Igor Sakhnov, Executive Vice President und General Manager für Azure-Netzwerke bei Microsoft, ist der Ansicht, dass das traditionelle Modell des Schwachstellenmanagements mit der Geschwindigkeit moderner Bedrohungen nicht mehr Schritt hält. Unternehmen benötigen häufig Tage oder Wochen, um die Auswirkungen einer Schwachstelle zu verstehen, betroffene Systeme zu identifizieren, den Patch zu testen und sich vor seiner Bereitstellung in Produktionsumgebungen mit den Betriebsteams abzustimmen. Im Gegensatz dazu kann eine veröffentlichte Schwachstelle innerhalb weniger Stunden in die Phase des Scannens und der aktiven Ausnutzung übergehen.
Dieser am 25. August 2026 im Microsoft Security Blog veröffentlichte Ansatz kündigt kein bestimmtes Produkt an, sondern stellt vielmehr die Sicht des Unternehmens auf eine neue Verteilung der Aufgaben zwischen den Schutzebenen dar. Die zentrale Idee besteht darin, dass Patches weiterhin notwendig sind, aber nicht immer die schnellste Maßnahme zur Risikominderung darstellen. Daher benötigen Unternehmen kompensierende Kontrollen, die in der Zeit zwischen der Entdeckung des Problems und seiner endgültigen Behebung wirksam sind.
Das Patch-Fenster wird enger
Das traditionelle Schwachstellenmanagement basierte auf der Annahme, dass Verteidiger ausreichend Zeit haben, ein Problem zu bewerten, bevor Angreifer es umfassend ausnutzen. Unternehmensumgebungen umfassen inzwischen jedoch Tausende von Servern, Anwendungen, Datenbanken, Containern und Netzwerkressourcen, die über Cloud-, Hybrid- und Multi-Cloud-Umgebungen verteilt sind. Außerdem können viele geschäftskritische Anwendungen nicht sofort außer Betrieb genommen werden, sobald ein Sicherheitsupdate verfügbar ist.
Die Prüfschritte bleiben notwendig und sind kein Hinweis auf schwache Prozesse. Sicherheitsteams müssen die Auswirkungen der Schwachstelle auf das Geschäft verstehen, betroffene Systeme identifizieren, Abhängigkeiten und Kompatibilität untersuchen, den Patch in Testumgebungen überprüfen, Änderungspläne koordinieren und anschließend mögliche betriebliche Nebenwirkungen überwachen. Das Problem besteht darin, dass diese betrieblichen Absicherungen Zeit benötigen, während sich die Zeitspanne verkürzt, die ein Angreifer braucht, um einen ausnutzbaren Angriffsweg zu entdecken.
Künstliche Intelligenz setzt den Zeitplan unter Druck
Laut Sakhnov beschränkt sich die Wirkung künstlicher Intelligenz nicht darauf, Unternehmen bei der Datenanalyse und der Verbesserung der Sicherheit zu unterstützen. KI-gestützte Prozesse können auch die Analyse von Schwachstellenveröffentlichungen, das Verständnis der Ausnutzungsbedingungen, die Ermittlung von Angriffswegen und die Verknüpfung komplexer technischer Informationen beschleunigen. Je breiter diese Fähigkeiten verfügbar werden, desto kleiner wird der Abstand zwischen der Bekanntgabe einer Schwachstelle und den Versuchen, sie auszunutzen.
Hier entsteht ein deutliches Ungleichgewicht bei den Verantwortlichkeiten: Der Verteidiger muss eine vollständige und komplexe Umgebung schützen, während der Angreifer nur einen einzigen geeigneten Weg zu seinem Ziel benötigt. Daher reicht es nicht aus, dass ein Unternehmen die anfälligen Systeme kennt oder die Priorität des Patchens erhöht. Erforderlich ist vielmehr, die Ausnutzbarkeit sofort zu verringern, wenn das Update nicht installiert werden kann.
Das Netzwerk als vorübergehende Eindämmungsebene
Der Artikel schlägt vor, das Netzwerk als eine schnelle „Kontrollebene“ zu betrachten, die Workloads während der laufenden Behebung schützen kann. Das Netzwerk befindet sich außerhalb der Anwendungen und verfügt über Einblick in Kommunikationsmuster, Vertrauensbeziehungen und Datenverkehrsströme. Dadurch können Änderungen vorgenommen werden, ohne die Anwendung selbst zu modifizieren oder auf die Bereitstellung eines neuen Agents auf jedem Endpunkt zu warten.
Diese Kontrollen können dem Ansatz zufolge den Zugriff auf anfällige Systeme beschränken, potenzielle Angriffswege reduzieren, laterale Bewegungen begrenzen, besonders risikoreiche Ressourcen isolieren und den möglichen Schadensumfang verringern. Außerdem können sie angepasst werden, sobald neue Informationen vorliegen – möglicherweise schneller, als ein Patch in einer großen Unternehmensumgebung getestet und bereitgestellt werden kann.
Die Quelle nennt als Beispiel eine Schwachstelle in HTTP/2, bei der die vorübergehende Empfehlung möglicherweise darin bestünde, das Protokoll vollständig zu deaktivieren. Dies könnte jedoch die Leistung und Verfügbarkeit der Anwendung beeinträchtigen. Eine präzisere Reaktion könnte stattdessen darin bestehen, die Zahl gleichzeitiger Streams zu begrenzen, Anfragebeschränkungen zu verschärfen oder die Rate missbräuchlicher Kommunikationsmuster zu begrenzen, während der Dienst verfügbar bleibt. Das Beispiel verdeutlicht den Unterschied zwischen der vollständigen Blockierung der Kommunikation und der Einschränkung des Verhaltens, auf dem die Ausnutzung beruht.
Von der Sichtbarkeit zur adaptiven Durchsetzung
Sakhnov betont, dass Tools für Sichtbarkeit, Threat Intelligence und Analysen wichtig sind, die Gefährdung allein jedoch nicht verringern. Adaptiver Schutz benötigt drei miteinander verbundene Fähigkeiten: die Art der Schwachstelle zu verstehen, sie mit den tatsächlichen Gegebenheiten der Umgebung – einschließlich Konfigurationen, Kommunikationswegen und Exposition – zu verknüpfen und dieses Verständnis anschließend schnell und umfassend in anwendbare Kontrollen umzusetzen.
Nach der Einschätzung von certi.news liegt die Bedeutung des Ansatzes darin, dass er eine praktische Lücke aufzeigt, die durch Patching allein nicht geschlossen wird: Was soll ein Unternehmen tun, wenn es das Risiko kennt, das System aber nicht sofort ändern kann? Diese Sichtweise hebt jedoch weder das Patchmanagement auf noch beweist sie, dass Netzwerkkontrollen für jede Schwachstelle geeignet sind. Ihre Wirksamkeit hängt davon ab, das Ausnutzungsverhalten zu verstehen und die Regeln so zu konfigurieren, dass Eindämmungsmaßnahmen weder zur Unterbrechung von Diensten noch zu einem falschen Sicherheitsgefühl führen. Außerdem präsentiert die Quelle eine redaktionelle Position eines Microsoft-Verantwortlichen und keine unabhängigen Testergebnisse oder eine Zusage hinsichtlich der Fähigkeiten eines bestimmten Produkts. Daher bleibt die offene Frage, wie präzise und in unterschiedlichen Umgebungen umsetzbar dieser adaptive Schutz ist, während der endgültige Patch weiterhin die grundlegende Behebung des Problems darstellt.