wertvoll. Unternehmen, die Risiken am effektivsten steuern, versuchen nicht, jede Schwachstelle zu patchen – sie reduzieren Internetexponierung, priorisieren die Schwachstellen, die wirklich entscheidend sind, und machen ihre Maßnahmen sichtbar und nachvollziehbar.

Für Unternehmen, die sensible Inhalte verwalten, ist der Einsatz besonders hoch. Jedes internetexponierte System, das Dokumente, Kommunikation oder Daten schützt, ist ein potenzieller Einstiegspunkt. Jeder Authentifizierungs-Bypass, jede ungepatchte RCE, jeder alte CVE mit neuem Exploit-Code ist eine direkte Bedrohung für die Inhalte, die Sie schützen sollen.

Die gute Nachricht? Die Remediation-Geschwindigkeit steigt. Die Tools sind vorhanden. Die Benchmarks sind erreichbar. Was erfolgreiche Unternehmen von den anderen unterscheidet, sind nicht Budget oder Personal – sondern Fokus, Prozessdisziplin und die Bereitschaft, das zu messen und zu berichten, was wirklich zählt.

Ihr Security-Backlog ist längst kein reines Technikproblem mehr. Es ist eine Waffe, die von Angreifern auf Ihr Unternehmen gerichtet wird – und sie können sie heute schneller ausnutzen, als Sie sie beheben können. Die Frage ist nicht, ob Sie Ihr Exposure Management verbessern – sondern ob Sie es tun, bevor ein Angreifer Ihren Rückstand zum Durchbruch nutzt.