Evidenz vor Schweregrad: die ENISA Threat Landscape 2026

Der Weg hinein ist eine bekannte Lücke

DDoS machte 51,3% der von ENISA erfassten Vorfälle aus, unbefugter Zugriff 39,5%. Die zweite Kategorie ist die, die in Ransomware, Datendiebstahl und Spionage endet. Wo ENISA feststellen konnte, wie ein unbefugter Zugriff begann, nutzten 60,4% eine Schwachstelle, N-Days wie Zero-Days. Fehlkonfiguration und versehentliche Offenlegung folgten mit 20,7%.

Die fähigsten Angreifer zeigen in dieselbe Richtung. Bei staatsnahen Angriffen mit identifiziertem Einfallsweg entfielen 70% auf die Ausnutzung von Schwachstellen.

Die 60,4% mit Sorgfalt lesen

Diese Zeile werden die meisten Zusammenfassungen übergehen. Der Datensatz stützt sich überwiegend auf offene Quellen, und der Bericht sagt selbst offen, dass er eine Momentaufnahme ist, keine Vollerhebung. Die 60,4% beschreiben also die Vorfälle, deren Einfallsweg öffentlich wurde, nicht jeden Angriff in Europa.

Gewicht hat die Zahl trotzdem, aus zwei Gründen. Erstens kommt ein völlig anderer Datensatz zum selben Ergebnis: Der Verizon DBIR 2026, gebaut aus untersuchten Sicherheitsverletzungen, nennt die Ausnutzung von Schwachstellen zum ersten Mal in 19 Jahren als häufigsten Weg hinein. Zweitens hält das Muster auch an der Spitze: 70% bei staatsnahen Akteuren. Zwei Quellen, zwei Methoden, eine Richtung.

Schweregrad ergibt eine lange Liste. Evidenz eine kurze.

2025 wurden mehr als 48.000 neue CVEs veröffentlicht, 22% mehr als im Vorjahr. Nach CVSS-Basiswert waren 9% kritisch und 30% hoch. Wer nach Schweregrad sortiert, bekommt allein aus 2025 rund 18.700 „dringende“ Schwachstellen. Im selben Zeitraum hat der Known-Exploited-Vulnerabilities-Katalog der CISA 245 aufgenommen: Schwachstellen mit Belegen für reale Ausnutzung.

CVSS misst, wie schwer eine Schwachstelle unter Modellannahmen wiegen könnte. Ob sie jemand ausnutzt, sagt der Wert nicht. Auch der Filter „aus der Ferne ausnutzbar“ hilft kaum: 71% der CVEs von 2025 nennen Network als Angriffsvektor. Evidenz der Ausnutzung ist der Filter, der die Liste tatsächlich verkürzt. Ein Team, das die Schweregrad-Liste abarbeitet, verbringt den Großteil seiner Kapazität mit Lücken ohne jedes Anzeichen eines Angriffs, während die ausgenutzten warten, bis sie dran sind. Und ENISA stellt fest, dass Angreifer neu veröffentlichte Schwachstellen immer schneller einsatzfähig machen. Die Warteschlange ist kein sicherer Ort.

Am Netzwerkrand fängt es an

Die Fallbeispiele des Berichts kehren immer wieder zur selben Klasse von Systemen zurück: VPN-Gateways, Firewalls und Fernzugriffs-Appliances, die Systeme also, die ENISA an der Grenze zwischen öffentlichem Netz und Unternehmensumgebung verortet. Ransomware-Gruppen und staatsnahe Akteure nutzten sie gleichermaßen.

Drei Dinge fallen auf. Das Motiv ändert die Tür nicht. Dieselben Appliances tauchen in kriminellen wie in Spionagekampagnen auf, und ENISA erwartet, dass sich diese Angleichung fortsetzt: unterschiedliche Gruppen, dieselben Schwachstellen, dieselben Wege hinein. Alter entschärft kein Risiko. Die Cisco-Lücke von Salt Typhoon stammt aus 2023, die von DragonFly aus 2018, und die Tabelle der staatsnahen Akteure im Bericht reicht bis 2017 zurück. Die Fehlerklassen sind die gefährlichen. Die häufigsten Schwächen hinter den 2025 neu als ausgenutzt gelisteten Lücken waren OS Command Injection, Path Traversal und die Deserialisierung nicht vertrauenswürdiger Daten, die laut ENISA bis zur Codeausführung und zur vollständigen Übernahme des betroffenen Systems führen können.

Was das für Exposure Management bedeutet

So haben wir unsere Priorisierung gebaut. Jede CVE erhält eine TRX-Stufe aus der Ausnutzungsevidenz dahinter: ATTACKED, FUNCTIONAL, POC oder UNPROVEN. Diese Stufe steht neben der Information, wo die verwundbare Software tatsächlich läuft und ob das System exponiert ist. So steigt eine angegriffene Lücke auf einem internetzugänglichen Host nach oben, und ein kritischer Wert ohne Evidenz dahinter wartet.