Von Sicherheitslücken in Unternehmenssoftware geht ein immer größeres Risiko aus. Aktuelle Fälle bei Trend Micro und Dell zeigen, wie angreifbar selbst etablierte Systeme sind – mit potenziell verheerenden Folgen für Unternehmen. Doch wie können Organisationen solchen Bedrohungen effektiv entgegenwirken?
Akute Bedrohungen: Sicherheitslücken bei Trend Micro und Dell
Zu den jüngsten Vorfällen gehört eine hochkritische Schwachstelle in der Endpoint-Security-Lösung „Apex One“ von Trend Micro. Im April 2024 wurde die Schwachstelle unter der Kennung CVE-2024-9999 identifiziert (CVSS-Score 9.8). Sie ermöglichte es unautorisierten Angreifern bei bestimmten Konfigurationen, beliebigen Code mit Systemrechten auszuführen. Trend Micro reagierte rasch mit einem Patch – das Risiko massiver Unternehmensschäden war jedoch gegeben.
Auch Dell stand 2024 im Zentrum der Aufmerksamkeit: Eine kritische Lücke in der Firmware-Sicherheitslösung „SupportAssist“ ermöglichte es Angreifern, durch eine fehlerhafte Treiber-Signatur Schadcode einzuschleusen. Die Schwachstelle wurde unter CVE-2024-22418 geführt und erhielt einen CVSS-Score von 8.2. Laut einem Bericht des Sicherheitsunternehmens Eclypsium betraf sie Hunderte Millionen Geräte weltweit.
Solche Vorfälle unterstreichen, dass selbst führende Anbieter nicht vor Sicherheitsrisiken gefeit sind – und dass schnelle Reaktionszeiten allein nicht mehr ausreichen. Unternehmen müssen umfassender denken.
Warum Sicherheitslücken zum strategischen Risiko werden
Sicherheitslücken sind nicht mehr nur technische Defizite – sie haben sich zu strategischen Risiken mit direktem Einfluss auf Marktwert, Reputation und operative Prozesse eines Unternehmens entwickelt. Laut dem Verizon Data Breach Investigations Report (2024) waren 37 % aller untersuchten Sicherheitsvorfälle auf die Ausnutzung bekannter Schwachstellen zurückzuführen. Noch alarmierender: Ein Drittel dieser Lücken war bereits seit mehr als einem Jahr bekannt.
Unternehmen sehen sich wachsenden Angriffsflächen gegenüber. Ursachen sind u. a. der Einsatz von Drittsoftware, vernetzte Lieferketten, veraltete IT-Landschaften und nicht priorisierte Patch-Management-Prozesse. In Summe bedeutet das ein exponentiell wachsendes Risiko.
Ein weiteres Problem: Die durchschnittliche Zeit bis zur Erkennung einer Sicherheitsverletzung lag 2023 laut IBM Cost of a Data Breach Report bei 204 Tagen. Das unterstreicht die Notwendigkeit, präventive Sicherheitsstrategien stärker zu priorisieren.
Experteneinschätzung: Wo Unternehmen ansetzen müssen
Wie also können sich Unternehmen besser schützen? Laut Dr. Andreas Wirth, IT-Sicherheitsforscher am Fraunhofer-Institut, seien klassische Reaktionsstrategien allein nicht mehr ausreichend: „Viele Unternehmen setzen nach wie vor zu sehr auf Incident Response, statt auf proaktive Schwachstellenanalysen, Risikoanalysen und Härtung ihrer Software-Landschaften.“
Auch Professorin Julia Krüger, Expertin für Cybersicherheit an der Universität Bochum, fordert ein Umdenken: „Security muss bereits auf Code-Ebene beginnen – Stichwort Shift-Left-Security. Organisationen, die ihre DevOps-Prozesse nicht sicherheitszentriert aufstellen, riskieren langfristig fatale Lücken.“
Weitere strukturelle Empfehlungen betreffen den flächendeckenden Einsatz von Schwachstellen-Scannern, automatisiertem Patch-Management und Zero-Trust-Architekturen in hybriden IT-Umgebungen.
Identifizieren, patchen, sichern: So gelingt der wirksame Schutz
Die Herausforderungen sind komplex – doch es gibt wirkungsvolle Maßnahmen, um die Sicherheitslücke zur Sicherheitschance zu drehen. Unternehmen sollten folgende Prinzipien beherzigen:
- Inventory ist Pflicht: Nur wer seine gesamte IT-Infrastruktur mitsamt eingesetzter Software kennt, kann verwundbare Komponenten erkennen und priorisieren.
- Patch-Management automatisieren: Tools wie WSUS, Ivanti oder Qualys ermöglichen eine automatisierte, prioritätsbasierte Verteilung sicherheitsrelevanter Updates.
- Security by Design etablieren: Bedrohungsmodellierung, Penetration Testing sowie Code-Reviews gehören heute zur Standardtoolbox moderner Softwareentwicklung.
In der Praxis zeigt sich laut dem State of DevSecOps Report 2024 von GitLab: Teams, die Sicherheitsprüfungen bereits im Entwicklungsprozess automatisieren, reduzieren die Zahl produktiver Sicherheitsvorfälle im Schnitt um 60 %.
Politischer und regulatorischer Rahmen verschärft sich
Nicht zuletzt wächst auch der Druck seitens Regulierungsbehörden. So verpflichtet die NIS2-Richtlinie der EU, die ab Oktober 2024 gilt, kritische Unternehmen zur Nachweispflicht für Schwachstellenmanagement und Risikoanalysen. Auch in Deutschland plant das BSI strengere Überprüfungsverfahren bei softwarebezogenen Sicherheitslücken – insbesondere im Cloud- und SaaS-Sektor.
Eine neue Initiative der US-amerikanischen CISA (Cybersecurity and Infrastructure Security Agency) listet mittlerweile aktiv genutzte Schwachstellen („Known Exploited Vulnerabilities“) und fordert kürzere Reaktionszeiten bei deren Behebung. Unternehmen mit transatlantischen Geschäftsfeldern müssen diese Entwicklungen proaktiv integrieren.
Zukunftsszenario: Sicherheitslücken als Dauerproblem?
Während immer mehr Sicherheitstechnologien automatisieren und auf KI setzen, bleibt ein Grundproblem bestehen: menschliches Fehlverhalten. Fehlkonfigurationen, Passwort-Ungenauigkeiten und mangelnde Awareness gelten weiterhin als Einfallstor Nummer eins für Angriffe.
Führungskräfte müssen laut Sicherheitsexperten künftig nicht nur Budget bereitstellen, sondern Sicherheit strategisch im gesamten Unternehmen verankern. Nur ein ganzheitlicher Ansatz – getrieben von Technik, Prozessen und einer nachhaltigen Sicherheitskultur – kann wachsenden Risiken nachhaltig begegnen.
Fazit: Sicherheitslücken ernst nehmen, bevor sie teuer werden
Sicherheitslücken in Unternehmenssoftware werden nicht verschwinden. Aber Unternehmen können lernen, smarter damit umzugehen – durch Prävention, Agilität und Sicherheitsbewusstsein auf allen Ebenen. Besonders kritisch wird es dort, wo IT-Infrastrukturen unübersichtlich oder ungewartet sind – ein Zustand, der durch klar definierte Strategien und Tools deutlich verbessert werden kann.
Was sind eure Erfahrungen mit aktuellen Schwachstellen? Wie schützt ihr eure Systeme vor Zero-Day-Angriffen? Diskutiert mit unserer Community unter dem Artikel und teilt eure Best Practices!
