Über 80 % der bestätigt ausgenutzten Schwachstellen des laufenden Jahrgangs 2026 wurden am Tag der Offenlegung oder davor angegriffen — im Mittel bleiben rund zehn Stunden zwischen Offenlegung und Angriff. Wer erst auf CVE-Meldungen und Patchzyklen reagiert, verteidigt ein Zeitfenster, das es nicht mehr gibt. VamiSec betreibt Zero-Day-Monitoring als Managed Service — KI-gestützt, kontinuierlich und mit denselben Methoden, die Angreifer heute einsetzen.
Von außen mit VamiRedteam · codenah mit VamiAppSec · rund um die Uhr betreut durch VamiSec
Anteil der bestätigt ausgenutzten Schwachstellen, die am Tag der Offenlegung oder davor angegriffen wurden, 2018 bis 2026. Eigene Darstellung, Daten der Branchen-Initiative zerodayclock.com ↗
Die Zero Day Clock — eine Branchen-Initiative, die von über 120 Fachleuten aus Security-Forschung und Industrie unterstützt wird — misst den Abstand zwischen der Veröffentlichung einer Schwachstelle und ihrer ersten bestätigten Ausnutzung. Über neun Jahrgänge ist das Ergebnis eindeutig: aus Jahren wurden Monate, aus Monaten Tage — und im laufenden Jahrgang 2026 sind es Stunden.
10 % getrimmtes Mittel der Zeitspanne zwischen CVE-Veröffentlichung und erster bestätigter Ausnutzung, nach CVE-Jahrgang, logarithmische Skala. Der laufende Jahrgang 2026 liegt bei rund 10 Stunden — praktisch bleibt damit weniger als ein Arbeitstag, um zu reagieren.
Quellen: Zero Day Clock (bestätigt ausgenutzte CVEs aus CISA KEV, VulnCheck KEV und VulnCheck XDB, Offenlegungsdatum aus dem NVD; abgerufen am 29. Juli 2026) und BSI-Bericht zur Lage der IT-Sicherheit in Deutschland 2025. Der Jahrgang 2026 ist ein laufendes Teiljahr mit 97 bestätigten Fällen und deshalb gesondert gekennzeichnet.
Was bis vor kurzem Spezialistenarbeit über Monate war, erledigen KI-Systeme heute in Stunden — nachweisbar, öffentlich dokumentiert und auf beiden Seiten der Front. Das ist keine Prognose, sondern belegte Praxis.
Anthropic hat mit rund 50 Partnern über zehntausend Schwachstellen hoher oder kritischer Schwere in weit verbreiteter Software gefunden. Bei der Nachprüfung von 1.752 Funden durch unabhängige Security-Firmen erwiesen sich 90,6 % als echte Treffer — die belastbarste öffentliche Qualitätszahl für KI-gestützte Schwachstellensuche.
Anthropic, Project Glasswing (2026)Ein Cyber-Assessment desselben Programms dokumentiert, wie ein KI-Modell eine 17 Jahre alte Remote-Code-Execution in FreeBSD selbstständig fand und ausnutzte, 181 funktionierende Exploits gegen Firefox entwickelte und einen 27 Jahre alten OpenBSD-Fehler aufdeckte — bei Kosten im vier- bis fünfstelligen Bereich.
Anthropic, Cyber-Assessment Mythos Preview (April 2026)Googles Agent „Big Sleep" fand 2024 als erstes KI-System eine echte, bis dahin unbekannte Schwachstelle in freier Wildbahn (SQLite). 2025 folgten 20 weitere Funde in verbreiteter Open-Source-Software — und mit CVE-2025-6965 ein Fall, in dem eine drohende Ausnutzung nachweislich vorher abgeschnitten wurde.
Google Project Zero / DeepMindDer autonome Pentest-Agent XBOW erreichte im Juni 2025 als erster nicht-menschlicher Teilnehmer Platz 1 der US-Rangliste von HackerOne — nach rund 90 Tagen und über tausend eingereichten Meldungen.
HackerOne US-Leaderboard, Juni 2025Im Finale der DARPA AI Cyber Challenge fanden sieben KI-Systeme 54 von 70 eingebauten Schwachstellen und patchten sie im Schnitt in 45 Minuten für 152 US-Dollar pro Fall — zusätzlich entdeckten sie 18 zuvor unbekannte reale Schwachstellen.
DARPA AIxCC, DEF CON 33 (August 2025)Offene Modelle mit veröffentlichten Gewichten lassen sich nicht zurückrufen. Die britische und die US-amerikanische KI-Sicherheitsbehörde stellten bei einem im Juli 2026 offen veröffentlichten Spitzenmodell fest, dass seine Schutzmechanismen Versuche zur Exploit-Entwicklung und zu offensiven Operationen nicht verhinderten.
UK AISI & US CAISI, Juli 2026Anthropic rechnet damit, dass innerhalb von sechs bis zwölf Monaten weitere Anbieter Modelle dieser Leistungsklasse besitzen — und sie möglicherweise ohne Schutzmechanismen veröffentlichen. Verteidiger müssen sich anpassen, um Schritt zu halten.
Anthropic, „Expanding Project Glasswing" (Juni 2026)
Klassisches Schwachstellenmanagement ist unverzichtbar — aber es ist per Konstruktion reaktiv: Es kann erst greifen, wenn eine Schwachstelle veröffentlicht, bewertet und ein Patch verfügbar ist. Genau in dieser Kette liegt heute das Risiko.
Zero-Day-Monitoring ersetzt Ihr Schwachstellenmanagement nicht. Es schließt die Lücke zwischen „noch nicht veröffentlicht" und „bereits ausgenutzt" — und liefert die Nachweise, mit denen Sie priorisieren können.
VamiSec betreibt Zero-Day-Monitoring mit zwei eigenen, KI-gestützten Plattformen — die eine prüft aus der Angreiferperspektive von außen, die andere mit vollem Zugriff auf Code und Build-Kette. Zusammen decken sie ab, was ein Angreifer sieht, und das, was er noch nicht sieht.
KI-native, agentische Pentesting-Plattform. Sechs spezialisierte Agents kartieren, modellieren und exploitieren autonom — innerhalb eines signierten Authorization Cage.
LLM-gestützte Application-Security-Plattform. Sechs Scanner in einer Pipeline, jedes Finding angereichert, dedupliziert und mit umsetzbarem Fix — dort, wo Schwachstellen entstehen.
Ein Werkzeug allein macht niemanden sicherer. Als MSSP übernehmen wir den Betrieb, die Bewertung und die Übersetzung in Maßnahmen — eingebettet in Ihre Prozesse und Ihre Nachweispflichten.
Wir betreiben beide Plattformen für Sie: Scope-Definition, Autorisierung, Tuning und kontinuierlicher Lauf — ohne dass Sie ein eigenes Offensive-Team aufbauen müssen.
Jeder relevante Fund wird von unseren Analysten geprüft und mit reproduzierbarem Nachweis belegt. Sie erhalten bestätigte Angriffspfade mit Handlungsempfehlung, keine Trefferlisten.
Ergänzend zu den Plattformen bringen wir klassische Prüfverfahren ein — dynamische Analyse, Fuzzing, Threat Modeling und manuelle Penetrationstests durch zertifizierte Tester.
Anbindung an Ihr SIEM/SOAR, Ticketing und Ihre CI/CD-Pipelines. Findings landen dort, wo Ihr Team ohnehin arbeitet — inklusive Anbindung an VamiGRC für auditfähige Nachweise.
Wird eine Schwachstelle aktiv ausgenutzt, zählt die Uhr. Wir liefern die technische Grundlage für Ihre Meldungen nach CRA, NIS2/BSIG und DSGVO — mit Zeitstempeln und belastbarer Dokumentation.
Technischer Report mit Reproduktionsschritten für Ihr Team, verdichtete Management-Summary mit Risiko- und Trendentwicklung für die Geschäftsleitung.
Kein Gesetz schreibt „Zero-Day-Monitoring" wörtlich vor. Aber mehrere Regelwerke verlangen wirksame Sicherheitstests, funktionierende Erkennung und die Meldung aktiv ausgenutzter Schwachstellen unter engen Fristen. Genau darauf zahlt dieser Service ein.
Der Cyber Resilience Act verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen ihrer Produkte zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme. Voraussetzung dafür ist, dass die Ausnutzung überhaupt bemerkt wird. Anhang I Teil II verlangt zudem wirksame und regelmäßige Sicherheitstests.
§ 30 Abs. 2 BSIG fordert unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen und die Bewertung der Wirksamkeit der Maßnahmen; für kritische Anlagen verlangt § 31 Abs. 2 zusätzlich Systeme zur Angriffserkennung. Meldefristen nach § 32: 24 Stunden, 72 Stunden, Abschlussbericht einen Monat nach der 72-Stunden-Meldung.
Für Finanzunternehmen verlangt Art. 10 Mechanismen, um anomale Aktivitäten umgehend zu erkennen. Art. 25 nennt im Testprogramm ausdrücklich Schwachstellenbewertungen und -scans, Quellcode-Reviews und Penetrationstests; für identifizierte Unternehmen kommt bedrohungsorientiertes Testen nach Art. 26 hinzu.
Kontinuierliches Zero-Day-Monitoring lässt sich direkt auf A.5.7 (Threat Intelligence), A.8.8 (Management technischer Schwachstellen) und A.8.16 (Überwachungsaktivitäten) abbilden — mit Berichten, die als Nachweis im Audit tragen.
Hinweis: Zero-Day-Monitoring ist eine unterstützende Maßnahme. Welche Maßnahmen in Ihrem Fall angemessen und verhältnismäßig sind, ergibt sich aus Ihrer Risikoanalyse — genau dabei unterstützen wir Sie. Diese Seite ist keine Rechtsberatung.
In einem unverbindlichen Erstgespräch definieren wir den Scope, klären die Autorisierung und zeigen, wie kontinuierliches Zero-Day-Monitoring bei Ihnen konkret aussieht.
