Kritische Software-Schwachstellen dürften Unternehmen und Behörden noch länger beschäftigen. Davon geht Daniel Gille aus, Abteilungsleiter für Schlüsseltechnologien bei der Cyberagentur des Bundes. Gegenüber der Deutschen Presse-Agentur sagte er, man befinde sich wahrscheinlich bereits in einem „kleinen Tal der Tränen“. Als aktuelles Beispiel gilt die schwere Sicherheitslücke in der Skriptsprache PHP, die vergangene Woche zahlreiche Websites betroffen hat.
Angreifer sind derzeit klar im Vorteil
Laut Gille hat sich das Tempo auf Angreiferseite drastisch erhöht. Eine veröffentlichte Schwachstelle lasse sich inzwischen innerhalb von Minuten oder Stunden analysieren und in einen funktionierenden Angriff umsetzen, früher habe das Wochen oder Monate gedauert. Das Schließen der Lücken verlaufe dagegen dezentral und deutlich langsamer. Viele Betreiber hatten ihre Websites nach der PHP-Warnung vorsorglich vom Netz genommen und erst Stunden oder mehr als einen Tag später nach dem Einspielen der Updates wieder online gestellt.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft das Risiko durch die PHP-Lücke als „außerordentlich hoch“ ein. Die Schwachstellen erlauben es Angreifern, ohne Anmeldung aus der Ferne Schadcode auszuführen. Erfolgreiche Angriffe auf die Bundesverwaltung sind bislang nicht bekannt, das Digitalministerium prüft laut dpa jedoch, ob Daten abgeflossen sind. Ganz ohne Ende sieht Gille die Entwicklung nicht: Da Software nicht unbegrenzt viele Schwachstellen enthalten könne, sei irgendwann ein Plateau denkbar.
Zahl gemeldeter Lücken steigt massiv
Wie stark die Zahl gemeldeter Schwachstellen zuletzt gewachsen ist, zeigt eine Auswertung von IBM X-Force. Demnach wurden von Januar bis September 2026 mehr als 10.124 Sicherheitslücken in Produkten von Microsoft, Oracle, Google Chrome und Apache öffentlich gemacht. Im Vorjahreszeitraum waren es bei denselben Herstellern rund 1.493, ein Plus von etwa 578 Prozent. IBM bringt den Anstieg mit KI-gestützter Sicherheitsforschung in Verbindung, betont aber, dass sich ein direkter Zusammenhang aus den Daten nicht belegen lässt.
KI als Teil der Lösung
Gille sieht in künstlicher Intelligenz auch eine Chance: Sie könne künftig helfen, Programmcode zu schreiben, der weniger anfällig ist. Die Cyberagentur bereitet dazu ein Forschungsprogramm vor, das demnächst ausgeschrieben werden soll. Zudem forscht die Agentur experimentell an der Idee eines KI-basierten Betriebssystems. Ein solches System könnte ohne feste, einheitliche Codebasis auskommen, sodass ein Fehler nicht automatisch alle Installationen betrifft. Unter Betriebssystem-Experten ist der Ansatz umstritten. Gille selbst spricht von einer „komplett offenen Forschungsfrage“.
Quellen: Deutsche Presse-Agentur, IBM X-Force, BSI
