Zwei Quellen, an einem Morgen gezählt

Am 27. Juli um sieben Uhr abends veröffentlichte die CISA die Version 2026.07.27 ihres Katalogs nachweislich ausgenutzter Schwachstellen. Zwei Einträge kamen hinzu: eine Lücke in Fortinet FortiOS und eine Befehlsinjektion im VeloCloud Orchestrator von Arista. Damit stand der Katalog bei 1.655 Einträgen, und das ist alles, was die Behörde seit dem Start der Liste im Jahr 2021 als angegriffen bestätigen konnte.

Am nächsten Morgen haben wir die andere Quelle abgefragt. Die National Vulnerability Database des NIST gibt für jeden gewünschten Zeitraum aus, wie viele Schwachstellen ein Veröffentlichungsdatum darin tragen. Für den 1. Januar bis 28. Juli 2026 lautet die Antwort 45.601. Für denselben Zeitraum 2025 sind es 28.032, für 2024 waren es 23.486.

Beide Zahlen sind öffentlich, beide sind kostenlos, und fast niemand legt sie nebeneinander. Nebeneinander sagen sie etwas aus, das in der Berichterstattung dieser Woche vollständig fehlt.

Es ist keine Verdoppelung

Beginnen wir mit der Behauptung, die am weitesten gereist ist. Seit Montag kursiert die Zahl von rund 45.000 Schwachstellen und die Prognose, das Jahr werde den Vorjahreswert verdoppeln. Der erste Teil stimmt. Der zweite nicht.

209 Tage des Jahres 2026 haben 45.601 veröffentlichte Schwachstellen ergeben. Bei gleichbleibendem Tempo bis zum 31. Dezember landet man bei etwa 79.600. Das gesamte Jahr 2025 kam auf 49.972. Das ist ungefähr das 1,6-Fache und nicht das Doppelte.

Der Unterschied ist keine Erbsenzählerei, denn die kleinere Zahl bleibt außergewöhnlich. Ein Anstieg um 60 Prozent in einem Jahr ist der steilste in der gesamten Aufzeichnung, und 2026 hat bereits 91 Prozent des Vorjahresvolumens erreicht, während noch fünf Monate ausstehen. Auf der genauen Zahl zu bestehen lohnt sich, weil die aufgeblasene zur falschen Reaktion einlädt. Eine Verdoppelung klingt nach einem Notstand, der es rechtfertigt, ein Team zu verdoppeln. Das 1,6-Fache klingt nach dem, was es ist: eine strukturelle Verschiebung im Angebot, die sich durch keine Personalaufstockung auffangen lässt.

Die Ausnutzungskurve ist nicht mitgegangen

Hier steht die Zahl, die die Entscheidung tragen sollte. Von den 45.601 in diesem Jahr veröffentlichten Schwachstellen wurden 171 in den Katalog der nachweislich ausgenutzten Lücken aufgenommen. Nur einhundert Einträge des gesamten Katalogs tragen überhaupt eine Kennung aus dem Jahr 2026.

Dieselbe Rechnung auf der Ausnutzungsseite: 171 Einträge in 209 Tagen ergeben ein Tempo von etwa 299 für das Jahr. Die CISA nahm im gesamten Jahr 2025 genau 245 auf. Während die Veröffentlichungen also um 63 Prozent stiegen, wuchs die bestätigte Ausnutzung um rund ein Fünftel.

Die beiden Kurven haben sich getrennt, und der Abstand wächst mit jedem Monat. Was auch immer den Anstieg der Veröffentlichungen treibt, und die Hersteller sagen recht offen, dass automatisierte Suche einen großen Anteil daran hat, es erzeugt Funde schneller, als irgendjemand daraus Angriffe macht. Die veröffentlichte Zahl ist kein Näherungswert mehr für die Arbeit, die vor Ihnen liegt. Sie misst inzwischen, wie viel Forschung die Branche betreiben kann, und das ist eine andere Frage mit einer anderen Antwort.

Eine ehrliche Einschränkung, die die Anweisung schärft statt sie zu schwächen: Das Fehlen im Katalog ist kein Beweis dafür, dass niemand eine Lücke ausnutzt. Die Liste hält fest, was eine Behörde bestätigen kann, und Bestätigung braucht Zeit. Das spricht dafür, den Ausnutzungsnachweis als stärkstes verfügbares Signal zu behandeln, nicht dafür, sein Fehlen als Entwarnung zu lesen.

Was die Regulierung tatsächlich verlangt

In den meisten Schwachstellenrichtlinien, die in den letzten drei Jahren in Europa geschrieben wurden, steht ein Satz dieser Form: Alles ab 7,0 wird binnen dreißig Tagen behoben. Wer diesen Satz 2023 formuliert hat, hat einer Arbeitsmenge zugestimmt, die seither ohne sein Zutun um zwei Drittel gewachsen ist.

Es lohnt sich zu prüfen, woher der Satz stammt, denn vom Regulierer kam er nicht. NIS2 zählt den Umgang mit Schwachstellen und deren Offenlegung zu den Risikomanagementmaßnahmen einer betroffenen Einrichtung und bindet die gesamte Pflicht daran, in einem angemessenen Verhältnis zum tatsächlichen Risiko zu stehen. Ein Bewertungssystem nennt der Text nicht, einen Schwellenwert ebenso wenig. DORA verfährt für Finanzunternehmen genauso: Priorisierung nach der Kritikalität des Betroffenen, ohne dass irgendwo ein fester Wert steht.

Der Schwellenwert war also eine hauseigene Erfindung, übernommen, weil er prüfbar ist. Prüfbar bleibt er. Bezahlbar ist er nur nicht mehr, und verlangt hat ihn keines der beiden Instrumente je.

Die Vorgabe umschreiben, nicht die Stellen aufstocken

Die praktische Änderung ist klein und lässt sich in diesem Quartal umsetzen. Bestätigte Ausnutzung steht ganz oben in der Warteschlange, mit einer Frist in Tagen. Alles andere behält eine Sortierung nach Schweregrad, verliert aber die automatische Frist und wird im normalen Wartungsrhythmus für die Systeme abgearbeitet, auf die es bei Ihnen wirklich ankommt.

Zwei flankierende Schritte machen das gegenüber einem Prüfer haltbar. Halten Sie schriftlich fest, welche externe Quelle Sie als maßgeblich behandeln und warum, damit die Priorisierung eine dokumentierte Methode ist und keine Bauchentscheidung. Und protokollieren Sie die Expositionsentscheidung für die Systeme, die Sie zurückstellen, denn nach einem Vorfall fragt eine Behörde nach einem begründeten Verfahren und nicht danach, ob Sie eine Kennzahl eingehalten haben.

Schwer tun werden sich in den nächsten achtzehn Monaten jene Teams, deren Vorgabe rechnerisch unerfüllbar ist und deren Prüfer das noch nicht bemerkt haben. Die Zahl wird weiter steigen. Die Menge dessen, was tatsächlich gegen Sie eingesetzt wird, steigt bei Weitem nicht im selben Tempo, und sie wird jede Woche kostenlos veröffentlicht.

Weiterlesen: Ihre Sandbox fiel einen Monat vor der Warnung  |  Eine Nachricht erreichte die SSH-Schlüssel