Gemeinsame Analysen von SentinelOne und Tenable belegen, dass Exposure-Daten und die Erkennung zur Laufzeit bei denselben Herstellersystemen zusammenlaufen, auch wenn sich die konkreten Schwachstellen ständig ändern

MOUNTAIN VIEW, Kalifornien, und COLUMBIA, Maryland – 31. August 2026 – SentinelOne® (https://www.sentinelone.com/) (NYSE: S), der führende Anbieter im Bereich der KI-gestützten Cybersicherheit, und Tenable® Holdings, Inc. (NASDAQ: TENB), das Unternehmen für Exposure-Management (https://de.tenable.com/), haben die Ergebnisse einer gemeinsamen Studie vorgelegt, die auf eine zunehmende Diskrepanz zwischen der Entdeckung und Offenlegung von Schwachstellen und deren tatsächlicher Ausnutzung in der Praxis hindeuten. Die Analyse korreliert Exposure-Daten und Remediation-Telemetrie von Tenable aus tausenden Unternehmen mit den Endpoint- und Post-Exploitation-Daten von SentinelOne. Zusammen ergeben beide Perspektiven ein priorisiertes Bild davon, wo sich Risiken konzentrieren – mit wertvollen Erkenntnissen für das Zeitalter der Frontier-KI. Die wichtigste Erkenntnis: Sowohl staatliche als auch kriminelle Bedrohungsakteure konzentrieren sich mehr auf Anbieter und anfällige Stellen in der Angriffsfläche als auf spezifische CVEs.

Bereits heute übertreffen die Angriffsgeschwindigkeiten die Kapazitäten gewöhnlicher Patch-Zyklen. Neuartige Frontier-KI-Modelle verkürzen die Identifizierung von Schwachstellen von Monaten auf wenige Stunden. Dies vergrößert nicht nur das potenzielle Risiko drastisch, sondern reduziert auch die Spanne zwischen der Offenlegung einer Lücke und der Verfügbarkeit eines funktionalen Exploits auf etwa eine Woche. Dem steht die Realität gegenüber, dass Unternehmen durchschnittlich fünf Monate benötigen, um bekannte Schwachstellen zu beheben.* Um dieses Fenster zu schließen, braucht es mehr als Tempo: Es erfordert das Wissen, welche Produktlinien am ehesten die nächste Exploit-Welle tragen werden.

Die Ergebnisse der Studie zeigen: Exposure-Daten und Laufzeiterkennung überschneiden sich zu 79 % bei denselben Edge-Device-Anbietern, während die Übereinstimmung auf Ebene einzelner Schwachstellen lediglich bei 21 % liegt. Sowohl staatlich unterstützte Akteure als auch Ransomware-Gruppen bedienen sich aus demselben Pool hochkritischer, aktiv ausgenutzter Schwachstellen. Die Angriffsflächen bleiben konstant, während die Angreifer variieren. Für die Priorisierung von Verteidigungsmaßnahmen ist genau diese Unterscheidung entscheidend – ein Muster, das Tenable als „Persistently Targeted Vendor“ bezeichnet. Dahinter steckt der Ansatz, dass ein dauerhaftes Risiko nicht von einzelnen CVEs ausgeht, sondern von einer kleinen Gruppe spezifischer Herstellersysteme.

Weitere zentrale Ergebnisse der Studie:
• Multi-Nexus-Attribution: Zwölf Schwachstellen im Datensatz weisen eine bestätigte Mehrfach-Zuordnung auf – staatliche Akteure und Ransomware-Angreifer aus fünf Bedrohungskategorien (China, Russland, Nordkorea, Iran sowie finanzmotivierte Kriminelle) nutzen unabhängig voneinander exakt dieselben Sicherheitslücken aus.
• Kritische Gefährdung bei Anbietern: Über die Hälfte (54 %) der Unternehmen mit F5-Produkten weist mindestens eine verbleibende, aktiv ausgenutzte Schwachstelle auf. Citrix-Kunden verzeichnen mit einem Median von 461 Tagen die langsamste Behebung aller untersuchten Hersteller – ein klares Beispiel dafür, wie lange spezifische Produktlinien nach Verfügbarkeit eines Patches anfällig bleiben.
• Komplexität als Risikofaktor: Die Komplexität bei der Behebung hochpriorisierter Schwachstellen führt zu einer statistisch signifikanten Verzögerung von 24 Tagen. Dies vergrößert das Zeitfenster für Angreifer und unterstreicht, dass reines Patch-Tempo ohne zeitgleiche Reduzierung der Angriffsfläche und effektiven Endpunktschutz nicht ausreicht.

„Geschwindigkeit allein reicht nicht aus. Wenn eine Schwachstelle in der Warteschlange zur Behebung landet, arbeiten Angreifer bereits an der Weiterentwicklung des Exploits“, erklärt Steve Stone, Chief Customer Officer bei SentinelOne. „Statische Signaturen folgen menschlichen Zeitplänen – die Bedrohung tut das nicht. Eine verhaltensbasierte Erkennung zur Laufzeit muss mit diesem Tempo mithalten und Angriffsmuster direkt beim Auftreten erkennen, statt erst im Nachhinein zu reagieren.“

Für Sicherheitsteams unterstreicht die Studie die Notwendigkeit, über einzelne Schwachstellen hinauszublicken und zu verstehen, welche Technologien Angreifer wiederholt ins Visier nehmen. Während die Exposure-Daten von Tenable aufzeigen, wo Unternehmen die größten Schwachstellen aufweisen und wo sich Risiken bündeln, liefern die Runtime-Bedrohungsdaten und DFIR-Analysen von SentinelOne ein präzises Bild über das tatsächliche Vorgehen der Angreifer in der Praxis. Das Zusammenspiel dieser zwei unabhängigen Perspektiven liefert Sicherheitsteams eine solidere Entscheidungsgrundlage: Behebungsmaßnahmen lassen sich fundierter priorisieren, Erkennungsmechanismen stärken und Risiken auf dauerhaft bedrohten Angriffsflächen effektiv minimieren.

„Angreifer nehmen systematisch spezifische Anbieter-Ökosysteme ins Visier, die ihnen als Einfallstor dienen können. Sie fixieren sich nicht auf einzelne Schwachstellen – und das sollten auch Sicherheitsteams nicht tun“, erklärt Vlad Korsunsky, Chief Technology Officer bei Tenable. „Unsere gemeinsame Studie bestätigt, dass Angreifer – ob groß oder klein – in den allermeisten Fällen dieselben Angriffsflächen attackieren. Dies unterstreicht die Grundprinzipien von Exposure Management: das Erkennen, Priorisieren und Beheben von Schwachstellen, die ein reales Geschäftsrisiko darstellen. Da Angreifer KI einsetzen, um Abwehrmechanismen immer schneller zu durchbrechen, werden diejenigen Unternehmen erfolgreich sein, die auf Exposure Management setzen.“

Die Studie ist die neueste Kooperation in der wachsenden Partnerschaft zwischen den führenden Anbietern für KI-natives CTEM und KI-gestützte Runtime Detection and Response. Sie baut auf der bestehenden Zusammenarbeit von Tenable und SentinelOne auf – darunter die Teilnahme von SentinelOne als Gründungsmitglied der auf der Black Hat USA 2026 angekündigten CyberAgents Exchange (https://de.tenable.com/press-releases/tenable-launches-industrys-first-open-source-ai-agent-exchange) von Tenable. Dies ist der nächste Schritt in einer Partnerschaft, die sich mit den fortlaufenden Investitionen beider Unternehmen in KI-Sicherheit weiter vertieft. Die vollständige Studie ist unter www.sentinelone.com (https://www.sentinelone.com/blog/what-two-independent-datasets-reveal-about-whos-exploiting-your-perimeter/) und https://de.tenable.com/blog/edge-infrastructure-under-siege verfügbar.

* Tenable’s Key Takeaways from the Verizon DBIR (2026) (https://de.tenable.com/blog/key-findings-from-the-verizon-dbir-2026), 19. Mai 2026