Über 31.800 neue CVE-Schwachstellen werden jährlich in der NIST National Vulnerability Database erfasst, während 48,5% als hoch oder kritisch eingestuft werden, nur 4,2% aktiv in freier Wildbahn ausgenutzt werden (CISA KEV), automatisierte Botnets neue CVEs innerhalb von 14 Minuten scannen und Unternehmen durchschnittlich 58,0 Tage zur Behebung kritischer Fehler benötigen. Während 86% aller Sicherheitsverletzungen bekannte N-Day-Schwachstellen mit bereits existierenden Patches ausnutzen und Speichersicherheitsfehler für 70% der Windows/Chromium-CVEs verantwortlich sind, reduziert das EPSS-Modell den Triage-Aufwand um -82% und Altlasten wie Log4j verbleiben in 34% aller Downloads. Die folgenden Zahlen stammen aus empirischen Studien von NIST NVD, MITRE, CISA, FIRST.org, Qualys und Google Project Zero.
TL;DR
- Über 31.800 neue Common Vulnerabilities and Exposures (CVEs) werden jährlich katalogisiert (durchschnittlich 87 neue CVEs pro Tag)
- 48,5% aller veröffentlichten CVE-Software-Schwachstellen sind als Hoch oder Kritisch eingestuft (CVSS 7.0 bis 10.0)
- Über 275.000 kumulierte CVE-Schwachstellen wurden seit der Einführung des Systems durch MITRE im Jahr 1999 erfasst
- Nur 4,2% aller veröffentlichten CVEs sind nachweislich aktiv bewaffnet und in freier Wildbahn ausgenutzt worden (CISA KEV-Katalog)
- Automatisierte Angreifer-Bots starten Massenscans im Internet nach neu veröffentlichten CVEs in durchschnittlich nur 14 Minuten
- 86,0% der durch Schwachstellen verursachten Unternehmens-Sicherheitsvorfälle nutzen bekannte N-Day-Lücken aus, für die Patches bereits verfügbar waren
- Die Priorisierung der Schwachstellenbehebung mithilfe des EPSS-Modells reduziert unnötigen Patch-Aufwand um -82,0% (FIRST.org)
- Die unternehmensweite durchschnittliche Behebungszeit (MTTR) für kritische CVE-Schwachstellen beträgt durchschnittlich 58,0 Tage (Qualys)
- 42,0% aller kritischen CVEs zielen auf Browser-Engines und Perimeter-Netzwerkhardware / VPN-Konzentratoren ab
- 28,0% der internen Unternehmensserver betreiben mindestens eine ungepatchte Schwachstelle, die vor mehr als 5 Jahren veröffentlicht wurde
- 34,0% der modernen Log4j-Java-Paket-Downloads in 2025/2026 rufen immer noch für Log4Shell (CVE-2021-44228) anfällige Versionen ab
- 70,0% aller hochgradigen Sicherheitslücken in Microsoft Windows und Google Chromium sind Speichersicherheitsfehler
- Die Durchführung eines unternehmensweiten Notfall-Patchzyklus außerhalb der Reihe kostet durchschnittlich 48.500 $ an direkten Betriebsarbeitskosten
1. Jährliche Meldungen: 31.800+ jährliche CVEs und 48,5% Hoch/Kritisch
Automatisiertes Fuzzing und Bug-Bounty-Programme haben zu einer exponentiellen Beschleunigung der offiziellen Schwachstellenkatalogisierung geführt. Die NIST NVD erfasst jährlich über 31.800 neue CVEs.
Schweregradverteilung: 48,5% der CVEs weisen einen hohen oder kritischen Schweregrad auf (NIST/MITRE), was den historischen Gesamtkatalog auf über 275.000 Schwachstellen anwachsen lässt.
| Metrik | Wert | Quelle |
|---|---|---|
| Gesamtzahl der jährlich in der NIST National Vulnerability Database (NVD) veröffentlichten Common Vulnerabilities and Exposures (CVEs) | 31.800+ neue CVE-Schwachstellen katalogisiert in 2025/2026 (durchschnittlich 87 neue CVEs pro Tag) | NIST National Vulnerability Database (NVD) / MITRE |
| Anteil der veröffentlichten CVE-Schwachstellen, die als Hoch oder Kritisch eingestuft wurden (CVSS-Score 7.0 bis 10.0) | 48,5% aller veröffentlichten CVEs sind als Hoch oder Kritisch eingestuft | NIST NVD Severity Analytics / First.org CVSS |
| Gesamtzahl kumulierter CVE-Schwachstellen seit der Einrichtung des CVE-Systems durch MITRE im Jahr 1999 | 275.000+ kumulierte CVE-Schwachstellen bis heute katalogisiert | Offizielle Statistiken des MITRE CVE-Programms |
Bug-Bounty-Programme und Offenlegungen durch ethische Hacker knüpfen an unsere Bug-Bounty-Statistiken an. Quelle: NIST National Vulnerability Database.
2. Reale Ausnutzung: 4,2% CISA KEV und 14-Minuten-Exploitation
Die meisten theoretischen Schwachstellen werden nie aktiv ausgenutzt, während kritische Perimeter-Schwachstellen bereits Minuten nach der Veröffentlichung automatisiert angegriffen werden. Nur 4,2% der CVEs werden in freier Wildbahn ausgenutzt.
Scangeschwindigkeit: Botnets scannen nach neuen CVEs innerhalb von 14 Minuten (Palo Alto), während 86,0% der Angriffe bekannte N-Day-Schwachstellen mit existierenden Patches ausnutzen (Mandiant).
| Metrik | Wert | Quelle |
|---|---|---|
| CISA Known Exploited Vulnerabilities (KEV) Katalog: Anteil aller veröffentlichten CVEs, die nachweislich aktiv von Bedrohungsakteuren in freier Wildbahn ausgenutzt werden | 4,2% aller veröffentlichten CVEs werden nachweislich aktiv in freier Wildbahn ausgenutzt | CISA KEV-Katalog-Telemetrie / Qualys |
| Geschwindigkeit von der CVE-Veröffentlichung bis zur Ausnutzung in freier Wildbahn: Zeit zwischen Veröffentlichung und automatisierten Angriffsscans | 14 Minuten durchschnittliche Zeit für Angreifer, um automatisierte Scans nach neu veröffentlichten CVEs zu starten | Palo Alto Networks Unit 42 Threat Report |
| Zero-Day- vs. N-Day-Ausnutzung: Anteil der Sicherheitsverletzungen in Unternehmensnetzwerken, die bekannte N-Day-Lücken mit vorhandenen Patches ausnutzen (vs. Zero-Days) | 86,0% der schwachstellenbasierten Sicherheitsvorfälle nutzen bekannte N-Day-Schwachstellen mit verfügbaren Patches aus | Mandiant M-Trends / Verizon DBIR |
Angriffsvektoren bei Datenschutzverletzungen und Erstzugriff knüpfen an unsere Datenschutzverletzungs-Statistiken an. Quelle: CISA Known Exploited Vulnerabilities.
3. Behebungsmetriken & EPSS: -82% Triage-Aufwand und 58 Tage MTTR
Das ausschließliche Verlassen auf CVSS-Basiswerte führt zu Patch-Müdigkeit, während prädiktive Wahrscheinlichkeitswerte die Behebung auf reale Bedrohungen fokussieren. EPSS senkt den Patch-Aufwand um -82,0%.
Behebungslatenz: Unternehmen benötigen im Schnitt 58,0 Tage zur Bereitstellung kritischer Patches (Qualys), wobei Perimeter-VPNs und Browser 42,0% der kritischen Schwachstellen ausmachen.
| Metrik | Wert | Quelle |
|---|---|---|
| EPSS (Exploit Prediction Scoring System) Effizienz: Wirksamkeit des EPSS-Wahrscheinlichkeitswerts bei der Vorhersage der Ausnutzung in freier Wildbahn vs. reiner CVSS-Wert | 82,0% Reduzierung des unnötigen Patch-Priorisierungsaufwands bei Nutzung von EPSS + CISA KEV gegenüber reinem CVSS | FIRST.org EPSS Data / Cyentia Institute |
| Durchschnittliche Behebungszeit (MTTR) für kritische CVEs: Tage, die IT-Abteilungen in Unternehmen benötigen, um eine kritische CVE zu patchen | 58,0 Tage durchschnittliche Zeit für Unternehmen zur Behebung einer kritischen CVE | Qualys TruRisk Threat Research / Ponemon |
| Hauptkategorie anfälliger Software: Softwarebereiche mit dem höchsten Volumen an kritischen CVE-Meldungen (Webbrowser, Betriebssystem-Kernel, Edge-VPNs) | 42,0% der kritischen CVEs betreffen Webbrowser und Perimeter-Netzwerkhardware/Firewalls | VulnCheck State of Exploitation / NIST |
Schwachstellenmanagement im SIEM- und SOC-Betrieb knüpft an unsere SIEM- und SOC-Statistiken an. Quelle: FIRST.org EPSS Data.
4. Altlasten & Speichersicherheit: 28% 5-Jahres-CVEs und 70% Speicherfehler
Unverwaltete Altsysteme und eingebettete Geräte betreiben häufig vergessene Codebasen, die dauerhaft anfällig für historische Exploits bleiben. 28,0% der Server betreiben 5+ Jahre alte CVEs.
Speicherfehler: 70,0% der Windows/Chromium-Schwachstellen sind Speichersicherheitsfehler (Microsoft/Google), während 34,0% der Log4j-Downloads weiterhin für Log4Shell anfällig sind (Sonatype).
| Metrik | Wert | Quelle |
|---|---|---|
| Persistenz von Alt-Schwachstellen: Unternehmenssysteme, die aktiv ungepatchte CVEs betreiben, die vor mehr als 5 Jahren veröffentlicht wurden (z. B. Log4j, EternalBlue) | 28,0% der internen Unternehmensserver betreiben mindestens eine ungepatchte 5+ Jahre alte CVE | Tenable State of Vulnerability Management |
| Persistenz von Log4j (Log4Shell / CVE-2021-44228): Unternehmensanwendungen, die weiterhin anfällige Log4j-Bibliotheksversionen herunterladen und ausführen | 34,0% der Log4j-Paket-Downloads in 2025/2026 sind weiterhin anfällige Log4Shell-Versionen | Sonatype Central Repository Telemetry |
| Speichersicherheits-CVEs: Anteil hochgradiger Schwachstellen, die durch Speicherverwaltungsfehler (Pufferüberläufe, Use-after-Free) in C/C++-Code verursacht werden | 70,0% aller Sicherheits-CVEs von Microsoft und Google Chromium sind Speichersicherheits-Schwachstellen | Microsoft Security Response Center (MSRC) / Google Chromium |
Schwachstellen und Abhängigkeiten in Software-Lieferketten knüpfen an unsere Lieferkettenangriff-Statistiken an. Quelle: Microsoft Security Response Center.
5. Patch-Ökonomie & Zero-Day-Latenz: 48,5k $ Patch-Kosten und 52 Tage Herstellerverzögerung
Die Bereitstellung außerplanmäßiger Notfall-Updates über verteilte globale Produktionscluster erfordert umfassende Kompatibilitätstests. Notfall-Patches kosten 48.500 $ pro Zyklus.
Hersteller-Reaktionszeit: Hersteller benötigen durchschnittlich 52,0 Tage zur Behebung gemeldeter Zero-Days (Google Project Zero), während 32,0% der Meldungen bereits CVSS v4.0 nutzen.
| Metrik | Wert | Quelle |
|---|---|---|
| Kosten für außerplanmäßige Notfall-Sicherheitspatches: Betriebliche IT-Arbeitskosten pro einzelnem Notfall-Patch-Einsatz im Unternehmen | 48.500 $ durchschnittliche betriebliche Arbeitskosten zur Durchführung eines unternehmensweiten Notfall-Patchzyklus | Ponemon Institute Vulnerability Management Study |
| Verzögerung bei der Bereitstellung von Hersteller-Patches: Durchschnittliche Zeit von der privaten Erstmeldung einer Zero-Day-Lücke bis zur öffentlichen Patch-Freigabe (Tage) | 52,0 Tage durchschnittliche Reaktionszeit der Hersteller zur Entwicklung und Veröffentlichung eines Sicherheitspatches | Google Project Zero Jahresrückblick |
| Einführung von CVSS v4.0: Schwachstellenmeldungen, die den erweiterten CVSS 4.0-Standard mit Bedrohungsmetriken und Angriffserleichterung nutzen | 32,0% der neu veröffentlichten Sicherheitshinweise bieten CVSS v4.0-Bewertungen | FIRST.org Common Vulnerability Scoring System |
Endgerätesicherheit und verhaltensbasiertes Patchen knüpfen an unsere Endpoint-Security-Statistiken an. Quelle: Google Project Zero.
6. Scan-Governance & Backlogs: +24% Backlog-Wachstum und 88% CISA-Compliance
Kontinuierliche, automatisierte Schwachstellen-Scanning-Tools decken monatlich mehr Schwachstellen auf, als Entwicklungsteams beheben können. Der Rückstand ungepatchter Lücken wuchs um +24,0%.
Behördliche Durchsetzung: 88,0% der zivilen US-Bundesbehörden schließen CISA KEV-Lücken innerhalb der vorgeschriebenen 14-Tage-Frist (CISA BOD 22-01), unterstützt durch eine 64,0%ige tägliche Scan-Abdeckung.
| Metrik | Wert | Quelle |
|---|---|---|
| Häufigkeit automatisierter Schwachstellen-Scans: Unternehmen, die kontinuierlich tägliche oder wöchentliche automatisierte Schwachstellen-Scans ihrer Assets durchführen | 64,0% der Unternehmens-IT-Umgebungen führen kontinuierliche automatisierte Schwachstellen-Scans durch | Gartner Market Guide for Vulnerability Assessment |
| Wachstum des Schwachstellen-Backlogs: Jährlicher Anstieg des Gesamtrückstands ungelöster, ungepatchter CVEs in Ticket-Systemen (Jira, ServiceNow) | +24,0% jährliches Wachstum bei ungepatchten Schwachstellen-Backlogs in Unternehmen | Brinqa State of Cyber Risk Operations |
| Verbindliche CISA-Betriebsrichtlinien (BOD 22-01): Compliance-Rate von Bundesbehörden beim Patchen von CISA KEV-Schwachstellen innerhalb der 14-tägigen Frist | 88,0% der zivilen Bundesbehörden schließen CISA KEV-Schwachstellen innerhalb der 14-Tage-Vorgabe | CISA BOD 22-01 Federal Compliance Digest |
Zusammenfassung: CVE-Schwachstellen in Zahlen
| Metrik | Wert | Primäre Quelle |
|---|---|---|
| Jährlich neu katalogisierte CVE-Schwachstellen | 31.800+ neue CVEs / Jahr | NIST NVD / MITRE |
| Veröffentlichte CVEs mit Schweregrad Hoch oder Kritisch | 48,5% Hoch oder Kritisch | NIST NVD Analytics |
| Gesamtzahl kumulierter CVEs seit 1999 | 275.000+ CVEs gesamt | MITRE CVE-Programm |
| Veröffentlichte CVEs, die aktiv in freier Wildbahn ausgenutzt werden | 4,2% aktiv ausgenutzt | CISA KEV-Katalog / Qualys |
| Zeit von der CVE-Veröffentlichung bis zu Bot-Scans | 14 Minuten bis zum Scan | Palo Alto Unit 42 Bericht |
| Sicherheitsvorfälle über bekannte N-Day-Lücken mit Patches | 86,0% N-Day-Ausnutzung | Mandiant / Verizon DBIR |
| Reduzierung des Triage-Aufwands durch das EPSS-Modell | -82,0% Triage-Aufwand | FIRST.org / Cyentia |
| Durchschnittliche Behebungszeit für kritische CVEs (MTTR) | 58,0 Tage bis zum Patch | Qualys TruRisk Research |
| Kritische CVEs gegen Browser und Perimeter-VPNs | 42,0% Browser/Firewalls | VulnCheck / NIST |
| Unternehmensserver mit ungepatchten 5+ Jahre alten CVEs | 28,0% veraltete CVEs | Tenable Vulnerability Studie |
| Log4j-Downloads, die weiterhin für Log4Shell anfällig sind | 34,0% anfälliges Log4j | Sonatype Central Telemetrie |
| Chromium- & Windows-CVEs durch Speichersicherheitsfehler | 70,0% Speicherfehler | Microsoft MSRC / Google |
| Kosten eines unternehmensweiten Notfall-Patchzyklus | 48.500 $ / Patchzyklus | Ponemon Institute Studie |
| Durchschnittliche Herstellerzeit zur Patch-Bereitstellung für Zero-Days | 52,0 Tage Verzögerung | Google Project Zero |
| Compliance von Bundesbehörden mit 14-Tage-KEV-Vorgabe | 88,0% Behörden-Compliance | CISA BOD 22-01 Bericht |
Methodik und Quellen
Die Statistiken in diesem Bericht wurden aus offiziellen Datenbankeinträgen der NIST National Vulnerability Database (NVD) und des MITRE CVE-Programms, Exploit-Telemetriedaten des Known Exploited Vulnerabilities (KEV) Katalogs der CISA, prädiktiven Modelldaten von FIRST.org (EPSS und CVSS v4.0), Unternehmens-Benchmarks von Qualys, Tenable und Sonatype sowie Zero-Day-Forschungsergebnissen von Google Project Zero und dem Microsoft Security Response Center zusammengestellt.
-
NIST National Vulnerability Database (NVD) & MITRE: Statistiken des CVE-Programms, CVSS-Score-Verteilungen und NVD-Metriken (31.800+ jährliche CVEs, 48,5% Hoch/Kritisch, 275k gesamt).
-
Cybersecurity and Infrastructure Security Agency (CISA): Known Exploited Vulnerabilities (KEV) Katalog und BOD 22-01 Compliance (4,2% in freier Wildbahn ausgenutzt, 88% Behörden-Compliance).
-
FIRST.org & Cyentia Institute: Forschung zum Exploit Prediction Scoring System (EPSS) und CVSS v4.0-Spezifikationen (-82% Patch-Aufwand durch EPSS, 32% CVSS 4.0).
-
Qualys & Tenable: TruRisk Schwachstellenmanagement-Bericht: MTTR-Benchmarks und Persistenz alter CVEs (58,0 Tage MTTR, 28% 5+ Jahre alte CVEs).
-
Google Project Zero & Microsoft Security (MSRC): Jahresrückblick: Zero-Day-Ausnutzung und 70% Speichersicherheits-Schwachstellen (52 Tage Patch-Verzögerung, 70% Speicherfehler).
-
Datenhinweis: CVE-Statistiken spiegeln standardisierte Schwachstellenmeldungen wider, die in den Wörterbüchern von NIST NVD und MITRE für Unternehmenssoftware, Betriebssysteme und Firmware katalogisiert sind. Nicht offengelegte proprietäre Schwachstellen werden separat erfasst.
-
Zuletzt aktualisiert: August 2026. Diese Übersicht wird vierteljährlich aktualisiert, wenn die Quartalszahlen der NIST NVD, die Erweiterungen des CISA KEV-Katalogs und die Prognosemodelle des EPSS aktualisiert werden.