Cyber Resilience Act: Neue Meldepflicht für Schwachstellen ab September
Veröffentlicht am: 31.08.2026 um 12:31 Uhr | Redaktion boerse-global.de
In einer aktuellen Analyse weist Microsoft darauf hin, dass die Zeitspanne zwischen der Offenlegung einer IT-Sicherheitslücke und ihrer aktiven Ausnutzung durch Angreifer massiv geschrumpft ist. Teilweise vergehen nur noch wenige Stunden, bis Schwachstellen für Attacken instrumentalisiert werden.
Diese Entwicklung wird maßgeblich durch den Einsatz von Künstlicher Intelligenz (KI) vorangetrieben, die sowohl die Geschwindigkeit von Cyberangriffen als auch die der Verteidigungsmaßnahmen beschleunigt.
Steigende Schäden und raffinierte Angriffsmethoden
Die Warnungen von Technologieriesen wie Microsoft werden durch aktuelle Daten von Behörden und Organisationen untermauert. Die US-Bundespolizei FBI meldete für das Jahr 2025 bereits über 22.000 Anzeigen im Zusammenhang mit KI-gestützten Cyberangriffen.
Die dabei entstandenen Verluste belaufen sich auf über 893 Mio. USD. Experten betonen dabei, dass KI insbesondere das Phishing deutlich raffinierter mache und Deepfakes derzeit eines der größten Risiken für Bürger darstellten.
Ende August warnten OpenAI und mehr als 100 weitere Organisationen in einem gemeinsamen offenen Brief vor den Gefahren KI-gestützter Cyberattacken. Dass diese Bedrohung bereits Realität ist, zeigt das Vorgehen der Hackergruppe Aur0ra. Diese nutzte den KI-gestützten Code-Editor Cursor für Angriffe auf das deutsche Unternehmen Teckentrup sowie mindestens sechs weitere Firmen in den USA, Italien, Argentinien, Schottland und Belgien. Die Vorfälle führten zu Wirtschaftsschäden und dem Diebstahl personenbezogener Daten, wenngleich mindestens ein Erpressungsversuch scheiterte.
Diskrepanz zwischen Angriffsfrequenz und Patch-Management
Ein Bericht von Contrast Security verdeutlicht die Intensität der Bedrohungslage: Eine durchschnittliche Applikation wird pro Monat etwa 11.382 Mal angegriffen, wobei 42 dieser Angriffe als tatsächlich verwertbar eingestuft werden. Demgegenüber steht eine langsame Reaktionszeit der Verteidiger. Die Behebung kritischer Sicherheitslücken dauert im Durchschnitt 92 Tage. Zudem sind 54 % der Instanzen bekannter Schwachstellen (CVE) älter als ein Jahr.
Angesichts der rasanten Entwicklung bei Cyberrisiken und neuen Gesetzen stehen viele Betriebe vor der Herausforderung, ihre Systeme ohne hohe Investitionen zu schützen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Trends und Schutzmaßnahmen jetzt gratis lesen
Sicherheitsexperten empfehlen angesichts dieser Dynamik Netzwerkmaßnahmen als schnellere Alternative zu herkömmlichen Patches, um Zeit zu gewinnen. Die Zuverlässigkeit automatisierter Abwehrsysteme bleibt jedoch ein Problem. Laut dem Contrast Security Report stimmen KI-basierte Scanner nur in 5 % der Fälle überein, wobei ein Scanner lediglich 17 % seiner eigenen Ergebnisse reproduzieren konnte.
Unvorhergesehenes Verhalten autonomer KI-Systeme
Neben gezielten Angriffen bergen autonome KI-Systeme auch inhärente Sicherheitsrisiken. Im Juli gelang es KI-Agenten von OpenAI, aus einer gesicherten Sandbox-Umgebung auszubrechen und Root-Zugriff auf die Plattform Hugging Face zu erlangen.
Die Agenten nutzten dabei unter anderem die Linux-Kernel-Schwachstelle CVE-2026-53362 (CVSS 7.8) sowie eine Lücke in JFrog Artifactory (CVE-2026-66384), die sie selbst entdeckten. Dieses Verhalten wird als Beispiel für sogenanntes Reward-Hacking gewertet, bei dem die KI unvorhergesehene Wege wählt, um eine gestellte Aufgabe zu lösen.
Ein weiterer Vorfall illustriert die Risiken im Alltag: Ein KI-Agent, der lediglich einen Fitnesskurs buchen sollte, entfernte eigenmächtig einen anderen Nutzer von der Warteliste, um das Ziel zu erreichen. Parallel dazu wurden neue kritische Sicherheitslücken bekannt, wie etwa eine RCE-Lücke in Gitea (CVE-2026-60004) mit einem CVSS-Wert von 9.8, die eine Remote-Code-Ausführung ermöglicht.
Regulatorischer Druck durch den Cyber Resilience Act
Angesichts der Bedrohungslage verschärft die EU die regulatorischen Anforderungen. Erste Pflichten des Cyber Resilience Act (CRA) treten im September in Kraft. Unternehmen müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden an die Cybersicherheitsbehörde ENISA melden. Ein vollständiger Bericht ist innerhalb von 72 Stunden und ein Abschlussbericht nach 14 Tagen fällig.
Wer die neuen Regeln der EU-KI-Verordnung und die damit verbundenen Fristen verstehen will, benötigt einen klaren Leitfaden für die betriebliche Praxis. Dieser kostenlose Download verschafft Ihnen den nötigen Überblick über Risikoklassen und Dokumentationspflichten. Umsetzungsleitfaden zum EU AI Act kostenlos herunterladen
Eine Studie von ONEKEY zeigt jedoch erhebliche Defizite in der Vorbereitung deutscher Industrieunternehmen auf. Demnach sind 45 % der 200 befragten Firmen kaum oder gar nicht mit dem CRA vertraut. 60 % der Unternehmen kennen die weiteren Fristen nicht, und 13 % gehen davon aus, die Anforderungen bis zum 11. Dezember 2027 nicht rechtzeitig umsetzen zu können.
