M-Trends-2026-Bericht von Mandiant<\/a>: Die mittlere Zeit liegt demnach bei minus sieben Tagen. Im Schnitt wird also angegriffen, bevor ein Patch überhaupt bereitsteht. Wie viele Schwachstellen im Umlauf sind, führte zuletzt der Linux-Kernel vor, für den an einem einzigen Wochenende über 400 Fixes veröffentlicht wurden. Eine hohe Zahl allein sagt wenig über Ihr Risiko, weil längst nicht jede Kennung aus der Ferne ausnutzbar ist – das Tempo dahinter ist aber real.<\/p>\n\n\n\nZweitens reicht die gewohnte Bewertung nach der reinen Schwachstellen-Kennzahl (dem CVSS-Wert) nicht mehr aus. KI kann mehrere kleinere Schwachstellen zu einem Angriffspfad verketten, von denen einzeln keine als kritisch gilt. Das BSI empfiehlt deshalb, nach dem tatsächlichen Risiko in der eigenen Umgebung zu priorisieren.<\/p>\n\n\n\n
Drittens gilt die Annahme „Assume Breach“: Gehen Sie davon aus, dass ein Angriff stattfindet, und richten Sie sich darauf ein, ihn früh zu bemerken. Dazu kommen zwei Felder, die das Papier gesondert behandelt – KI-gestütztes Phishing samt täuschend echter Deepfakes sowie die KI-Systeme selbst, die über Schwachstellen wie Prompt Injection zur neuen Angriffsfläche werden.<\/p>\n\n\n\n
Fairerweise nennt das BSI auch die Chancen: Verteidiger können KI nutzen, um die eigene IT zu prüfen und Routinearbeit abzunehmen. Das gilt allerdings als Ergänzung, die eigene Maßnahmen nicht ersetzt.<\/p>\n\n\n\n
3 · Die Maßnahmen: die eigentliche To-do-Liste<\/h3>\n\n\n\n
Im dritten Teil wird das Papier zur Handlungsanweisung. Das BSI empfiehlt im Kern vier Dinge: die Angriffsfläche kennen und verkleinern, schneller patchen, die Erkennung ausbauen und die Grundschutz-Basics umsetzen. Wo die eigene Kapazität nicht reicht, rät es ausdrücklich dazu, externe Dienstleister einzubinden. Diese Empfehlungen sind der rote Faden für die fünf Hebel weiter unten.<\/p>\n\n\n\n
Für ein kleines Team zählt vor allem eins: die Reihenfolge<\/h2>\n\n\n\n
So weit die Theorie zur BSI-Warnung. Die Maßnahmen beeinflussen nicht den Regelbetrieb, aber wenn man sie nicht umsetzt, steigt das Risiko kompromittiert zu werden. In der Praxis eines kleinen Teams wiegt eine Frage schwerer als die Menge der Lücken: Was ist zuerst dran? Bei begrenzter Zeit lässt sich nicht alles gleichzeitig patchen, und wenn nachts eine kritische Meldung hereinkommt, gibt es keine zweite Schicht, die übernimmt.<\/p>\n\n\n\n
Dazu kommt die Alarmmüdigkeit. Wer täglich Dutzende Hinweise sieht, von denen die meisten harmlos sind, übersieht irgendwann den einen, der zählt. Die stille Sorge, ausgerechnet das Falsche zuerst zu bearbeiten, kennt fast jede kleine IT-Abteilung.<\/p>\n\n\n\n
Was es kostet, die Reihenfolge dem Zufall zu überlassen<\/h2>\n\n\n\n
Wird eine Schwachstelle ausgenutzt, bevor Sie reagieren, drohen Datenverlust und ein tagelanger Ausfall. Seit dem 6. Dezember 2025 kommt für viele Unternehmen die Meldepflicht nach dem NIS2-Umsetzungsgesetz hinzu, mit Nachweispflichten, die im Ernstfall schnell greifen. Der Schaden entsteht meist dann, wenn zu spät klar wird, welche Lücke die wichtige war.<\/p>\n\n\n\n
Fünf Hebel, mit denen Sie das Tempo halten<\/h2>\n\n\n\n
Die Maßnahmen des BSI lassen sich für ein kleines Team auf fünf Hebel eindampfen.<\/p>\n\n\n\n
\n- Überblick.<\/strong> Sie brauchen eine aktuelle Liste aller Systeme und wissen, was davon aus dem Internet erreichbar ist. Was Sie nicht kennen, können Sie nicht schützen.<\/li>\n\n\n\n
- Nach Risiko priorisieren.<\/strong> Behandeln Sie erreichbare und kritische Systeme zuerst und richten Sie sich nach der tatsächlichen Gefahr für Ihre Umgebung, nicht allein nach einer Bewertungszahl.<\/li>\n\n\n\n
- Erkennen statt nur verhindern.<\/strong> Gehen Sie im Sinne von „Assume Breach“ davon aus, dass ein Angriff stattfindet, und sorgen Sie dafür, ihn früh zu bemerken.<\/li>\n\n\n\n
- Die Grundschutz-Basics.<\/strong> Mehr-Faktor-Anmeldung, sparsame Rechtevergabe und getestete Backups gehören dazu. Ihre Backups sind Ihre eigene Absicherung und sollten für kritische Systeme getrennt liegen.<\/li>\n\n\n\n
- Der Mensch und Ihre KI-Anwendungen.<\/strong> Sensibilisieren Sie Ihr Team auch für täuschend echte Angriffe mit KI-Stimmen, und behandeln Sie eigene KI-Systeme wie andere kritische Software.<\/li>\n<\/ul>\n\n\n\n
Wo Sie bei diesen fünf Hebeln stehen, finden Sie mit dem Selbsttest weiter unten in wenigen Minuten heraus.<\/p>\n\n\n\n
Finden Sie in fünf Minuten heraus, wo Sie stehen<\/h2>\n\n\n\n
Bevor Sie investieren, lohnt sich ein ehrlicher Blick auf den eigenen Stand. Der folgende Selbsttest ordnet Sie in den fünf Hebeln ein und macht daraus eine persönliche Maßnahmenliste zum Abhaken.<\/p>\n\n\n\n\n
\n