Threat Report
Wenn Patch-Zyklen zu langsam werden: Rapid7 fordert risikobasiertes Exposure Management
Rapid7 Threat Report: Deutschland weltweit auf Platz zwei der Ransomware-Ziele
Das Zeitfenster zwischen Veröffentlichung und aktiver Ausnutzung von Schwachstellen schrumpft dramatisch – und klassische Patch-Zyklen geraten damit zunehmend ins Hintertreffen. Besonders kritisch: 62 Prozent der im zweiten Quartal 2026 neu ausgenutzten Schwachstellen konnten über das Netzwerk ohne Authentifizierung oder Nutzerinteraktion attackiert werden. Für deutsche Unternehmen kommt ein weiteres Warnsignal hinzu: Mit 99 registrierten Ransomware-Opfern liegt Deutschland im internationalen Vergleich direkt hinter den USA.
Exploit-Geschwindigkeit setzt klassische Patch-Prozesse unter Druck
Der aktuelle Quarterly Threat Landscape Report von Rapid7 zeichnet ein deutliches Bild einer Cyberbedrohungslandschaft, in der Geschwindigkeit zunehmend zum entscheidenden Faktor wird. Sicherheitsverantwortliche müssen heute nicht nur mit einer steigenden Zahl kritischer Schwachstellen umgehen, sondern auch damit, dass Angreifer neue Sicherheitslücken immer schneller in funktionierende Angriffswerkzeuge verwandeln.
Nach Angaben von Rapid7 hat sich die Zahl der als hoch oder kritisch eingestuften Schwachstellenmeldungen im Jahresvergleich auf 8.539 verdoppelt. Gleichzeitig nahm auch die aktive Ausnutzung deutlich zu. Besonders problematisch ist dabei weniger die reine Anzahl neuer CVEs als die Geschwindigkeit, mit der aus einer veröffentlichten Schwachstelle ein reales Sicherheitsrisiko wird.
Zero-Click-Schwachstellen werden zum strategischen Risiko
Eine der auffälligsten Entwicklungen betrifft sogenannte Zero-Click- oder von Rapid7 als „Holy Grail“-Schwachstellen bezeichnete Sicherheitslücken. 62 Prozent der im zweiten Quartal neu ausgenutzten Schwachstellen ließen sich aus dem Netzwerk heraus ohne vorherige Authentifizierung und ohne Interaktion eines Anwenders ausnutzen.
Damit verschiebt sich das Risiko weiter weg vom klassischen Szenario, bei dem ein Mitarbeiter zunächst einen schädlichen Anhang öffnen oder auf einen Phishing-Link klicken muss. Angreifer können verwundbare, erreichbare Systeme direkt ins Visier nehmen. Bereits im ersten Quartal 2026 erfüllten mehr als die Hälfte der aktiv ausgenutzten Schwachstellen dieses Zero-Click-Profil. Der aktuelle Wert von 62 Prozent zeigt, dass sich der Trend weiter verstärkt.
Exploit-Code steht immer schneller zur Verfügung
Parallel zur Zahl kritischer Schwachstellen wächst der Bestand an öffentlich verfügbarem Exploit-Code. Rapid7 registrierte im zweiten Quartal einen Anstieg kritischer Schwachstellen um 21 Prozent gegenüber dem Vorquartal. Öffentlich verfügbarer Proof-of-Concept-Code nahm gleichzeitig um zwölf Prozent zu – gegenüber dem Vorjahr sogar um 76 Prozent.
Für Angreifer sinkt damit die technische Einstiegshürde. Sie müssen Exploits nicht zwangsläufig selbst entwickeln, sondern können bestehende Werkzeuge übernehmen, modifizieren und automatisiert gegen erreichbare Systeme einsetzen.
Eine weitere problematische Entwicklung betrifft fehlende Authentifizierungsmechanismen. Die Zahl entsprechender Schwachstellenmeldungen stieg innerhalb eines Jahres von 45 auf 156 – ein Plus von 247 Prozent.
Deutschland bleibt im Fokus von Ransomware-Gruppen
Auch die Ransomware-Zahlen unterstreichen die Bedeutung der Bedrohung für deutsche Unternehmen. Im zweiten Quartal registrierte Rapid7 881 gelistete Opfer in den USA und 99 in Deutschland. Damit entfallen auf die Vereinigten Staaten rund neunmal so viele Fälle wie auf Deutschland.
Gleichzeitig verbreitet sich das Geschäftsmodell geografisch weiter. Mit Indien und Thailand befinden sich erstmals zwei weitere asiatische Länder unter den zehn am stärksten betroffenen Staaten. Das deutet darauf hin, dass Ransomware-Partnerprogramme ihre Aktivitäten zunehmend über ihre traditionellen Schwerpunkte in Nordamerika und Europa hinaus ausweiten. Die Entwicklung ist auch deshalb relevant, weil moderne Ransomware längst nicht mehr allein als Schadsoftware betrachtet werden kann. Dahinter stehen arbeitsteilig organisierte Ökosysteme aus Initial-Access-Brokern, Ransomware-as-a-Service-Anbietern, Affiliates und spezialisierten Dienstleistern.
Staatliche Gruppen greifen kritische Infrastruktur an
Neben Cyberkriminalität dokumentiert Rapid7 staatlich unterstützte Aktivitäten aus Iran, Nordkorea und Russland. Zu den beobachteten Methoden gehörten unter anderem kompromittierte SOHO-Edge-Router, die für DNS-Hijacking eingesetzt wurden, sowie Angriffe auf Operational Technology und industrielle Steuerungssysteme.
Gerade die Kombination aus verwundbaren Edge-Systemen und industriellen Umgebungen ist problematisch. Solche Systeme sind häufig direkt oder indirekt erreichbar, besitzen lange Lebenszyklen und lassen sich aufgrund betrieblicher Abhängigkeiten nicht jederzeit kurzfristig patchen.
CVSS allein reicht für die Priorisierung nicht mehr aus
Damit stellt der Report auch etablierte Prozesse im Vulnerability Management infrage. Ein hoher CVSS-Wert sagt zwar etwas über die technische Schwere einer Schwachstelle aus, beantwortet aber nicht automatisch die entscheidenden Fragen: Ist das betroffene System aus dem Internet erreichbar? Existiert funktionierender Exploit-Code? Wird die Schwachstelle bereits aktiv ausgenutzt? Und welche Geschäftsprozesse hängen von dem System ab?
Rapid7 plädiert deshalb für eine deutlich stärker risikobasierte Priorisierung.
Christiaan Beek, Vice President bei Rapid7 Labs, warnt davor, Sicherheit ausschließlich an der Zahl abgearbeiteter CVE-Tickets festzumachen. Der Abstand zwischen verfügbarem Patch und der tatsächlichen Weaponisierung eines Exploits sei inzwischen teilweise nahezu verschwunden.
Diese Entwicklung zeichnet sich bereits seit längerem ab. Im Rapid7 Global Threat Landscape Report 2026 war die Zahl bestätigter Exploits bei High- und Critical-Schwachstellen gegenüber dem Vorjahr um 105 Prozent gestiegen. Gleichzeitig sank die mediane Zeit zwischen Veröffentlichung einer Schwachstelle und Aufnahme in den CISA Known Exploited Vulnerabilities Catalog von 8,5 auf fünf Tage.
Exposure Management statt starrer Patch-Zyklen
Für Security-Teams bedeutet das einen grundlegenden Perspektivwechsel. Die zentrale Frage lautet nicht mehr ausschließlich: Welche Schwachstellen haben wir? Entscheidend wird vielmehr: Welche davon können Angreifer tatsächlich erreichen und erfolgreich ausnutzen?
Genau hier setzt Exposure Management an. Informationen über Schwachstellen müssen mit Asset-Kontext, Erreichbarkeit, vorhandenen Sicherheitskontrollen, Exploit-Verfügbarkeit und Threat Intelligence zusammengeführt werden.
Das hat auch Konsequenzen für etablierte Change- und CAB-Prozesse. Wenn ein kritisches Update erst den nächsten regulären Patch-Termin abwarten muss, während ein funktionierender Exploit bereits verfügbar ist, entsteht eine organisatorisch verursachte Risikolücke.
Der Rapid7-Bericht macht damit deutlich: Patch-Geschwindigkeit allein entscheidet nicht über Sicherheit. Entscheidend ist die Fähigkeit, aus Tausenden Schwachstellen diejenigen herauszufiltern, die für Angreifer gerade jetzt einen realistischen Weg ins Unternehmen eröffnen.
