Claude Mythos und der Streit zwischen Anthropic und der U.S. Regierung um Claude Fable 5 machen aktuell eine Entwicklung deutlich, die CISOs und IT-Verantwortliche ernst nehmen sollten: Durch KI werden mehr Sicherheitslücken in Software bekannt werden als jemals zuvor. Der Wettlauf mit der Zeit, diese zu schließen wird eine der größten Herausforderungen – gar Überforderungen für IT-Teams.
Für das Patch Management bedeutet das nicht nur, dass das Zeitfenster zwischen Bekanntwerden einer Schwachstelle und möglicher Ausnutzung kleiner, sondern die schiere Menge immer weniger handhabbar wird. Wer Patches weiterhin in langen, starren Zyklen ausrollt, wird früher oder später Opfer einer Cyberattacke werden.
Das Wichtigste in Kürze
- Claude Mythos zeigt, dass KI deutlich mehr Sicherheitslücken in Software aufdecken kann – auch solche, die jahrelang unentdeckt geblieben sind.
- Für IT-Teams steigt dadurch nicht nur der Zeitdruck, sondern auch das Patch-Aufkommen: mehr Findings, mehr Updates, mehr Paketierung, mehr Nachweise.
- Das klassische Patch Management mit starren Zyklen gerät an Grenzen, wenn mehr Patches in kürzerer Zeit bewertet und ausgerollt werden müssen.
- Automatisierung, 3rd-Party-Patching und ein aktuelles Software-Inventar werden entscheidend, um mit dieser Entwicklung Schritt zu halten.
1 Was Claude Mythos für Patching und Cybersecurity generell bedeutet
Claude Mythos wird vor allem deshalb diskutiert, weil moderne KI-Modelle – sogenannte Frontier Modelle – nicht mehr nur bekannte Muster erkennen, sondern eigenständig nach bisher unbekannten Schwachstellen suchen können. Anthropic beschreibt Mythos Preview als Modell, das Zero-Day-Schwachstellen in großen Betriebssystemen und Browsern finden und ausnutzen konnte. Teilweise ging es dabei um sehr alte Bugs, darunter eine inzwischen gepatchte Schwachstelle in OpenBSD, die laut Anthropic 27 Jahre unentdeckt geblieben war.
Project Glasswing zeigt, wie groß diese Verschiebung werden kann. Anthropic berichtet, dass Partner im Rahmen des Projekts mehr als 10.000 High- oder Critical-Vulnerabilities in kritischen Softwaresystemen identifiziert haben. In Open-Source-Projekten schätzte Mythos Preview zusätzlich 23.019 Findings, davon 6.202 als high oder critical.
Entscheidend ist dabei weniger das Sprachmodell allein, sondern die agentische Arbeitsweise. Solche Systeme können Code analysieren, Hypothesen bilden, Tests ausführen, Ergebnisse bewerten und den nächsten Schritt anpassen. Das Max-Planck-Institut beschreibt diesen Ablauf als „planen, handeln, beobachten, korrigieren“.
Wie die Hersteller reagieren
Angefangen bei den großen Softwareherstellern ist eine Trendwende beim Patch-Rhythmus zu beobachten. Oracle hat am 28. Mai eine Praxis beendet, die seit 2005 Bestand hatte: Statt der traditionellen quartalsweisen Critical Patch Updates liefert der Konzern seine Sicherheitsupdates nun monatlich aus – ein Bruch mit 21 Jahren gewohnter Routine.
Adobe zieht ähnlich nach: Ab dem 14. Juli gibt es zusätzlich zum regulären Patchday einen zweiten Termin pro Monat, mit Bulletins jeweils am zweiten und vierten Dienstag.
Besonders bemerkenswert ist der Schritt von F5, das zum 15. Juli ebenfalls von einem Quartals- auf ein Monatsmodell umstellt. In der Ankündigung findet sich eine Formulierung, die aufhorchen lässt: Man wolle künftig bewusst weniger Details in den Release Notes veröffentlichen – um Angreifern keine Landkarte zu den behobenen Schwachstellen an die Hand zu geben.
„Ich würde KI also nicht als Superwaffe für Cybersecurity-Operationen bezeichnen, sondern als Beschleunigungstechnik, als Verstärker für bestehende Fähigkeiten.“
Thorsten Holz, Max-Planck-Institut für Sicherheit und Privatsphäre
Damit verstärkt sich die Herausforderung für IT- und Security-Teams exponentiell. Wenn KI deutlich mehr Schwachstellen sichtbar macht, wird die Wahrscheinlichkeit für Cyberattacken für diejenigen, die nicht handlungsfähig sind, signifikant steigen. Handlungsfähig sein heißt: Überwachen, ob Patches verfügbar sind, priorisieren, paketieren, testen, troubleshooten und der Rollout in Ringen.
Claude Mythos ist aber nicht nur ein Warnsignal für die Vervielfachung des Patch- und Softwarepaketierungsaufkommen. Es ist auch ein Warnsignal für immer kürzere Exploitzeiten durch KI Unterstützung der Kriminellen. CVE-2026-48282 zum Beispiel wurde laut Adobe innerhalb von Stunden nach Veröffentlichung aktiv angegriffen.
Die übliche Herangehensweise ("wir patchen innerhalb von 30 Tagen, das genügt für Compliance und Cyberversicherung") hat damit ausgedient. Wenn ein Exploit binnen Stunden verfügbar ist, verliert ein 30-Tage-Fenster jede Schutzwirkung und selbst die häufig empfohlenen 14 Tage sind zu lang. Für die meisten IT-Abteilungen wird das großen Druck erzeugen.
2 Wieso bisherige Patch Management Prozesse jetzt nicht mehr funktionieren
Viele Unternehmen denken bei Patch Management noch immer in festen Zyklen: monatliche Updates, definierte Wartungsfenster, einzelne Sonderfreigaben für kritische Fälle. Dieses Modell gerät jetzt aus den Fugen.
Das betrifft nicht nur Betriebssysteme. Besonders anspruchsvoll wird es bei 3rd Party Anwendungen und Softwarekomponenten, die über viele Endpoints verteilt sind, wie z.B.:
- Browser
- PDF-Reader
- Office-nahe Tools
- Collaboration-Clients
- VPN- und Remote-Access-Software
- Remote-Support-Tools
- Developer-Tools
- Runtime-Komponenten
- Management Agents
- branchenspezifische Fachanwendungen
Je mehr Schwachstellen in diesen Komponenten entdeckt werden, desto größer wird der operative Aufwand.
Gerade hier wird Softwarepaketierung und die zeitnahe Verteilung z.B. über Intune, SCCM oder baramundi zum unterschätzten Sicherheitsfaktor. Wenn Updates für Drittanbietersoftware nicht automatisiert bereitstehen, entsteht jedes Mal zusätzliche Arbeit: Paket bauen, testen, verteilen, Fehler prüfen, Rollout komplettieren. Bei bisherigen Patch-Zyklen war das mühsam. Bei dem stark steigendem Patch-Aufkommen wird es kaum noch beherrschbar.
Unsere Studie „State of Endpoint in DACH 2025/26“ zeigt, wie groß die Lücke beim 3rd-Party-Patching bereits heute ist: 58 % der befragten Organisationen setzen bislang einen automatisierten Patch-Katalog für Drittanbietersoftware ein, etwa Patch My PC oder Robopack. Aus unserer Sicht die einzige Möglichkeit, dem Patch Management jetzt Herr zu werden und zusammen mit unserer Softwarepaketierung as a Service die Komplettlösung für sämtliche Anwendungen.
3 Warum gleichzeitig das maximale Patch-Fenster schrumpft
Das Patch-Fenster beschreibt den Zeitraum zwischen der Verfügbarkeit eines Sicherheitsupdates und dem erfolgreichen Rollout auf den betroffenen Systemen. Je länger dieses Fenster offen bleibt, desto länger können Angreifer eine bekannte Schwachstelle ausnutzen.
Im Kontext KI-beschleunigter Angriffe wird dieses Fenster kritischer. Früher konnten Unternehmen bei vielen Schwachstellen mit längeren Bewertungs- und Rollout-Zeiten arbeiten. Heute steigt der Druck, kritische Schwachstellen schneller zu erkennen, zu priorisieren und zu schließen.
Besonders kritisch wird es direkt nach der Veröffentlichung eines Sicherheitsupdates. Denn ein Patch verrät oft indirekt, welche Schwachstelle geschlossen wurde. Angreifer können versuchen, die Änderung zu analysieren und daraus den ursprünglichen Fehler abzuleiten. Mit KI-Unterstützung kann dieses Patch-Reverse-Engineering schneller werden. Genau deshalb wird die Zeit zwischen Patch-Verfügbarkeit und erfolgreichem Rollout zur Sicherheitskennzahl.
Das bedeutet nicht, dass jeder Patch sofort und ohne Prüfung installieren werden sollte. Es bedeutet aber, dass ihr unterscheiden müsst:
Die zentrale Kennzahl ist dabei Time-to-Patch: Wie lange braucht ihr wirklich, bis ein relevanter Patch auf den betroffenen Systemen installiert ist?
4 Was modernes Patch Management jetzt leisten muss
Modernes Patch Management ist kein einzelnes Update und auch kein monatlich wiederkehrender Prozess. Es ist eine der wichtigsten kontinuierlichen Aufgaben der IT-Sicherheit. Es ist ein Zusammenspiel aus Aufmerksamkeit, Konsequenz, Priorisierung, Automatisierung und Nachweisbarkeit.
Konsequent, kontinuierlich, schnell
Patch Management ist kein Thema mehr für nebenbei oder ein Mal im Monat. Auch nicht zwei Mal im Monat. Es muss kontinuierlich betrieben und darf nicht vernachlässigt werden, sodass jeder Patch in maximal 14 Tagen (eigentlich reicht das schon nicht mehr!) ausgerollt werden kann. Die Automatisierung spielt damit eine große Rolle, darf aber keine falsche Sicherheit suggerieren für Software, die sich nicht automatisieren lässt. Das dabei an, überhaupt mitzubekommen, dass der Hersteller einen Patch veröffentlicht hat. Dies ist nur mit dedizierten Ressourcen oder der Auslagerung an einen spezialisierten Dienstleister zu leisten.
Ganzheitlich
Der Ausdruck „Patch Management“ bezieht sich häufig lediglich auf das Patchen von Windows und Microsoft Applikationen, geprägt durch den berühmten Patch-Tuesday. Darüber hinaus werden – gerade von Tools zur Patch-Automatisierung – häufig nur weit verbreitete Standard-Applikationen wie ein Adobe Reader mit einbezogen. Dies greift viel zu kurz. Patch Management muss sämtliche in der Organisationeingesetzten Betriebssysteme, Treiber und Applikationen umfassen.
Automatisiert
Erwähnte Tools zur Patch Automatisierung, wie Patch My PC, Robopack oder Managed Software von baramundi sind allerdings unerlässlich! Nur darf man nicht die Applikationen vernachlässigen, die nicht im Katalog sind. Außerdem bedarf der Rollout menschlicher Überwachung und Troubleshooting.
Allein der Fakt, dass der durchschnittliche Patch My PC Kunde ca. 5.000 Stunden Arbeitszeit pro Jahr einspart, zeigt, dass es ohne 3rd Party Patch Kataloge schwer wird die Herausforderung zu lösen.
Risikobasiert priorisiert
Nicht jede Schwachstelle ist gleich dringend. CVSS-Scores helfen, reichen allein aber nicht aus. Entscheidend ist, ob eine Schwachstelle in eurer Umgebung tatsächlich kritisch ist.
Wichtige Faktoren sind:
- aktive Ausnutzung,
- verfügbare Exploits,
- Internetexposition,
- Anzahl betroffener Systeme,
- Rechtekontext,
- Business-Kritikalität,
- vorhandene kompensierende Maßnahmen.
So verhindert ihr, dass Teams wertvolle Zeit mit weniger relevanten Updates verlieren, während wirklich kritische Lücken offen bleiben.
Getestet und kontrolliert
Schneller patchen heißt nicht unkontrolliert patchen. Es braucht klare Rollout-Ringe, und Testgruppen. Am Ende sollte die Gewissheit stehen, dass ein Patch auch tatsächlich überall angewandt wird. In dieser Phase braucht auch Automatisierung menschliche Überwachung. Kritische Updates müssen beschleunigt werden können, ohne dass der gesamte Betrieb unnötig gefährdet wird.
Transparent
Patches können nur zuverlässig ausgerollt werden, wenn klar ist, welche Systeme betroffen sind. Deshalb braucht es einen aktuellen Überblick über Geräte, Betriebssysteme, Anwendungen, Versionen und Exposition.
Ohne diese Transparenz entsteht ein doppeltes Problem: Es ist nicht sicher nachvollziehbar, welche Systeme betroffen sind, und es lässt sich nicht belastbar nachweisen, dass ein Patch vollständig ausgerollt wurde.
Auch hier sind Tools, wie Patch My PC Advanced Insights und eido in Kombination mit Vulnerability Scannern Gold wert.
Was IT- und Security-Teams jetzt konkret prüfen sollten
Statt auf einzelne KI-Modelle zu reagieren, solltet ihr euren Patch-Prozess gegen KI-beschleunigte Angriffsszenarien testen.
Prüft vor allem diese Fragen:
- Wie schnell patcht ihr kritische Schwachstellen wirklich?
- Welche Systeme und Anwendungen sind nicht vollständig inventarisiert?
- Welche 3rd-Party-Anwendungen fehlen im Patch-Prozess?
- Gibt es eigene SLAs für internetexponierte Systeme?
- Werden fehlgeschlagene Installationen konsequent nachverfolgt?
- Gibt es klare Verantwortlichkeiten zwischen IT, Security und Fachbereichen?
- Werden Ausnahmen dokumentiert und regelmäßig überprüft?
- Gibt es Reporting für Management, Audit oder Cyberversicherung?
5 Fazit: Patch Management wird zum Skalierungsthema
Claude Mythos ist kein isoliertes Problem, sondern ein Symptom für eine größere Entwicklung: KI macht mehr Schwachstellen sichtbar und erhöht damit den Druck auf Hersteller, Sicherheitsupdates schneller bereitzustellen. Gleichzeitig können Angreifer dieselben Technologien nutzen, um bekannte Lücken schneller zu analysieren und auszunutzen.
Für Unternehmen entsteht dadurch doppelter Handlungsdruck: Es müssen mehr Patches in kürzerer Zeit bewertet, paketiert, ausgerollt und nachgewiesen werden. Die Antwort darauf ist nicht Panik, sondern ein Patch Management, das skalierbar, risikobasiert und stärker automatisiert funktioniert.
Die wichtigsten Grundlagen bleiben gleich: ein sauberes Inventar, klare Priorisierung, zuverlässiges OS- und 3rd-Party-Patching, Monitoring und eindeutige Verantwortlichkeiten. Entscheidend ist, dass diese Grundlagen heute schneller, messbarer und mit deutlich weniger manueller Arbeit funktionieren müssen.
Wenn euer Patch Management mit steigender Patch-Menge und kürzeren Reaktionszeiten Schritt halten soll, ist z.B. Patch Management as a Service von SOFTTAILOR der passende nächste Schritt. Die Kombination unserer Softwarepaketierung mit Patch My PC oder Robopack plus die Konsequenz eines Teams, dass sich nur auf Patch Management fokussiert, lassen Euch nachts ruhig schlafen.
Dorian beschäftigt sich seit 2011 mit Unternehmens- und IT-Strategie. Aufgrund der Endpoint Security Defizite vieler Unternehmen und der Informationsüberflutung hat er die Endpoint Strategie entwickelt. Dorian ist Mitgründer des Expertenzirkels "Endpoint Management" im IAMCP e.V.
Jahre Erfarung
Verwaltete Endgeräte
