Eine Sicherheitslücke wird entdeckt. Kurz darauf steht der Patch bereit. Die zuständige Person erhält eine Meldung, nimmt sie zur Kenntnis und verschiebt die Installation. Schließlich laufen die Systeme stabil. Warum also durch ein Update einen Ausfall riskieren? Weil Angreifer dieselbe Information erhalten haben.
Künstliche Intelligenz beschleunigt die Suche nach Schwachstellen. Sie unterstützt bei der Analyse von Quellcode, erzeugt Testfälle und erkennt auffällige Programmlogik. Sicherheitsforschende können dadurch größere Codebestände in kürzerer Zeit untersuchen. Google berichtete bereits 2024, dass ein KI-gestütztes System eine zuvor unbekannte und ausnutzbare Schwachstelle in der Datenbank SQLite gefunden hatte. Nach Angaben des Unternehmens war es das erste Mal, dass ein solches System eine unbekannte Sicherheitslücke in einer verbreiteten Software entdeckte. Der Fehler wurde behoben, bevor er öffentlich bekannt wurde. (Google Security Blog)
Das ist eine gute Nachricht. Schwachstellen, die früher möglicherweise lange unentdeckt geblieben wären, können schneller gefunden und geschlossen werden. Gleichzeitig verändern sich die Möglichkeiten aufseiten der Angreifer. Veröffentlichte Updates lassen sich analysieren, potenziell verwundbare Systeme automatisiert suchen und bekannte Angriffsmethoden schneller anpassen.
Aus einem veröffentlichten Patch wird damit ein Wettlauf: Wer reagiert zuerst?
Kein Betriebssystem ist von selbst sicher
Die Anzahl veröffentlichter Schwachstellen wird häufig als Argument für oder gegen ein bestimmtes Softwaremodell verwendet. Viele CVEs bei Linux sollen zeigen, dass Open Source unsicher sei. Viele Windows-Schwachstellen werden umgekehrt als Beweis gegen proprietäre Software angeführt. Beide Schlussfolgerungen greifen zu kurz.
Offener Quellcode kann von unabhängigen Sicherheitsforschenden untersucht werden. Bei proprietärer Software liegt die Analyse stärker beim Hersteller und ausgewählten externen Fachleuten. Beide Modelle können sichere Software hervorbringen. Und beide schützen nicht vor Programmierfehlern, Fehlkonfigurationen oder verspäteten Updates. Auch die veröffentlichten Zahlen lassen sich nicht direkt vergleichen. „Linux“ kann ausschließlich den Kernel, eine bestimmte Distribution oder ein vollständiges System mit Tausenden von Paketen bezeichnen. Unter „Windows“ werden unterschiedliche Desktop- und Serverversionen sowie zahlreiche zusätzliche Komponenten geführt. Hinzu kommen unterschiedliche Verfahren bei der Vergabe von CVE-Nummern.
Das Linux-Kernel-Team weist darauf hin, dass CVEs sehr vorsichtig vergeben werden. Da sich bei Fehlern im Kernel häufig erst später zeigt, ob sie ausnutzbar sind, erhalten auch potenziell sicherheitsrelevante Korrekturen eine CVE-Nummer. Die daraus entstehende hohe Zahl bedeutet nicht, dass jedes Linux-System von jeder erfassten Schwachstelle betroffen ist. (Linux-Kernel-Dokumentation)
Aktuelle Einträge und deren Anzahl finden Sie in den jeweiligen Verzeichnissen:
- CVE-Meldungen des Linux-Kernel-Teams
- Einträge in der National Vulnerability Database
- Microsoft Security Update Guide
Diese Zahlen ändern sich laufend und eignen sich nicht als Rangliste. Relevant ist, ob eine Schwachstelle das eingesetzte Produkt, die installierte Version und die konkrete Konfiguration betrifft. Besondere Priorität haben Sicherheitslücken, die nachweislich bereits ausgenutzt werden. Einen aktuellen Überblick bietet der Known Exploited Vulnerabilities Catalog der CISA.
Die richtige Schlussfolgerung lautet daher weder „Linux ist sicherer“ noch „Microsoft kümmert sich besser“. Jedes dauerhaft betriebene System braucht jemanden, der Sicherheitsmeldungen bewertet und notwendige Maßnahmen umsetzt.
Ein Patch schützt erst nach der Installation
Eine geschlossene Sicherheitslücke schützt nur jene Systeme, auf denen das Update tatsächlich installiert wurde.
In der Praxis scheitert das selten am fehlenden Patch. Häufiger fehlen klare Verantwortlichkeiten, eine aktuelle Systemübersicht oder ein geregelter Ablauf. Niemand weiß genau, welche Version betrieben wird. Eine alte Anwendung verhindert die Aktualisierung des Systems. Updates werden installiert, aber anschließend nicht kontrolliert. Patch-Management beginnt deshalb vor der Installation. Unternehmen müssen ihre Systeme und Versionen kennen, deren Supportstatus überwachen und festlegen, wer neue Sicherheitsmeldungen bewertet.
Bei besonders kritischen Schwachstellen kann es notwendig sein, noch vor dem eigentlichen Update zu reagieren. Netzwerkzugriffe können eingeschränkt, betroffene Funktionen vorübergehend deaktiviert oder Systeme verstärkt überwacht werden.
Patchen heißt nicht ungeprüft installieren
„Patchen, patchen, patchen“ ist richtig. Blindes Aktualisieren ist damit nicht gemeint. Updates verändern laufende Systeme. Abhängigkeiten können brechen, Anwendungen inkompatibel reagieren oder Dienste nach einem Neustart nicht korrekt hochfahren. Je geschäftskritischer das System ist, desto kontrollierter muss die Aktualisierung erfolgen.
Ein belastbarer Ablauf umfasst zumindest:
- Betroffenheit und Dringlichkeit prüfen
- Aktuelles, wiederherstellbares Backup sicherstellen
- Update nach Möglichkeit in einer Testumgebung prüfen
- Wartungszeitpunkt und Rückfallplan festlegen
- Patch installieren
- Dienste, Protokolle und zentrale Funktionen kontrollieren
- Ergebnis dokumentieren
Nicht jede Schwachstelle erlaubt einen langen Testzeitraum. Wird sie bereits aktiv ausgenutzt, kann das Risiko des Wartens größer sein als das Risiko des Updates. Diese Abwägung gehört zur laufenden technischen Betreuung.
Root-Zugriff vergrößert das Schadensausmaß
Wer Root- oder Administratorrechte besitzt, kontrolliert das System. Gelangen diese Rechte in falsche Hände, können Angreifer Programme verändern, zusätzliche Zugänge anlegen, Protokolle manipulieren sowie Daten verschlüsseln oder löschen. Auch Sicherheitswerkzeuge und lokal erreichbare Backups können betroffen sein. Ein kompromittiertes Root-System wird daher nicht automatisch wieder vertrauenswürdig, nur weil eine verdächtige Datei entfernt wurde. Es muss geklärt werden, wie der Zugriff erfolgte, welche Daten und Zugangsinformationen betroffen sein könnten und ob weitere Systeme erreicht wurden.
Je nach Vorfall ist ein vollständiger Wiederaufbau aus einer vertrauenswürdigen Quelle verlässlicher als der Versuch, jede Manipulation einzeln zu finden. Dafür braucht es dokumentierte Konfigurationen und ein sauberes Backup.
Ein Backup auf demselben System reicht nicht
Backups ersetzen keine Sicherheitsupdates. Sie entscheiden im Ernstfall aber darüber, ob sich ein System kontrolliert wiederherstellen lässt.
Eine Sicherung muss vom produktiven System getrennt sein. Kann ein Angreifer mit Root-Rechten auch die Backups löschen oder verschlüsseln, fehlt die notwendige Rückfallebene. Mindestens eine Sicherung sollte deshalb außerhalb des direkten Zugriffs des betroffenen Systems liegen oder nachträglich nicht veränderbar sein.
Auch ein erfolgreich abgeschlossener Backup-Job ist noch kein Beweis für eine funktionierende Wiederherstellung. Er zeigt lediglich, dass Daten geschrieben wurden. Ob diese vollständig und verwendbar sind, zeigt erst ein getesteter Restore.
Ein Backup-Konzept muss deshalb festlegen:
- Welche Daten und Konfigurationen gesichert werden
- Wo die Sicherungen liegen
- Wer sie verändern oder löschen kann
- Wie regelmäßig die Wiederherstellung getestet wird
Ohne getesteten Restore bleibt ein Backup eine Annahme.
Sicherheit entsteht im laufenden Betrieb
KI trägt dazu bei, dass mehr Schwachstellen schneller gefunden werden. Hersteller und Open-Source-Projekte können früher reagieren. Gleichzeitig wächst der Druck auf Unternehmen, veröffentlichte Updates zeitnah zu bewerten und einzuspielen.
Die Wahl des Betriebssystems löst diese Aufgabe nicht. Microsoft-Systeme benötigen ebenso laufende Wartung wie Linux-Systeme. Sicherheit entsteht im Betrieb: durch aktuelle Software, klare Verantwortlichkeiten, kontrollierte Updates, Überwachung und überprüfbare Backups. Die entscheidende Frage lautet daher nicht, welches Betriebssystem mehr veröffentlichte Schwachstellen aufweist. Entscheidend ist, wer Ihre Systeme betreut und reagiert, bevor aus einer bekannten Lücke ein erfolgreicher Angriff wird.
Patchen Sie regelmäßig. Sichern Sie Ihre Systeme. Und klären Sie, wer dauerhaft die Verantwortung dafür trägt.
Sie möchten Updates, Monitoring und Backups Ihrer Server verlässlich organisieren? Wir besprechen mit Ihnen, wie sich Verantwortlichkeiten und laufende Betreuung Ihrer Systeme verlässlich regeln lassen.
