Cybersicherheit
Microsoft setzt KI ein, um mehr Windows-Sicherheitslücken zu schließen, während die Patch-Bereitstellung hinterherhinkt
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
Microsoft teilte in einem Update zum Umgang mit Windows-Sicherheitslücken am 5. November 2026 mit, dass im Sicherheitsupdate vom Oktober 2026 mehr als 1.100 Windows-Sicherheitslücken behoben wurden. Unternehmensdaten aus dem August zeigten jedoch, dass viele Geräte auch Wochen nach der Veröffentlichung noch nicht aktualisiert waren.
Der von Nuno Costa, Partner Director of Windows Servicing and Delivery, verfasste Beitrag knüpft an die Arbeit an, die Microsoft in einer früheren Mitteilung vom 9. Juli 2026 skizziert hatte. Darin wurde MDASH bereits beschrieben, ebenso wie die KI-gestützte Entwicklung und Validierung von Fehlerbehebungen. Die neue Veröffentlichung ist daher ein Fortschrittsbericht mit einer Zahl zu den im Oktober behobenen Sicherheitslücken und aktuellen Messwerten zur Bereitstellung.
KI bei der Erkennung, Behebung und Validierung
Berichte über Sicherheitslücken erreichen Microsoft von externen Forschenden, Partnern sowie den eigenen Entwicklungs- und Sicherheitsteams. Das Microsoft Security Response Center dient dabei als zentrale Anlaufstelle für Meldungen, Updates und koordinierte Reaktionen. MDASH, ein autonom agierender Code-Scanner, nutzt mehrere KI-Modelle und spezialisierte Agenten, um mögliche Sicherheitslücken zu erkennen und zu validieren. Anschließend prüfen Sicherheits- und Entwicklungsteams die Ergebnisse und entscheiden über das weitere Vorgehen.
Microsofts Vorschau-Dokumentation zu Codename MDASH beschreibt eine vierstufige Pipeline. Sie ordnet Dateien anhand von Aufrufgraphanalysen und Metriken zur Codekomplexität ein und scannt anschließend den priorisierten Code mit mehr als 100 spezialisierten Agenten sowie mehreren Sprachmodellen. Zur Validierung werden eine Taint-Analyse, Typauflösung und eine Debatte zwischen mehreren Modellen eingesetzt, um die Zuverlässigkeit der Ergebnisse besser einzuschätzen und falsch positive Befunde auszuschließen. Danach werden doppelte Befunde zusammengeführt. Der Scanner weist den Ergebnissen außerdem Zuverlässigkeitswerte zu und kann über die Defender CLI Codekorrekturen erstellen.
Die Unterstützung bei der Behebung umfasst auch die Bewertung der Auswirkungen, die Ermittlung betroffener Windows-Versionen und verwandter Codevarianten, die Prüfung möglicher Korrekturen, die Planung von Rückportierungen sowie die Erstellung von Sicherheits- und Regressionstests. Die Verantwortung für die Prüfung der Arbeit, die Entscheidungen und das Endergebnis liegt weiterhin bei den Ingenieurinnen und Ingenieuren. Die Validierung vor einer Veröffentlichung umfasst außerdem interne gestaffelte Bereitstellungen, Funktionstests und Proof-of-Concept-Sicherheitstests, Tests zur Anwendungskompatibilität sowie externe Validierungen mit Hardwarepartnern, Sicherheitsanbietern, Softwareanbietern und Kunden. KI unterstützt auch bei der Auswahl und Erstellung von Tests sowie bei deren Triage, Analyse und Berichterstattung.
Optionale Vorschauupdates ohne Sicherheitsinhalte bieten eine zusätzliche Prüfmöglichkeit: Unternehmen können sie auf ausgewählten Geräten installieren, bevor ihre Inhalte Teil des Sicherheitsupdates für den folgenden Monat werden.
Mehr behobene Sicherheitslücken und schnellere Exploit-Entwicklung
Microsoft vertritt die Auffassung, dass die Zahl für Oktober darauf zurückzuführen ist, dass mehr Code untersucht und mehr Sicherheitslücken behoben wurden – und nicht auf eine Verschlechterung der Windows-Sicherheit. Das Unternehmen veröffentlicht Angaben zu Schweregrad, Auswirkungen und Ausnutzbarkeit über seinen Security Update Guide. Hinzu kommen maschinenlesbare Sicherheitshinweise nach dem Common Security Advisory Framework, Dokumente des Vulnerability Exploitability eXchange sowie eine API für Systeme zur Verwaltung von Sicherheitslücken und zur Einhaltung von Compliance-Vorgaben. Da Windows-Sicherheitsupdates kumulativ sind, sollte die Priorisierung festlegen, welche Geräte zuerst aktualisiert werden – angefangen bei Systemen mit Internetzugang, der Identitätsinfrastruktur und besonders schützenswerten Ressourcen –, nicht aber, welche einzelnen Korrekturen bereitgestellt werden.
Die Dringlichkeit ergibt sich daraus, was nach der Veröffentlichung geschieht. Eine veröffentlichte Fehlerbehebung kann Informationen über die zugrunde liegende Sicherheitslücke preisgeben und Angreifern damit Material für die Entwicklung von Exploits liefern. In einer am 8. Juni 2026 veröffentlichten Studie berichtete Anthropic, dass Claude Mythos Preview bei 18 von 21 getesteten Windows-Kernel-Patches Proof-of-Concept-Abstürze und acht vollständige Angriffsketten erzeugte, mit denen sich ein Benutzerkonto mit geringen Rechten bis zur SYSTEM-Kontrolle hochstufen ließ. Alle 18 Abstürze traten innerhalb von sechs Stunden auf. Um solche Exploits jedoch für eine tatsächliche Angriffskampagne einzusetzen, wäre weitere Arbeit erforderlich.
Die Lücke bei der Bereitstellung in Unternehmen
Microsofts Diagnosedaten aus dem August 2026 zeigten, dass in einer erfassten Windows-Unternehmensstichprobe nach zwei Wochen weniger als die Hälfte der Geräte das Sicherheitsupdate installiert hatte. Nach vier Wochen verfügte etwa eines von vier Geräten noch immer nicht darüber. Damit wird die Geschwindigkeit der Bereitstellung zu einem Teil des Risikos, das mit jedem Update entsteht, und nicht zu einer davon getrennten Verwaltungsfrage.
Microsoft empfiehlt unterstützte Windows-Versionen, zeitnahe Updates, Sicherheitsbaselines, Endpoint-Erkennung, verfügbare Gegenmaßnahmen sowie Verfahren für Reaktion und Wiederherstellung. Windows Autopatch ermöglicht über Intune gestaffelte Bereitstellungen und Berichte. Hotpatching kann auf geeigneten Windows-11- und Windows-Server-2025-Systemen die Zahl der Neustarts verringern. Nach der Veröffentlichung helfen automatisierte Systeme dabei, Diagnose-, Bereitstellungs-, Support- und Rückmeldesignale miteinander zu verknüpfen. Ingenieurinnen und Ingenieure können daraufhin mit überarbeiteten Empfehlungen, einer Behelfslösung, Known Issue Rollback oder einem außerplanmäßigen Update reagieren.
Der zentrale Zielkonflikt besteht darin, dass KI die Abwehrleistung steigern und zugleich die Zeit verkürzen kann, die für die Bereitstellung bleibt. Die Zahl für Oktober misst, wie viele Sicherheitslücken behoben wurden; die Daten aus dem August zeigen dagegen, wie schnell der Schutz die Geräte tatsächlich erreichte. Microsofts Update macht den Zeitraum zwischen Veröffentlichung und Installation zum klarsten Maßstab dafür, ob eine schnellere Erkennung und Behebung das Risiko tatsächlich verringert.
