Hersteller bekommen von Googles Sicherheitsteam Project Zero ab 2028 nur noch 30 Tage, bis ein gemeldeter Fehler veröffentlicht wird. Bislang galten 90 Tage plus eine Wartezeit von 30 Tagen nach dem Patch. Das Team begründet die Verschärfung mit KI-Werkzeugen, die Fehler schneller finden und aus einem Patch fast sofort einen Angriff ableiten helfen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Project Zero hat am 13. November eine neue Offenlegungsfrist angekündigt, also eine Frist bis zur Veröffentlichung.[1] Seit diesem Tag veröffentlicht das Team gemeldete Sicherheitslücken 90 Tage nach der Meldung, ab dem 2. Februar 2027 nach 60 Tagen und ab dem 3. Januar 2028 nach 30 Tagen.[1] Die Ankündigung stammt von Natalie Silvanovich.[1]
Das Wichtigste in Kürze
- Die Frist beginnt mit der Meldung: Die 30 Tage Wartezeit nach dem Patch und die Schonfristen entfallen.[1]
- Ausnahmen gelten weiterhin für Fehler, die schon aktiv ausgenutzt werden (Offenlegung nach 7 Tagen), für bereits öffentliche Fehler und auf Wunsch des Herstellers.[1][2]
- Als Grund nennt Project Zero KI-Werkzeuge: Angreifer lesen Fehlerdetails fast sofort aus einem Patch ab, außerdem finden die Forscher inzwischen mehrere Fehler pro Woche.[1]
Warum soll die Wartezeit nach dem Patch wegfallen?
Seit 2021 galt bei Project Zero die Regel „90 + 30“: 90 Tage für den Hersteller, danach 30 Tage Wartezeit, damit Anwender den Patch einspielen konnten.[1] Diese Wartezeit ergibt laut Project Zero keinen Sinn mehr, weil Angreifer mit KI-Modellen aus einem Patch beinahe sofort die Details des Fehlers ableiten. Die Geheimhaltung wiege Anwender zudem in falscher Sicherheit.[1]
Hinzu kommt der Aufwand: Project Zero meldet inzwischen mehrere Fehler pro Woche, wo es früher wenige im Jahr waren.[1] Regeln, die jedes Mal eine Absprache mit dem Hersteller verlangen, ob ein Fehler behoben ist oder eine Schonfrist gilt, lassen sich so nicht mehr anwenden. Die neue Regel lässt sich deshalb automatisch nach festen Terminen anwenden. Ob ein Fehler behoben ist, behält das Team weiter im Blick, der Termin hängt aber nicht mehr davon ab.[1]
Warum sinkt die Frist nur schrittweise?
Befragte Hersteller warnten laut Project Zero, eine sofortige Umstellung könne Anwender gefährden, weil unbehobene Fehler früher öffentlich würden. Außerdem fürchteten die Hersteller, bei unrealistischen Fristen gar nicht erst zu versuchen, Fehler rechtzeitig zu beheben.[1] Der Stufenplan soll Druck machen, aber einhaltbar bleiben. Schon seit Juli 2025 veröffentlicht Project Zero eine Woche nach der Meldung Hersteller, Produkt und Fristende, nicht aber technische Details.[4]
Ein Einzelfall ist das Tempo nicht. Beim WordPress-Sicherheitsteam gingen 2026 mehr Meldungen ein als in den zwölf Jahren davor zusammen, den Anstieg führt das Team auf KI-Werkzeuge zurück. Das Prager Start-up Aisle fand mit seinem KI-System 18 von 24 neuen Sicherheitslücken im Werkzeug curl.
Was bedeutet das für Betreiber in der EU?
Der Cyber Resilience Act verpflichtet Hersteller seit dem 11. September 2026, aktiv ausgenutzte Schwachstellen binnen 24 Stunden eine Frühwarnung abzugeben und nach 72 Stunden zu melden.[3] Für Fehler, die niemand ausnutzt, sieht die Kommission keine Meldepflicht vor, hier gibt jetzt die feste Frist von Project Zero das Tempo vor.[3] Kunden eines Herstellers können also nachlesen, wann ein Fehler samt Details erscheint, und ihre Update-Planung danach richten.
Ein Patch verrät den Fehler, deshalb zählt jeder Tag, an dem ein Betreiber das Update aufschiebt.
Michael Dobler, Herausgeber Dr. Web
Legen Sie für Sicherheitsupdates eine Frist in Tagen fest, nicht in Wochen. Schalten Sie automatische Updates ein, wo es der Betrieb erlaubt. Führen Sie eine Liste aller Software, Plugins und Dienste im Unternehmen, sonst bemerken Sie ein betroffenes Produkt erst bei der Veröffentlichung. Fragen Sie Ihre Dienstleister und Hoster schriftlich, in welcher Zeit sie Sicherheitsupdates einspielen. Welche Sicherheitsmeldungen Vorrang haben, richtet sich danach, ob eine Lücke bereits ausgenutzt wird.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Project Zero (Natalie Silvanovich)Policy and Disclosure: 2026 Edition
- Project ZeroVulnerability Disclosure Policy
- Europäische KommissionCyber Resilience Act, Zusammenfassung
- Project Zero (Tim Willis)Reporting Transparency: 2025 Trial
Mehr Newshunger?
- WordPress-Sicherheitsteam: Über 3.000 Meldungen in diesem Jahr, mehr als in zwölf Jahren zuvor
- Cohere will Aisle übernehmen: Das Prager Team fand 18 der 24 neuen curl-Lücken
- Altman glaubt nicht mehr, dass sich alle Sicherheitslücken schließen lassen
- VulnCheck: Nur 2 von 442 Anthropic-CVEs werden ausgenutzt
- 23 Windows-Lücken im Oktober-Update, gefunden mit Zhipus KI-Modell GLM
- Tausende Lovable-Apps legen Nutzerdaten ohne Login offen
