Microsoft hat gerade ein rekordverdächtiges Sicherheitsupdate rausgehauen, das an einem einzigen Tag knapp 1.000 Schwachstellen gestopft hat – und das Beunruhigendste daran ist nicht die schiere Anzahl, sondern dass zwei der Lücken, die Angreifer bereits aktiv ausgenutzt haben, nicht einmal als kritisch markiert waren. Was das für dein kleines Unternehmen bedeutet und warum das eigentliche Problem nicht die Patches sind, die du einspielen musst, sondern die, von denen du noch nicht einmal weißt, dass du sie suchen solltest.
Dein Unternehmen hat 974 Probleme. Aber nur 3 davon sind wirklich entscheidend.
Diese Zahl sollte dir Angst machen – aber nicht aus dem Grund, den du denkst
Ich nenne dir eine Zahl: 974. So viele Sicherheitslücken hat Microsoft an einem einzigen Tag im September geschlossen. Über 100 davon galten als kritisch. Insgesamt hat das Unternehmen allein in 2026 schon mehr als 2.700 Schwachstellen behoben – und es sind noch drei Monate übrig.
Was mich wirklich um den Schlaf bringt, ist folgendes: Zwei dieser September-Lücken wurden von Angreifern bereits aktiv ausgenutzt, bevor es überhaupt einen Patch gab. Und das Beste daran: Keine der beiden wurde als „kritisch" eingestuft. Beide trugen nur das Label „wichtig".
Eine versteckte sich im Windows Update Stack. Die andere saß in einem Dienst namens Advanced Local Procedure Call. Beide erlaubten es einem Angreifer, der bereits auf deinem Rechner war, sich zum Allmacht-Administrator hochzustufen. Und wenn du dich bei der Priorisierung auf Microsofts Schweregrad verlassen hast, hast du beide wahrscheinlich links liegen lassen.
Was ist also die eigentliche Lehre? Es geht nicht darum, ob du tausend Patches im Monat verarbeiten kannst. Die meisten Kleinunternehmen können das nicht – seien wir ehrlich. Die wahre Frage ist viel einfacher und viel schwerer: Weißt du überhaupt, was du besitzt?
Warum dein Postfach plötzlich voller Patch-Warnungen ist
Da ist etwas, das mich überrascht hat, als ich zum ersten Mal davon las. Software wird nicht schlechter. Diese Fehler sind nicht plötzlich aufgetaucht, weil Entwickler faul geworden sind. Viele von ihnen schlummerten seit Jahren im Code – manche sogar seit Jahrzehnten.
Was sich geändert hat? Künstliche Intelligenz.
Microsoft, Google, Adobe, Cisco, Mozilla und Oracle nutzen alle KI-Tools, um Millionen von Codezeilen nach Sicherheitslücken zu durchsuchen. Und sie finden sie in einem Tempo, das menschliche Forscher nie erreichen könnten. Allein Googles KI-Pipeline hat über tausend Sicherheitsfehler in zwei Chrome-Versionen behoben – mehr als in den beiden Jahren davor zusammen.
Dustin Childs von der Zero Day Initiative nennt das die „neue Normalität", und ehrlich gesagt stimme ich ihm zu. Erwartet nicht, dass diese Zahlen wieder auf das zurückfallen, was wir noch vor ein paar Jahren als normal betrachtet haben.
Ist das schlechte Nachricht?Meistens nein. Mehr Löcher, die von den Guten gefunden und gestopft werden, ist ein Gewinn. Die Flut an Patches wurde noch nicht von einer Flut an Angriffen begleitet – zumindest nicht bisher. Aber hier liegt der Haken: Wenn etwas doch zur Waffe wird, wird das Fenster zwischen der Offenlegung der Schwachstelle und dem Beginn der Ausnutzung durch Angreifer immer kleiner. Dieses Fenster hat dir früher Zeit zum Patchen gegeben. Heute reicht es kaum für eine Tasse Kaffee.
Das Sichtbarkeitsproblem, über das niemand spricht
Ich male dir ein Bild. Es ist Patch Tuesday (oder welcher Tag auch immer Microsoft jetzt für sein monatliches Update-Paket gewählt hat). Du öffnest deine Verwaltungskonsole und siehst 50 Updates warten. Vielleicht 100. Vielleicht mehr. Was ist deine Strategie?
Wenn du wie die meisten Kleinunternehmen bist, sortierst du probably nach Kritikalität und hoffst das Beste. Vielleicht stellst du alles auf automatisch und gut ist.
Hier liegt das Problem: kritisch bedeutet nicht „wird dich auf jeden Fall treffen" und wichtig bedeutet nicht „ist egal".
Eine DNS-Schwäche in Windows Server ist verheerend, wenn du einen Windows Server betreibst. Komplett irrelevant, wenn nicht. Aber wenn du nicht weißt, ob du Windows Server betreibst – und mal ehrlich, wie viele Kleinunternehmer können das aus dem Stegreif beantworten – spielst du im Grunde Sicherheits-Whack-a-Mole mit verbundenen Augen.
Die meisten Kleinunternehmen, mit denen ich rede, haben keine zuverlässige Liste dessen, was sie tatsächlich besitzen. Wie viele Laptops sind gerade im Umlauf? Welche bekommen noch Sicherheitsupdates und welche laufen auf Betriebssystemen, die seit 2017 nicht mehr unterstützt werden? Welche Server-Software läuft da und wann wurde sie zuletzt angefasst? Gibt es noch alte Smartphones mit Zugriff auf die Firmenmail?
Als die Patch-Mengen noch überschaubar waren, war ungefähre Abdeckung überlebbar. Man konnte sich mit etwas Raten durchschlagen, weil die Zahlen klein genug waren, dass breitflächig aktuell bleiben ungefähr so gut war wie wirklich aktuell.
Bei tausend Fixes im Monat funktioniert Raten nicht mehr. Du kannst keinen Heuhaufen sortieren, den du nie vermessen hast.
Die Inventarliste, über die niemand reden will
Hier ist die unsexy Lösung für das ganze Chaos: Mach eine Liste.
Ich weiß, ich weiß. Das ist nicht gerade der cybersecurity-mäßige Superheldenumhang. Aber hört mir zu.
Eine Asset-Inventur klingt langweilig, bis dir klar wird, was sie für dich tut. Sie verwandelt eine unüberschaubare Zahl (974 Patches diesen Monat!) in eine kleine (drei Patches, die auf dein tatsächliches Setup zutreffen). Sie macht jede andere Sicherheitsentscheidung billiger, weil du nicht mehr raten musst.
Du brauchst kein fancy Tool dafür. Fang einfach an. Welche Geräte verbinden sich mit deinem Netzwerk? Welche Software läuft darauf? Was wird tatsächlich genutzt und was wurde nur installiert und dann vergessen? Ich sage „einfach" und meine es auch. Eine Tabellenkalkulation reicht. Ein dokumentierter Rundgang durchs Büro reicht. Was zählt, ist, dass du es wirklich machst – und aktualisierst, wenn sich etwas ändert.
Die Unternehmen, die mit dieser neuen Realität gut umgehen werden, sind nicht die, die am schnellsten patchen. Es sind die, die eine einfache Frage beantworten können: Was betreiben wir, und wo steht es?
Deine KI-Tools gehören jetzt zur Angriffsfläche
Hier ist etwas, worauf du probably noch nicht gekommen bist: Deine KI-Assistenten sind Software. Software hat Fehler. Fehler können ausgenutzt werden.
Denk mal darüber nach, worauf manche dieser Tools Zugriff haben. Ein Copilot mit Zugang zu deinem Postfach, deinen Dateien, deiner Kundendatenbank – das ist ein völlig anderes Risikoprofil als ein Tabellenkalkulationsprogramm. Diese Tools können deine Mails lesen, Antworten in deinem Namen entwerfen und zunehmend Aktionen basierend auf dem ausführen, was sie finden.
Kleinunternehmen haben KI-Tools quasi organisch angenommen. Jemand hat eine hilfreiche Browser-Erweiterung installiert. Jemand hat einen Meeting-Protokollanten mit dem Firmenkalender verbunden. Jemand hat einem Assistenten Zugriff auf das Laufwerk gegeben, um einen Nachmittag Arbeit zu sparen.
Jede einzelne dieser Entscheidungen ergab zum Zeitpunkt der Entscheidung perfekten Sinn.
Was hinterher hinkte, war irgendein Vermerk darüber. Frag die meisten Geschäftsinhaber, welche KI-Tools in ihrem Unternehmen verwendet werden und auf welche Daten diese Tools tatsächlich zugreifen können – und du bekommst ein nachdenkliches Schweigen.
Das ist Shadow AI, und das ist eine Sichtbarkeitslücke mit deinem Namen darauf.
Die Lösung ist nicht, in Panik zu verfallen und KI-Tools zu verbieten – einige sind wirklich nützlich und deine Konkurrenten nutzen sie wahrscheinlich sowieso. Die Lösung ist, sie in diese langweilige Tabellenkalkulation aufzunehmen, über die wir gesprochen haben. Welche Tools sind mit welchen verbunden? Was können sie sehen?
Was das für dich bedeutet
Lass mich das alles mit etwas Praktischem zusammenfassen.
Die Patch-Flut wird nicht abebben. KI-gestützte Schwachstellenfindung ist gekommen, um zu bleiben – und das ist meistens gute Nachricht. Mehr Löcher werden geschlossen als je zuvor. Aber es verändert das Spiel dafür, wie Kleinunternehmen an Sicherheit herangehen müssen.
Du kannst dich nicht durch schiere Masse durchpatchen. Du kannst nicht jeden Sicherheitsbulletin lesen und fundierte Entscheidungen über alle treffen. Es gibt nicht genug Stunden am Tag, und ehrlich gesagt sind die meisten von uns keine Sicherheitsforscher.
Was du kannst, ist es ernst damit meinen zu wissen, was du besitzt. Bau diese Asset-Inventur auf. Sie muss nicht fancy sein. Sie muss nur existieren.
Sobald du weißt, was du betreibst, wird aus der Patch-Flut plötzlich ein viel überschaubarer Bach. Du kannst die Schwachstellen ignorieren, die dich nicht betreffen, und dich tatsächlich auf die konzentrieren, die es tun.
Du kannst nicht patchen, was du nicht siehst. Das ist der älteste Rat in der Cybersicherheit, und irgendwie war er nie relevanter als gerade jetzt.
Die Heuhaufen werden größer. Das bedeutet, dass der Einsatz dafür zu wissen, wo deine Nadeln sind, nie höher war.
Tags: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']