GTIG-Report 2026: 90 Zero-Days im Jahr 2025 ausgenutzt — Enterprise ist das neue Schlachtfeld

Die Google Threat Intelligence Group (GTIG) veroeffentlichte ihren Jahresbericht ueber in-the-wild ausgenutzte Zero-Days im Jahr 2025 und enthuellte 90 aktiv ausgenutzte Zero-Days — ein Anstieg gegenueber 78 im Jahr 2024. Der bedeutendste Befund: Enterprise-Technologien machen 48% aller ausgenutzten Zero-Days aus (43 von 90) und erreichen damit ein Allzeithoch sowohl in absoluten Zahlen als auch im Anteil.

Der strukturelle Wandel: Vom Endnutzer zur Enterprise-Infrastruktur

GTIG hatte bereits 2024 einen aufkommenden Trend zur Enterprise-Exploitation identifiziert. 2025 hat sich dieser Trend zu einem strukturellen Wandel verfestigt. Fast die Haelfte der Zero-Days zielt nun auf die Infrastruktur ab, die Unternehmen zu ihrem Schutz einsetzen: Firewalls, VPN-Konzentratoren, Edge-Router, Endpoint-Management-Plattformen und Sicherheitssoftware. Diese Edge-Geraete verfuegen oft nicht ueber EDR-Faehigkeiten und schaffen operationelle blinde Flecken.

Ueberwachungsanbieter uebertreffen Nationalstaaten

Von 42 Zero-Days, die bestimmten Akteuren zugeordnet wurden, waren kommerzielle Ueberwachungsanbieter (CSVs) in 15 Faellen beteiligt und uebertrafen damit erstmals staatliche Spionagegruppen (12). Unternehmen wie NSO Group, Candiru und Intellexa entwickeln und verkaufen weiterhin Exploitationsfaehigkeiten an Regierungen weltweit. Mindestens 10 Zero-Days wurden chinesischen Spionagegruppen zugeordnet — eine Verdoppelung gegenueber 2024.

Das Edge-Device-Paradoxon: Sicherheit schafft Unsicherheit

Der GTIG-Report hebt ein fundamentales Paradoxon hervor: Geraete, die zum Schutz von Unternehmensnetzwerken entwickelt wurden, sind zum bevorzugten Einstiegsvektor der Angreifer geworden. Die Gruende sind strukturell: privilegierter Zugang, begrenzte Sichtbarkeit (EDR deckt Edge-Geraete meist nicht ab), Softwarekomplexitaet, schwierige Aktualisierungen und strategischer Wert — ein einzelnes Edge-Geraet kann monatelang persistenten Zugang bieten.

KI als Beschleuniger: Die GTIG-Perspektive

Der Report warnt, dass KI zunehmend wichtiger wird, um Bedrohungsaktivitaeten zu skalieren und zu beschleunigen. Angreifer werden KI fuer automatisierte Aufklaerung, Schwachstellenentdeckung und Exploit-Entwicklung nutzen. Der WEF Global Cybersecurity Outlook 2026 bestaetigt dies und identifiziert KI-Beschleunigung und geopolitische Brueche als die beiden Haupttreiber der Cybersicherheit 2026.

Schluesselzahlen des GTIG-Reports 2026

• 90 Zero-Days in-the-wild ausgenutzt im Jahr 2025 (Anstieg von 78 im Jahr 2024)
• 43 Zero-Days (48%) zielten auf Enterprise-Technologie — Allzeithoch
• 15 Zero-Days den kommerziellen Ueberwachungsanbietern (CSVs) zugeordnet — Rekord
• 12 Zero-Days staatlichen Spionagegruppen zugeordnet (10 davon China)
• Der Bereich von 60-100 jaehrlichen Zero-Days hat sich als neue Normalitaet stabilisiert
• Edge-Geraete (Firewalls, VPNs, Router) sind die am schnellsten wachsende Zielkategorie
• KI als zukuenftiger Beschleuniger fuer Schwachstellenentdeckung und Exploitation identifiziert

Auswirkungen auf europaeische Organisationen

NIS2 verlangt von Organisationen, angemessene Massnahmen zum Sicherheitsrisikomanagement zu ergreifen. Wenn jedoch fast die Haelfte der Zero-Days auf die Enterprise-Technologien abzielt, die zur Erfuellung dieser regulatorischen Anforderungen eingesetzt werden, wird Compliance selbst paradox. Firewalls, VPNs und Endpoint-Management-Systeme muessen als Hochrisiko-Assets behandelt werden — nicht als Sicherheitsgarantien.

Operative Empfehlungen

1. 1.Edge-Device-Inventar: alle internetexponierten Firewalls, VPNs, Router und Endpoint-Management-Systeme erfassen.
2. 2.Dediziertes Edge-Device-Monitoring: spezifisches Logging fuer perimetrische Sicherheitsgeraete implementieren.
3. 3.Notfall-Patching als Standardprozess: innerhalb von 24-48 Stunden nach Offenlegung.
4. 4.Zero Trust jenseits des Marketings: "never trust, always verify" auch fuer Verkehr durch Sicherheitsgeraete.
5. 5.Threat Hunting auf Edge-Geraeten: GTIG- und Hersteller-IOCs fuer proaktive Kompromittierungssuche verwenden.
6. 6.Perimeter-Kompromittierungs-Reaktionsplaene: das Szenario "Firewall/VPN kompromittiert" in den Incident-Response-Plan aufnehmen.
7. 7.CSV-Bewertung: fuer Organisationen in sensiblen Sektoren die Exposition gegenueber kommerzieller Spyware bewerten.
8. 8.KI-Evolution im Bedrohungsumfeld ueberwachen: verstehen, wie KI die Schwachstellenentdeckung beschleunigt.

Fazit: Der Perimeter ist nicht mehr die Mauer — er ist die Tuer

Der GTIG-Report 2026 dokumentiert eine fundamentale Transformation: Die zum Schutz von Unternehmensnetzwerken entwickelten Geraete sind zum primaeren Ziel der weltweit ausgefeilsten Angreifer geworden. Mit 43 Enterprise-Zero-Days allein im Jahr 2025 ist der Perimeter nicht mehr die Mauer, die die Organisation schuetzt — er ist die Tuer, durch die Angreifer eintreten. Organisationen, die dieses Mindset nicht uebernehmen, werden sich in der paradoxen Lage wiederfinden, genau durch die Geraete kompromittiert worden zu sein, die sie zu ihrem Schutz installiert hatten.