Jahrelange Überlastung im Schwachstellen- und Patch-Management

Das ist die offizielle Lageeinschätzung der österreichischen Finanzmarktaufsicht. Vorgestern haben FMA und OeNB in ihrem DORA-Dialog über die aktuelle Sicherheitslage und KI-basierte Schwachstellensuche informiert.

Das ist die offizielle Lageeinschätzung der österreichischen Finanzmarktaufsicht.

Vorgestern haben FMA und OeNB in ihrem DORA-Dialog über die aktuelle Sicherheitslage und KI-basierte Schwachstellensuche informiert. Den offiziellen Foliensatz findet man auf der FMA-Website und ich habe ihn mir in meiner DORA-Werkstatt natürlich angeschaut.

Eine Folie ist mir dabei sofort ins Auge gesprungen: das Überlastungsszenario im Schwachstellen- und Patch-Management für die nächsten Monate und Jahre.

Es zeigt:

1. In den kommenden Monaten wird die Zahl neu bekanntwerdender Sicherheitslücken nochmals deutlich ansteigen — weil die neuen KI-Modelle sie schneller finden, als Menschen es je zuvor konnten.
2. Die Kapazität zur Entwicklung und Ausbringung von Security-Patches ist diesem Aufkommen schon heute nicht gewachsen — eine massive Überlastung der Prozesse und der dazugehörigen IT-Fachexperten ist zu erwarten.
3. Die Belastung steigt so lange, bis Lücken schneller geschlossen werden können, als KI sie findet. Erst wenn die Bestandssoftware flächendeckend „KI-fest“ ist, sinkt das Beanspruchungsniveau wieder — vielleicht sogar unter das heutige.

Die FMA selbst sagt: Dieser Prozess könnte Jahre dauern, weil sämtliche Bestandssoftware überarbeitet werden muss.

Aus meiner Sicht ist das eine ziemlich beunruhigende Botschaft — und doch kommt sie nicht unerwartet, denn seit Wochen pfeifen die Spatzen genau das von den Dächern.

❗ „Breaches sind zu erwarten“ — sagt selbst die Aufsicht.

Die Frage ist also nicht mehr, ob Prozesse und IT-Personal unter Druck geraten — sondern ob sie dafür aufgestellt und resilient genug sind.

Was die FMA empfiehlt — kurzfristig:
▪ Angriffsflächen identifizieren und priorisieren
▪ Schwachstellen- und Patch-Management beschleunigen
▪ Überwachung, Erkennung und aktive Abwehr verbessern
▪ Governance und Ressourcen für Cybersicherheit stärken
▪ Lieferkette absichern

Und langfristig:
▪ Mehrschichtiger Schutz statt einer einzigen Verteidigungslinie
▪ Modernisierung der Infrastruktur
▪ Reaktions- und Wiederherstellungsfähigkeit verbessern
▪ Informationsaustausch fördern (Art. 45 DORA)
▪ Vorbereitung durch Threat-Led Penetration Tests

Und zwar nicht erst, wenn Claude Mythos der Welt zugänglich gemacht wird — sondern hier und heute.

Auf einer Folie steht es wörtlich:

„Patching, Patching, Patching.“

Das ist die Ansage der Stunde.

Hand aufs Herz: Läuft euer Patch-Management heute schon am Limit?