Reine CVSS-Werte taugen nach Garveys Darstellung nicht mehr, um durch das Rauschen der Schwachstellenflut hindurch eine risikobasierte Sicht zu gewinnen. Auch die Priorisierung anhand des Exploit Prediction Scoring System (EPSS) und der KEV-Liste der US-Behörde CISA sei inzwischen lediglich Grundausstattung. Offen bleibe damit die entscheidende Frage: Wie priorisiert man Lücken, die Frontier-KI-Modelle in Maschinengeschwindigkeit in Exploits überführen?
Garveys Antwort ist der Aufbau einer Exposure-Management-Funktion innerhalb des bestehenden Schwachstellenprogramms. Sie ergänzt das klassische Vorgehen, indem sie das tatsächliche Risiko über die gesamte Angriffsfläche hinweg bewertet und die Behebung nach Ausnutzbarkeit und geschäftlicher Auswirkung ordnet. So lässt sich herausarbeiten, welche Schwachstellen sofortiges Handeln erfordern und wo die größte Risikoreduktion erzielt wird. Neu sei dieser Gedanke nicht – seine Dringlichkeit habe jedoch sprunghaft zugenommen, weil Lücken nicht nur schneller entdeckt, sondern eben auch schneller ausnutzbar gemacht werden.
Zugleich weitet Exposure Management den Blick über offene Schwachstellen hinaus: Fehlkonfigurationen, Erreichbarkeit und weitere Quellen von Bedrohungsinformationen fließen in das Risikobild ein. Entsprechend wächst das Werkzeugarsenal – kontinuierliche Überwachung, Breach-and-Attack-Simulationen und automatisierte Penetrationstests dienen dazu, Expositionen zu validieren. Priorisiert wird dann nicht mehr anhand veralteter Risikoindikatoren, sondern auf organisatorischer Ebene.
Auch das Patch-Management steht vor einem Umbruch. Das Warten auf den Patch Tuesday, gefolgt von Test und Ausrollen, ergänzt um einen Sonderprozess für Zero-Days, reicht laut Garvey nicht mehr aus. Die Geschwindigkeit von Patching und Behebung müsse zu jenem Tempo aufschließen, mit dem Schwachstellen und Exploits maschinell identifiziert werden. Nötig sei eine automatisierte Strategie über den gesamten Lebenszyklus – von der Patch-Identifikation über den Test bis zum Ausrollen – nach einer ringbasierten Methodik, bei der der nächste Ring erst bedient wird, wenn der vorherige als stabil bestätigt ist. Automatisierung an jedem Schritt verkürzt die Zeit, in der eine Schwachstelle unbehandelt im Umfeld verbleibt.
Damit gerät ein Gleichgewicht ins Rutschen, das Patch-Teams bislang mühsam gehalten haben: möglichst wenige Verfügbarkeitsstörungen bei gleichzeitiger Einhaltung der vom Geschäft vorgegebenen Uptime-Anforderungen. Höhere Patch-Frequenz zwingt Patch- und Sicherheitsteams gemeinsam zu unbequemen Gesprächen mit den zentralen Stakeholdern: Was bedeuten Uptime-Vorgaben im Zeitalter maschinell gefundener Schwachstellen? Ändern sich Downtime-Anforderungen? Fließt mehr Investition in Resilienz? Wie verändert und reift die Zusammenarbeit mit den Teams für Geschäftsfortführung und Notfallwiederherstellung (BC/DR)?
Diese Diskussionen seien anfangs unangenehm, aber angesichts der veränderten Bedrohungslage notwendig – und sollten proaktiv geführt werden, bevor die Alternative in Gestalt einer erhöhten Schlagzahl von Sicherheitsvorfällen eintritt. Garvey behandelt die Thematik im SANS-Kurs LDR516, den er bei SANS DC Metro September 2026 (28. September bis 2. Oktober) und bei SANS Dallas 2026 (7. bis 11. Dezember) unterrichtet.