Das Hauptproblem beim Schwachstellenmanagement besteht nicht mehr darin, dass Sicherheitsteams Schwachstellen schnell entdecken können, sondern darin, dass sie eine wachsende Zahl von Ergebnissen korrekt bearbeiten müssen, bevor Angreifer sie ausnutzen. Microsoft ist der Ansicht, dass fortschrittliche KI-Modelle den Umfang von Scans, der Entdeckung von Schwachstellen und der Entwicklung von Behebungen erweitern werden. Gleichzeitig werden Sicherheitsteams jedoch mit einer Zahl von Ergebnissen konfrontiert, für die herkömmliche Prozesse der manuellen Überprüfung nicht ausgelegt sind.
Das Unternehmen erklärt, dass künstliche Intelligenz es Verteidigern ermöglicht, Sicherheitsrisiken früher zu erkennen und bestimmte Behebungsaufgaben zu automatisieren. Gleichzeitig stellt sie Angreifern schnellere Werkzeuge zur Suche nach Schwachstellen und deren Ausnutzung bereit. Daher reicht es nicht aus, den Erfolg eines Sicherheitsprogramms an der Geschwindigkeit der Veröffentlichung von Patches zu messen. Vielmehr muss ein Gleichgewicht zwischen der Geschwindigkeit und der Korrektheit der Behebung gewahrt werden, wobei Kontrollen eingesetzt werden sollten, die die Auswirkungen eines Angriffs begrenzen, wenn nicht jede Schwachstelle rechtzeitig behoben werden kann.
Was ändert sich im Schwachstellenmanagement?
Microsoft setzt fortschrittliche KI-Modelle ein, um seine Codebasis zu scannen und potenzielle Schwachstellen anschließend vor ihrer Behebung hinsichtlich ihrer Gültigkeit, Schwere und Auswirkungen zu überprüfen. Das Unternehmen erklärt, dass einige Phasen der Bearbeitung und Offenlegung von Schwachstellen inzwischen durch künstliche Intelligenz unterstützt werden, wodurch der Umfang des Prozesses erweitert werden kann.
Nach Angaben des Unternehmens werden die meisten Schwachstellen in von Microsoft betriebenen Cloud-Softwareprodukten ohne Eingreifen der Kunden behoben. Nutzer lokaler Software müssen hingegen mit einem deutlichen Anstieg der Zahl der im Rahmen der Patch-Tuesday-Updates bekannt gegebenen Schwachstellen gegenüber den historischen Werten rechnen. Im September 2026 wurde mit nahezu 1.000 Schwachstellen ein Rekordwert erreicht.
Microsoft weist darauf hin, dass Modelle nichtdeterministisch sind und bei einer erneuten Ausführung oder der Verwendung eines anderen Modells unterschiedliche Ergebnisse liefern können. Deshalb verwendet das Unternehmen eine Kontrollschicht oder einen „Gürtel“ um die Modelle, der festlegt, wie sie auf den Code zugreifen, die Ausgaben überprüft und die Ergebnisse mit Triage- und Behebungspfaden verknüpft. Microsoft hat den Einsatz dieser Schichten in seinen Engineering-Gruppen ausgeweitet und eine dieser unter dem Codenamen MDASH bekannten Lösungen auch Kunden zur Verfügung gestellt.
Praktische Maßnahmen für Informationssicherheitsverantwortliche
- Mehr Ressourcen für die Behebung: Aufgrund des erwarteten anhaltenden Anstiegs des Umfangs der Updates sollten mehr Ressourcen für die Behebung lokaler Microsoft-Software, die Triage von Schwachstellen und die Festlegung des Zeitpunkts bereitgestellt werden.
- Behebungszeit für kritische Systeme verkürzen: Microsoft schlägt vor zu prüfen, ob Behebungen für Komponenten wie Domänencontroller und Endgeräte innerhalb von 24 Stunden angewendet werden können, anstatt auf Wochenenden oder herkömmliche Wartungsfenster zu warten.
- Kontrollschichten für Modelle einsetzen: Ähnliche Schichten können verwendet werden, um den Zugriff von KI-Tools auf Code zu kontrollieren, Ergebnisse zu überprüfen und sie in Behebungsprozesse zu integrieren, ohne auf die Verfügbarkeit der neuesten Modelle zu warten.
- Ressourcen für die menschliche Triage bereitstellen: Eine höhere Zahl von Ergebnissen macht Experten nicht überflüssig, die Prioritäten festlegen, die Gültigkeit der Ergebnisse überprüfen und Fehler beheben.
- Mehrschichtige Verteidigung stärken: Der Zustand kritischer Sicherheitskontrollen sollte überwacht werden, da einige Schwachstellen nicht vor ihrer Ausnutzung behoben werden können.
Warum ist diese Nachricht wichtig?
Die tatsächliche Veränderung besteht darin, dass sich das Schwachstellenmanagement von einem regelmäßigen Prozess mit begrenztem Umfang zu einem kontinuierlichen Strom entwickelt, der mehr Ergebnisse hervorbringen kann, als Teams manuell prüfen können. Dadurch gewinnt die Qualität der Triage und der Ergebnisüberprüfung ebenso an Bedeutung wie die Geschwindigkeit der Scans. Außerdem wird der Zeitpunkt der Behebung zu einer betrieblichen und sicherheitsbezogenen Entscheidung und nicht lediglich zu einer Wartungsmaßnahme.
Microsoft weist außerdem auf Risiken in der Lieferkette von Open-Source-Software hin. Das Unternehmen arbeitet mit Akteuren der Branche zusammen, um kritische Komponenten zu prüfen und ihre Behebung in Abstimmung mit den Verantwortlichen zu priorisieren. Microsoft stellt die beiden Grundsätze Secure by Design und Secure by Default als Mittel zur Verringerung der Belastung für Kunden heraus. Beispiele dafür sind die obligatorische Multi-Faktor-Authentifizierung für Azure-Administratoren, die standardmäßig aktivierte logische Löschung in Azure Backup und die standardmäßige Deaktivierung des ausgehenden Zugriffs in Azure VNet.
Sichere Standardeinstellungen und Einschränkungen
Microsoft empfiehlt die Verwendung des Microsoft Baseline Security Mode, der aktuellen Kunden im Rahmen der Lizenzvereinbarung zur Verfügung steht, um sichere Einstellungen in großem Umfang anzuwenden und zu überwachen. Dieser Modus ermöglicht das Aktivieren und Deaktivieren von Kontrollen, die Verwaltung von Ausnahmen und eine schrittweise Einführung. Für neue Microsoft-Mandanten werden seine Kontrollen standardmäßig schrittweise angewendet.
Diese Empfehlungen machen keine risikobasierten Entscheidungen überflüssig. Unterschiedliche Modellausgaben, die Möglichkeit ungenauer Ergebnisse sowie der Bedarf an qualifizierten menschlichen Ressourcen und spezialisierter Triage sind Einschränkungen, die Automatisierung zu einem unterstützenden Faktor und nicht zu einem Ersatz für Governance und Überprüfung machen. Die Quelle liefert außerdem keine detaillierten Messwerte zur Genauigkeit von MDASH oder zum Umfang der Verkürzung der Bearbeitungszeit. Diese Punkte müssen unabhängig bewertet werden, bevor sie als bestätigte Ergebnisse betrachtet werden können.