Zero-Day-Markt & Vulnerability Management — vom CVE zur Patch-Priorisierung

Der Zero-Day-Markt — die Ökonomie der Schwachstellen

Der Zero-Day-Markt ist ein milliardenschwerer, global operierender Marktplatz für unveröffentlichte Schwachstellen und Exploits. Man unterscheidet drei Segmente: Der White Market (legitime Bug-Bounty-Programme — Google, Microsoft, Apple zahlen bis zu 300.000 USD für kritische Schwachstellen), der Gray Market (Broker wie Zerodium und staatliche Einkaufsprogramme — Preise bis 2,5 Mio. USD für eine iOS Full-Chain, 1 Mio. USD für Windows RCE), und der Black Market (Darknet-Foren, kriminelle Akteure, keine Regeln). Die Preise reflektieren die strategische Bedeutung der Schwachstelle: Eine Zero-Click-Exploit-Chain für iMessage (kein Benutzerinteraktion erforderlich) ist für Spyware-Hersteller wie die NSO Group millionenwert, weil sie damit Pegasus auf Zielgeräten installieren können — ohne dass das Opfer etwas bemerkt.

Die Zeitfenster-Problematik ist der Kern des Zero-Day-Problems: Zwischen der Entdeckung einer Schwachstelle durch den Angreifer und der Veröffentlichung des Patches vergehen oft Wochen bis Monate. Im Durchschnitt werden Zero-Day-Schwachstellen 7 Jahre lang ausgenutzt, bevor sie entdeckt werden (RAND Corporation Studie). Aber auch nach der Veröffentlichung eines Patches bleibt ein kritisches Zeitfenster: Exploit-Entwicklung nach Patch-Release („N-Day Exploitation“) dauert durchschnittlich nur 15 Tage — Angreifer analysieren den Patch per Reverse Engineering (Diff-Analyse), identifizieren die Schwachstelle und entwickeln den Exploit. Unternehmen haben also im Schnitt 2 Wochen, um zu patchen, bevor der Exploit „in the wild“ ist.

• Zerodium Preisliste 2026 (Auswahl): iOS Full Chain (Zero-Click): bis 2.500.000 USD. Android Full Chain (Zero-Click): bis 2.500.000 USD. Windows RCE (Remote Code Execution): bis 1.000.000 USD. Chrome RCE + Sandbox Escape: bis 500.000 USD. Apache/Nginx/IIS RCE: bis 500.000 USD. VMware ESXi Guest-to-Host Escape: bis 200.000 USD. WordPress RCE: bis 100.000 USD. Zerodium verkauft die Exploits an westliche Regierungen und Geheimdienste — der Endverbraucher ist nie der Entdecker. Die ethische Debatte: Zerodium-Exploits werden nicht dem Hersteller gemeldet (kein Patch), sondern für Überwachung/Offensive genutzt.
• N-Day vs. Zero-Day — das reale Risiko: Für die meisten Unternehmen sind N-Day-Schwachstellen (bekannt, Patch verfügbar, aber nicht installiert) ein größeres Risiko als Zero-Days. Statistik: Über 60 % der erfolgreichen Ransomware-Angriffe nutzen Schwachstellen, für die seit über 30 Tagen ein Patch verfügbar ist. Die berüchtigtsten N-Day-Beispiele: ProxyShell (Exchange, CVE-2021-34473 — immer noch in aktiver Ausnutzung 2026), Log4Shell (CVE-2021-44228 — nach 5 Jahren noch auf tausenden Systemen ungepatcht), Fortinet FortiOS (CVE-2024-21762 — Monate nach Patch in Ransomware-Kampagnen ausgenutzt). Fazit: Schnelles, priorisiertes Patching hat einen höheren ROI als jede Zero-Day-Verteidigung.
• Coordinated Vulnerability Disclosure (CVD): Der ethische Prozess: 1. Forscher entdeckt Schwachstelle. 2. Meldet sie an den Hersteller (90 Tage Deadline — Google Project Zero Standard). 3. Hersteller entwickelt Patch. 4. Patch und Advisory werden gleichzeitig veröffentlicht. 5. CVE-Nummer wird zugewiesen. Probleme: Patch Gap — zwischen Patch-Release und Installation auf Kundensystemen vergehen Wochen. Silent Patching — einige Hersteller patchen Schwachstellen ohne CVE/Advisory (keine Transparenz). CVE-Backlog — NIST NVD hat 2024/2025 ein massives Backlog bei der CVE-Analyse aufgebaut (tausende CVEs ohne CVSS-Score).
• Exploit-as-a-Service & Initial Access Broker: Der Zero-Day-Markt hat einen Downstream-Effekt: Sobald ein Exploit öffentlich wird (oder aus dem Gray Market „leakt“), wird er in Exploit-Kits integriert und über Initial Access Broker (IABs) monetarisiert. IABs sind spezialisierte Cyberkriminelle, die Zugänge zu kompromittierten Netzwerken im Darknet verkaufen: RDP-Zugang, VPN-Credentials, Web-Shells. Preise: 500–10.000 USD je nach Unternehmensgröße und Branche. Käufer: Ransomware-Affiliates, die den Zugang für ihren Angriff nutzen. Die Arbeitsteilung im Cybercrime-Ökosystem wird immer granularer: Exploit-Entwickler → IAB → Ransomware-Affiliate → Geldwäscher.

Intelligente Priorisierung — CVSS, EPSS, SSVC & CISA KEV

Bei über 30.000 CVEs pro Jahr ist Priorisierung die Kernkompetenz eines Vulnerability-Management-Programms. CVSS allein reicht nicht: Der CVSS-Base-Score misst die theoretische Schwere einer Schwachstelle, nicht die reale Ausnutzungswahrscheinlichkeit. Ergebnis: Über 50 % aller CVEs haben einen CVSS-Score ≥ 7.0 („High“ oder „Critical“) — aber nur 2–5 % werden jemals in freier Wildbahn ausgenutzt. Wer nach CVSS priorisiert, verschwendet Ressourcen auf Schwachstellen, die nie ausgenutzt werden, und übersieht möglicherweise Schwachstellen mit „nur“ CVSS 6.5, die aber aktiv exploited werden. Die Lösung: Risk-Based Vulnerability Management (RBVM) — Priorisierung basierend auf realer Bedrohungslage, nicht theoretischer Schwere.

• CVSS 4.0 (seit November 2023): Die aktuelle Version des Common Vulnerability Scoring System bringt wichtige Verbesserungen: Supplemental Metrics (Safety, Automatable, Recovery, Value Density, Provider Urgency), granulare Attack Complexity (Unterscheidung zwischen Netzwerk-Bedingungen und Exploit-Komplexität), Umbenennung: „Base Score“ heißt jetzt „CVSS-B“, mit Kontextscoring „CVSS-BE“ (Base + Environmental) und „CVSS-BTE“ (Base + Threat + Environmental). Der Threat Score berücksichtigt, ob ein Exploit öffentlich verfügbar ist oder aktiv ausgenutzt wird — ein enormer Fortschritt. Problem: Die meisten Scanner und SIEM-Systeme unterstützen 2026 noch immer CVSS 3.1 — die Migration zu 4.0 ist langsam.
• EPSS (Exploit Prediction Scoring System): EPSS (entwickelt von FIRST.org) prognostiziert die Wahrscheinlichkeit, dass eine CVE innerhalb der nächsten 30 Tage in freier Wildbahn ausgenutzt wird. Skala: 0–1 (0 % bis 100 %). Das ML-Modell berücksichtigt über 1.400 Features: CVE-Alter, CVSS-Vektor, öffentliche Exploits (Exploit-DB, Metasploit, Nuclei), Social-Media-Buzz, Vendor, Produkt, CWE-Typ. Praxis-Empfehlung: EPSS > 0.7 (70 %) → sofort patchen (innerhalb von 48 Stunden). EPSS 0.1–0.7 → im nächsten Patch-Zyklus (7–14 Tage). EPSS < 0.1 → im regulären Patch-Zyklus (30 Tage). EPSS kombiniert mit CVSS eliminiert über 80 % der Fehlpriorisierungen.
• CISA KEV (Known Exploited Vulnerabilities Catalog): Der CISA KEV-Katalog listet Schwachstellen, die nachweislich in freier Wildbahn ausgenutzt werden. Seit November 2021 enthält der Katalog über 1.100 Einträge (Stand 2026). Für US-Bundesbehörden ist Patching innerhalb der vorgegebenen Frist (typischerweise 14–21 Tage) gesetzlich verpflichtend (BOD 22-01). Für alle anderen Unternehmen: KEV = höchste Priorität, keine Diskussion. Wenn eine CVE im KEV-Katalog steht, wird sie jetzt ausgenutzt. Integration: Viele Scanner (Tenable, Qualys, Rapid7) zeigen KEV-Status direkt an. API: https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json.
• SSVC (Stakeholder-Specific Vulnerability Categorization): SSVC (entwickelt von CISA und Carnegie Mellon SEI) ist ein entscheidungsbaumbasiertes Modell, das Schwachstellen in vier Aktionskategorien einteilt: Act (sofort patchen — aktive Exploitation, hoher Impact), Attend (priorisiert patchen — Exploit verfügbar, relevanter Impact), Track (im nächsten Zyklus — potenziell ausnutzbar, moderater Impact), Track* (beobachten — theoretisch ausnutzbar, geringer Impact). Entscheidungsfaktoren: Exploitation Status (None/PoC/Active), Automatable (kann der Angriff ohne menschliche Interaktion automatisiert werden?), Technical Impact (Partial/Total), Mission Prevalence (wie wichtig ist das betroffene System?). SSVC ist praktikabler als CVSS, weil es eine klare Handlungsanweisung gibt.

VM-Programm aufbauen — von der Theorie zur Praxis

Ein effektives Vulnerability-Management-Programm 2026 besteht aus fünf Säulen: 1. Asset Inventory — Sie können nicht schützen, was Sie nicht kennen. Vollständige, aktuelle Inventarisierung aller Assets (Server, Clients, IoT, Cloud-Ressourcen, SaaS-Apps, Container). 2. Continuous Scanning — Nicht nur quartalsweise, sondern kontinuierlich (mindestens wöchentlich, Edge-Devices täglich). 3. Risk-Based Prioritization — EPSS + KEV + SSVC statt CVSS allein. 4. Remediation Workflow — Automatisierte Ticket-Erstellung, SLA-Tracking, Eskalation bei Überschreitung. 5. Metrics & Reporting — Mean Time to Remediate (MTTR), Patch Coverage, Risk Score Trend.

• Scanner-Landschaft 2026: Tenable Nessus / Tenable.io — Marktführer, über 200.000 Vulnerability Checks, Cloud- und On-Prem-Scanner, Agent-basiert und Netzwerk-basiert. Qualys VMDR — Cloud-native, TruRisk-Score (proprietäres EPSS-ähnliches Scoring), integriertes Patch-Management. Rapid7 InsightVM — Echtzeit-Risikobewertung, Agent-basiert, integriertes Remediation-Tracking. Microsoft Defender Vulnerability Management — in MDE integriert, kein separater Scanner nötig, Security Recommendations mit Remediation-Skripten. Open Source: OpenVAS/Greenbone — kostenloser Scanner mit über 100.000 NVTs, Community-Feed oder Greenbone Enterprise Feed.
• Patch-Management-Strategie: Emergency Patches (CISA KEV, EPSS > 0.7, aktive Exploitation): 48 Stunden. Critical Patches (CVSS ≥ 9.0, Exploit PoC verfügbar): 7 Tage. High Patches (CVSS 7.0–8.9): 14 Tage. Medium/Low Patches: 30 Tage oder im nächsten Wartungsfenster. Für Edge-Devices (VPN, Firewall, Load Balancer): Immer Emergency-Kategorie, wenn der CVE Internet-facing ist. Automatisierung: WSUS/Intune für Windows, Ansible/SCCM für Server-Patching, Vendor-Tools für Netzwerk-Geräte (FortiManager, Panorama). Patch-Test: Mindestens 4-Stunden-Testfenster in Staging-Umgebung vor Production-Rollout — außer bei aktiver Exploitation (dann sofort patchen).
• SBOM (Software Bill of Materials) & VEX: SBOM ist eine maschinenlesbare Liste aller Softwarekomponenten (und deren Versionen) in einem Produkt. Formate: SPDX (Linux Foundation), CycloneDX (OWASP). Seit dem US Executive Order 14028 (2021) müssen Softwarelieferanten für US-Bundesbehörden SBOMs bereitstellen — 2026 fordern auch EU-Regularien (CRA — Cyber Resilience Act) SBOMs. VEX (Vulnerability Exploitability eXchange): Ein SBOM zeigt, welche Komponenten enthalten sind — VEX erklärt, ob eine Schwachstelle in einer Komponente das Produkt tatsächlich betrifft. Status: Affected, Not Affected (z. B. verwundbarer Code wird nie aufgerufen), Fixed, Under Investigation. VEX reduziert die Alert Fatigue — nicht jede Log4j-Version in einer Abhängigkeit ist automatisch ausnutzbar.
• Attack Surface Management (ASM): Vulnerability Management beschränkt sich 2026 nicht mehr auf interne Scans: External Attack Surface Management (EASM) identifiziert alle internet-exponierten Assets Ihres Unternehmens — auch solche, die die IT-Abteilung nicht kennt (Shadow IT, vergessene Subdomains, Test-Server, Cloud-Storage-Buckets). Tools: Microsoft Defender EASM, CrowdStrike Falcon Surface, Censys, Shodan. Technik: DNS-Enumeration, Certificate Transparency Logs, IP-Range-Scanning, Cloud-Service-Discovery. Ein typisches mittelständisches Unternehmen entdeckt bei der ersten EASM-Analyse 30–50 % mehr internet-exponierte Assets als in der offiziellen Inventarisierung dokumentiert.