Unter 24 Stunden: was Microsofts Lagebericht 2026 für eine selbst betriebene Instanz heißt

Microsoft hat am 1. Oktober 2026 seinen Digital Defense Report veröffentlicht, den jährlichen Lagebericht zur IT-Sicherheit. Er ist lang, er handelt zum großen Teil von Staaten und Konzernen, und er hat einen Satz, der auch einen Betrieb mit zwölf Leuten betrifft: Von der Entdeckung einer Sicherheitslücke bis zu ihrer Ausnutzung vergehen im Median deutlich weniger als 24 Stunden.

Dieser Beitrag ordnet ein, was im Bericht steht, und sagt, was daraus für einen Betrieb folgt, der eigene Software betreibt. Wir haben nichts davon gemessen, die Zahlen sind Microsofts.

Was im Bericht steht

Vier Zahlen aus der Zusammenfassung des Berichts, die einen Betrieb betreffen:

• Von der Entdeckung einer Lücke bis zum fertigen Angriff vergehen im Median deutlich weniger als 24 Stunden.
• Unternehmen brauchen für kritische, von außen erreichbare Lücken 30 bis 60 Tage, bis sie geschlossen sind.
• Im ersten Halbjahr 2026 wurden fast 40.000 neue Sicherheitslücken mit Kennnummer veröffentlicht. Microsoft rechnet für das ganze Jahr mit ungefähr doppelt so vielen.
• Bei den beobachteten Einbrüchen begannen 30 Prozent damit, dass jemand selbst etwas ausgeführt hat, und ein Fünftel mit einem gültigen Konto, also mit echten Zugangsdaten.

Die Erklärung für die erste Zahl liefert Microsoft mit: Angreifer setzen KI beim Auskundschaften, beim Schreiben von Angriffscode und nach dem Einbruch ein. Was früher Tage gedauert hat, dauert jetzt Stunden.

Die Lücke zwischen den ersten beiden Zahlen

Weniger als ein Tag auf der einen Seite, 30 bis 60 Tage auf der anderen. In dieser Spanne liegt alles, was einen Betrieb angreifbar macht.

Bei großen Firmen liegt das an Prüfprozessen und Wartungsfenstern. Bei kleinen liegt es meist an etwas Einfacherem: Niemand erfährt davon. Die Instanz läuft, sie tut, was sie soll, und dass es eine neue Fassung gibt, sieht man erst, wenn man nachsieht.

Unser eigener Leitfaden zum Selbsthosten von n8n macht die Aktualisierung bewusst von Hand: Fassung eintragen, sichern, neu starten. Das ist richtig, weil eine automatische Aktualisierung einen laufenden Ablauf brechen kann. Aber es setzt voraus, dass jemand den Anstoß gibt. Nach diesem Bericht reicht „wenn wir dazu kommen“ dafür nicht mehr.

Was daraus folgt

Drei Dinge, die ein Betrieb ohne eigene IT-Abteilung tun kann:

1. Wissen, was von außen erreichbar ist. Eine Liste mit jeder Adresse, die aus dem Internet antwortet: die n8n-Instanz, der Webmailer, der Fernzugang, die Kundenplattform. Was nicht auf der Liste steht, wird nicht aktualisiert.
2. Jemanden benachrichtigen lassen. Für jede Software auf der Liste die Sicherheitsmeldungen abonnieren, bei n8n etwa die Veröffentlichungen auf GitHub. Und festlegen, wer die Meldung liest, mit Vertretung im Urlaub.
3. Die Aktualisierung so vorbereiten, dass sie in zehn Minuten geht. Eine Sicherung, die schon einmal zurückgespielt wurde, und ein Weg, die neue Fassung einzuspielen, ohne erst nachzulesen wie. Dann ist „heute noch“ machbar.

Die vierte Zahl betrifft alle, auch ohne eigenen Server: 30 Prozent der Einbrüche beginnen damit, dass jemand selbst etwas ausführt. Microsoft nennt dafür eine Masche namens ClickFix, die zwischen Februar und Anfang Mai 2026 über 1,1 Millionen Geräte erwischt hat. Eine Webseite zeigt eine Fehlermeldung und bittet, zur Behebung einen Befehl zu kopieren und einzufügen. Die Regel dagegen passt in einen Satz: Nie einen Befehl ausführen, den eine Webseite vorgibt.

Und die Agenten

Ein Teil des Berichts handelt davon, wie Firmen ihre eigenen KI-Agenten absichern: mit eigener Identität, mit eng geschnittenen Rechten und mit der Möglichkeit, den Zugriff jederzeit zu entziehen. Das ist dieselbe Frage, die wir bei Microsofts Autopilot gestellt haben: Mit wessen Rechten läuft er. Ein Agent mit den Rechten des Geschäftsführers ist ein Konto mehr, das ein Angreifer nutzen kann, und eines, das nachts arbeitet, wenn niemand hinsieht.

Was wir nicht geprüft haben

Die Zahlen stammen aus Microsofts Zusammenfassung des Berichts auf der eigenen Seite. Den vollständigen Bericht haben wir nicht durchgearbeitet, die Methode hinter den Zahlen nicht nachvollzogen. Microsoft wertet die eigenen Daten aus, also vor allem Firmen, die Microsoft-Produkte nutzen; ob die Zahlen für einen kleinen Betrieb in Deutschland genauso gelten, sagt der Bericht nicht. Wie schnell n8n auf gemeldete Lücken reagiert, haben wir nicht gemessen.

Stand dieses Artikels

Geschrieben am 3. Oktober 2026. Microsoft Digital Defense Report 2026, veröffentlicht am 1. Oktober 2026, Zusammenfassung auf microsoft.com gelesen am 3. Oktober 2026. Nichts davon ist von uns gemessen. Keine Rechtsberatung.

Häufige Fragen