Microsoft hat ausgewertet, welche veröffentlichten Sicherheitslücken (CVEs) tatsächlich angegriffen werden. Von allen CVEs ließen sich rund 2.000 Angriffen zuordnen, etwa 0,5 Prozent. 78 Prozent dieser Lücken erlauben Systemübernahme oder höhere Rechte. Codeausführung aus der Ferne macht 20 Prozent aller CVEs aus, aber 37 Prozent der ausgenutzten. Bei lokaler Rechteausweitung sind es 11 Prozent gegenüber 18 Prozent. Cross-Site-Scripting stellt 15 Prozent aller CVEs, aber nur 4 Prozent der ausgenutzten. Betriebssystemcode hat einen Anteil von 23 Prozent an allen CVEs und von 41 Prozent an den ausgenutzten. Der VulnCheck-Bericht für das erste Halbjahr 2026 zeigt das Tempo: 23,4 Prozent der ausgenutzten Lücken wurden innerhalb eines Tages nach Veröffentlichung angegriffen, die mittlere Zeit bis zur Ausnutzung sank von 120 auf 80 Tage. Für IT und CISO in Banken und Versicherern heißt das: Sortieren Sie die Patch-Warteschlange nach Lückenart statt nach Meldereihenfolge. Legen Sie fest, dass Lücken mit Codeausführung, Rechteausweitung und Betriebssystembezug zuerst bewertet werden. Definieren Sie für diese Gruppe eine eigene, kurze Frist und messen Sie, wie lange sie tatsächlich bis zum Einspielen braucht. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank hat sich bewährt, diese Frist im Patch-Prozess mit einem benannten Verantwortlichen und einem Eskalationsweg zu hinterlegen. Das macht die Priorisierung nachvollziehbar und lässt sich bei Prüfungen belegen. #Banken #Versicherer #Finanzdienstleister #Prüfungsplanung #Qvestcon #MarkusJunge #Schwachstellenmanagement