Wie 628 Penetrationstests von Citadelo aufgedeckt haben, wo Ihre kritischen Risiken tatsächlich liegen

Unser neuester Ethical Hacking Report liefert drei beeindruckende Zahlen:

• 628 getestete Projekte,
• 3.293 identifizierte Schwachstellen und
• mehr als 50 % der Projekte mit mindestens einer schwerwiegenden oder kritischen Schwachstelle.

Für sich genommen sagen diese Zahlen einem CISO jedoch nicht das Wichtigste: wohin das für Sicherheit vorgesehene Budget fließen sollte. Die Daten stammen zwar aus dem Jahr 2025, doch die darin erkennbaren Muster sind auch 2026 unverändert relevant. Genau deshalb müssen Unternehmen darauf vorbereitet sein.

Deshalb haben wir genauer hingesehen: Wir haben alle 3.293 Findings nach der Art der getesteten Umgebung aufgeschlüsselt, untersucht, welche Schwachstellen in den einzelnen Systemen am häufigsten auftreten, und sie mit den weltweiten Entwicklungen des Jahres 2025 verglichen – von aktualisierten OWASP-Listen bis hin zu CVEs, die von Angreifern tatsächlich ausgenutzt wurden.

Wo sich unsere Erkenntnisse aus Penetrationstests mit realen Angriffen überschneiden, entsteht ein recht klares Bild davon, welche Bereiche priorisiert werden sollten.

Über nahezu alle Arten von Umgebungen hinweg zeigte sich dabei ein wiederkehrendes Muster: Die Schwere von Schwachstellen hängt nicht von ihrer Anzahl ab. Die kritischsten Risiken treten gerade dort auf, wo Unternehmen davon ausgehen, bereits ausreichend geschützt zu sein.

Der Trend, der das Jahr 2025 geprägt hat und sich 2026 fortsetzt: Kritische Risiken verlagern sich ins Innere von Unternehmen

Eine höhere Anzahl an Findings bedeutet nicht automatisch eine schlechtere Sicherheitslage. Die Zahlen müssen daher sorgfältig interpretiert werden. Citadelo führte 2025 insgesamt 628 Projekte durch, 34 % mehr als im Vorjahr. Dadurch stieg naturgemäß auch die Gesamtzahl der Schwachstellen – vereinfacht gesagt haben wir mehr Systeme getestet.

Die eigentliche Geschichte liegt jedoch nicht im Volumen, sondern in der Konzentration. Die schwerwiegendsten Findings häuften sich zunehmend in bestimmten Bereichen, vor allem innerhalb von Unternehmen. Die Zahl kritischer Schwachstellen stieg im Jahresvergleich um 42 % und damit schneller als die Anzahl der Tests selbst. Bei Infrastrukturprojekten betrug der Anstieg sogar 185 %. Am stärksten nahmen die Risiken in internen Netzwerken und Systemen zu, die Unternehmen allein deshalb für weniger gefährdet halten, weil sie nicht direkt aus dem Internet erreichbar sind.

Dasselbe Muster zeigt sich auch in den Daten zu realen Sicherheitsvorfällen. Laut dem Verizon 2025 Data Breach Investigations Report machte die Ausnutzung von Schwachstellen etwa ein Fünftel aller Vorfälle aus. Dies entspricht einem Anstieg von 34 % gegenüber dem Vorjahr. Gleichzeitig stieg der Anteil der Angriffe über Netzwerkgeräte und VPNs besonders stark von 3 % auf 22 %. Der im Mai 2026 veröffentlichte Verizon DBIR 2026 bestätigte diese Entwicklung vollständig: Erstmals in der Geschichte des Reports wurde die Ausnutzung von Schwachstellen zum häufigsten initialen Zugangsvektor und überholte sogar kompromittierte Zugangsdaten.

Was wir bei internen Tests als falsches Sicherheitsgefühl bezeichnen, wird in den Daten zu Sicherheitsvorfällen somit zu einem klar messbaren Faktor. Für CISOs ergibt sich daraus eine unangenehme, aber eindeutige Schlussfolgerung: Der Sicherheitsstand der aus dem Internet erreichbaren Systeme sagt nur sehr wenig über das tatsächliche Risikoniveau eines Unternehmens aus. Die folgenden Kapitel untersuchen deshalb die einzelnen Arten von Umgebungen und zeigen, wo diese Diskrepanz am größten ist.

Eigene Forschung von Citadelo: Neue von uns entdeckte CVE-Schwachstellen

Nicht jedes Finding ist lediglich die erneute Entdeckung eines bereits bekannten Problems. Im Laufe des Jahres 2025 führten uns unsere Penetrationstests zu vier neuen CVE-Schwachstellen in weitverbreiteten Produkten.

IBM FlashSystems

• CVE-2025-0159, Remote Authentication Bypass in der RPCAdapter-Schnittstelle.
• CVE-2025-0160, Ausführung beliebigen Java-Codes über denselben Dienst.

Unblu

• CVE-2025-3518, Hochladen von Dateien, obwohl die Upload-Funktion vom Administrator deaktiviert wurde.
• CVE-2025-3519, Ersetzen einer Datei in einer Konversation allein mithilfe ihrer Kennung (Upload ID).

Diese Fälle verdeutlichen den Unterschied zwischen dem automatisierten Scannen nach bekannten Fehlern und einem Penetrationstest, bei dem ein Spezialist wie ein Angreifer denkt. Scanner finden die Probleme von gestern; Penetrationstests decken die von morgen auf.

Was diese Erkenntnisse für Ihre Prioritäten im Jahr 2026 bedeuten

Bevor wir zu konkreten Empfehlungen kommen, fassen wir das Gesamtbild zusammen.

Über die gesamte Übersicht hinweg wiederholt sich in unseren Daten ebenso wie bei realen Angriffen aus dem Jahr 2025 dieselbe Schlussfolgerung: Wo Unternehmen Tests unterschätzen, häufen sich gleichzeitig die schwerwiegendsten Schwachstellen. Daraus ergeben sich vier Prioritäten.

1. Testen Sie nach innen, nicht nur nach außen

Den höchsten Anteil kritischer Schwachstellen fanden wir in der internen Infrastruktur und in der Cloud. Netzwerkgeräte gehörten zu den am häufigsten ausgenutzten Zielen. Ob sich ein initialer Zugang zur vollständigen Übernahme eines Unternehmens entwickelt, wird vor allem durch das Identitätsmanagement bestimmt. Richten Sie daher einen größeren Teil Ihrer Tests auf die Bereiche aus, in denen die größten Risiken entstehen – nicht auf jene, die sich am einfachsten testen lassen.

2. Betrachten Sie Menschen und AI als vollwertige Angriffsflächen

Eine Erfolgsquote von 40 % bei Social Engineering, Betrugsfälle mit Deepfake-Technologien und die ersten Zero-Click-Angriffe auf AI sind längst keine Randerscheinungen mehr. Beide Bereiche belohnen systematische Investitionen und bestrafen Vernachlässigung ebenso schnell.

3. Wählen Sie die Testart entsprechend dem Reifegrad Ihres Unternehmens

Ein Penetrationstest über einen Zeitraum von ein bis zwei Wochen deckt technische Schwachstellen auf. Red Teaming, das vier bis acht Wochen dauert, überprüft, wie Menschen und Erkennungsmechanismen auf einen koordinierten Angriff reagieren. Threat-led Penetration Testing (TLPT) wird in regulierten Branchen im Rahmen von Frameworks wie TIBER-EU oder CBEST zunehmend verpflichtend und überprüft die Widerstandsfähigkeit gegenüber branchenspezifischen Bedrohungen.

4. Entscheiden Sie, wer Ihre Schwachstellen zuerst findet

Ein Angreifer muss nur eine Schwachstelle finden. Sie müssen sie lediglich vor ihm entdecken.

Unsere Ergebnisse und reale Sicherheitsvorfälle sprechen eine eindeutige Sprache: Systematische Tests sind keine freiwillige Aktivität mehr. Es bleibt nur eine Frage: Entdecken Sie Ihre Schwachstellen selbst oder tut es ein Angreifer?

Wenn Ihr Budget nicht wächst

In den meisten Unternehmen hat das Sicherheitsbudget nicht gerade oberste Priorität. Daher geht es weniger um die Höhe der Investitionen als um ihre Reihenfolge. Auch bei einem unveränderten Budget helfen drei einfache Regeln.

1. Beheben Sie zuerst Schwachstellen, die sowohl erreichbar als auch aktiv ausgenutzt werden

Eine kritische Schwachstelle auf einem aus dem Internet erreichbaren Gerät, die bereits im CISA-KEV-Katalog aufgeführt ist, hat Vorrang vor einem Fehler mit einem höheren CVSS-Score, der nicht aktiv ausgenutzt wird. Wichtiger als der Score ist, ob sich eine Schwachstelle tatsächlich ausnutzen lässt und wie groß ihre möglichen Auswirkungen sind.

2. Investieren Sie zuerst in Hardening und erst danach in weitere Tools

Die Maßnahmen, die 2025 den größten Nutzen brachten, gehörten zugleich zu den kostengünstigsten: Netzwerksegmentierung, Active Directory Tiering, SMB und LDAP Signing, regelmäßige Rotation von Cloud-Schlüsseln sowie eine unabhängige Identitätsprüfung bei der Kommunikation mit dem Helpdesk. Dabei geht es nicht um neue Produkte, sondern um eine korrekte Konfiguration und Disziplin. Genau diese Gewohnheiten unterbrechen am häufigsten die Angriffskette komplexerer Attacken.

3. Richten Sie externe Tests auf Ihre blinden Flecken aus

Wenn Sie heute hauptsächlich öffentlich zugängliche Webanwendungen testen, sinkt die Wahrscheinlichkeit, eine weitere kritische Schwachstelle zu finden. Die Priorität sollte daher darin liegen, Tests auf weitere Bereiche, die interne Infrastruktur und das Identitätsmanagement auszuweiten, anstatt eine Umgebung erneut zu testen, die bereits umfassend überwacht wird.

So kommunizieren Sie diese Erkenntnisse gegenüber der Unternehmensleitung

In regulierten Branchen geht es nicht nur um technische Risiken, sondern auch um den Nachweis, dass regulatorische Anforderungen erfüllt werden. Die genauen gesetzlichen Bestimmungen sollten stets von Ihrer Compliance-Abteilung geprüft werden, doch die grundlegenden Zusammenhänge sind klar.

Vorstände kaufen keine CVE-Identifikatoren. Sie kaufen Geschäftskontinuität, eine geringere rechtliche Haftung und den Schutz der Reputation. Sprechen Sie deshalb in der Sprache des Geschäfts und nicht in technischen Formulierungen.

Die zentrale Botschaft für die Unternehmensleitung ist einfach: Die Maßnahmen zur Behebung dieser Risiken sind genau jene, deren kontinuierliche und nicht nur einmal jährliche Umsetzung heute auch von Regulierungsbehörden erwartet wird.

Checkliste der Prioritäten für Q3

Fünf Aufgaben, mit denen Sie noch heute beginnen können:

• Überprüfen Sie die Segmentierung von Active Directory: Sind Arbeitsstationen von Domänencontrollern getrennt?
• Prüfen Sie Edge-Geräte auf aktuell ausgenutzte CVEs (Ivanti, Citrix, Cisco).
• Führen Sie eine mehrstufige Identitätsprüfung bei der Zurücksetzung von Konten über den Helpdesk ein.
• Beheben Sie die drei kritischsten Schwachstellen aus Ihrem letzten Penetrationstest oder Sicherheitsscan.
• Überprüfen Sie alle API-Integrationen und Zugriffe durch Dritte.

Die vollständigen Daten, auf denen diese Analyse beruht, finden Sie im Ethical Hacking Report 2025 von Citadelo. Wenn Sie wissen möchten, wo sich die Schwachstellen in Ihrem Unternehmen befinden, kontaktieren Sie uns und vereinbaren Sie die nächsten Schritte mit uns.