Nicht aktualisierte Apps: der blinde Fleck Ihrer Flotte, und Scout

Wir starten Scout, ein frei zugängliches Werkzeug, um zu prüfen, ob die auf Ihrer Flotte verteilten Anwendungen in anfälligen Versionen laufen. Zwei Zahlen haben uns dazu gebracht: 48.185 im Jahr 2025 veröffentlichte Schwachstellen, und eine KI, die in Software, die Ihre Teams täglich öffnen, Lücken ausgräbt, die seit zwanzig oder dreißig Jahren vergessen waren.

Die CVE-Zahlen brechen jedes Jahr Rekorde, und es beschleunigt sich

2025 wurden 48.185 CVEs veröffentlicht, rund 131 pro Tag. Das sind 20,6 % mehr als 2024, das seinerseits schon um 38 % gestiegen war. Neunter Jahresrekord in Folge. In fünf Jahren ist die Zahl gemeldeter Schwachstellen um 263 % gewachsen.

Das System, das sie dokumentieren soll, ächzt unter der Last. 2025 hat die NVD nur 28 % der neuen CVEs vollständig analysiert, gegenüber 46 % ein Jahr zuvor. Im April 2026 ist das NIST auf ein Triage-Modell umgestiegen: Es wird nur noch 15 bis 20 % der eingehenden Schwachstellen anreichern und hat fast 29.000 wartende CVEs als nicht geplant eingestuft.

Der Katalog bekannter Lücken wächst also schneller, als irgendjemand ihn von Hand verfolgen kann. Und die alten verschwinden nicht: Mehr als die Hälfte der älteren Schwachstellen wird weiterhin aktiv ausgenutzt.

Mythos: der Moment, in dem die KI die Größenordnung veränderte

April 2026. Anthropic stellt Claude Mythos vor, ein auf Cybersicherheit spezialisiertes Modell. Aus einer einzigen Anweisung findet es autonom Tausende bislang unbekannte Lücken in allen großen Betriebssystemen und Browsern, darunter Löcher, die jahrzehntelange menschliche Prüfung nie entdeckt hatte.

Die Beispiele sind erschreckend. Eine 27 Jahre alte Denial-of-Service-Lücke in OpenBSD. Ein 16 Jahre alter Fehler im H.264-Codec von FFmpeg, 2003 eingeführt, seither von jedem Fuzzer übersehen. In FreeBSD eine 17 Jahre alte Remote-Code-Execution-Lücke (CVE-2026-4747), die das Modell nicht nur fand, sondern selbst ausnutzte, bis hin zu Root-Zugriff ohne Authentifizierung. Insgesamt 6.202 kritische oder hohe Schwachstellen, die mehr als 1.000 Open-Source-Projekte betreffen.

Ein Punkt beruhigt, ein anderer beunruhigt. Anthropic hat Mythos nicht öffentlich gemacht: Das Modell blieb großen Herstellern und Open-Source-Projekten vorbehalten, über das Projekt Glasswing (Apple, Microsoft, Cisco, CrowdStrike, die Linux Foundation), damit sie ihre Lücken vor den Angreifern schließen. Eine allgemeine Verfügbarkeit ist nicht geplant. Der Haken: Wenn ein Modell in wenigen Tagen eine 27 Jahre alte Lücke aufdeckt, wird dieselbe Fähigkeit irgendwann in anderen Händen landen. Die Vorstellung, dass seit Jahren stabile Software zwangsläufig sicher sei, hält nicht mehr.

Eine veraltete App oder ein veraltetes OS ist eine Tür, kein Detail

Ist das auf einer mobilen Flotte wirklich ein Problem? Die Zahlen sagen ja. Laut Verizons DBIR 2026 beginnen 31 % der Vorfälle mit dem Ausnutzen einer Schwachstelle, der wichtigste Angriffsvektor, gestiegen von 20 % in der vorigen Ausgabe. Sophos führt bei 32 % der Ransomware-Angriffe 2025 nicht gepatchte Software als technische Grundursache an.

Auf einem privaten Handy aktualisiert sich eine App nachts von selbst. Auf einer verwalteten Flotte ist das anders: Updates laufen durch Freigabezyklen, Versionen werden manchmal fixiert, um die Produktion nicht zu gefährden, und Nutzer verschieben den Neustart. Ein Patch kann also wochenlang verfügbar sein, ohne auf Ihren Geräten anzukommen. Und Angreifer kennen diese Lücke. 2025 sank die durchschnittliche Zeit bis zur Ausnutzung auf etwa 5 Tage, mit einem Rekord von 51 Sekunden nach der Veröffentlichung. Fast 28 % der Schwachstellen werden am selben Tag ausgenutzt, manchmal bevor ein Patch existiert. Dagegen dauert das Beheben einer kritischen Anwendungsschwachstelle im Schnitt 43 bis 74 Tage. In dieser Lücke, zwischen verfügbarem und tatsächlich ausgerolltem Patch, leben die Angreifer. 60 % der Vorfälle betreffen eine Lücke, für die bereits ein Patch existierte, der nicht eingespielt wurde.

In der Praxis entscheidet sich das an Selbstverständlichkeiten. Ein veralteter PDF-Reader, Browser oder Mail-Client auf 200 Geräten sind 200 Einfallstore. Auf Mobilgeräten zählt das OS doppelt: Ein iPhone oder Android, das mit Updates trödelt, lässt bekannte Löcher weit offen, und Ihre Nutzer ahnen nichts davon.

Scout: die Versionen Ihrer Flotte klar sehen

Genau diesen blinden Fleck adressiert Scout. Scout ist die CVE-Warte für Ihre mobilen und Desktop-Apps, frei zugänglich. Es indexiert 24.155 CVEs, überwacht 8.150 Anwendungen auf iOS, Android, macOS und Windows und verfolgt insbesondere die 359 aktiv ausgenutzten Lücken der CISA-Liste. Tägliche Synchronisation mit der NVD, stündliche Aktualisierungen.

Sie können es auf drei Arten nutzen. Fügen Sie eine App-Kennung ein, etwa com.microsoft.Office.Outlook, und erhalten Sie ein sofortiges Verdikt: Ist diese Version von einer CVE betroffen und, schlimmer, von einer bereits ausgenutzten Lücke? Laden Sie den Export Ihres MDM-Inventars hoch (Formate Intune oder Jamf), und Scout erstellt einen Compliance-Bericht samt SBOM. Oder durchsuchen Sie die App-Kataloge und suchen direkt nach einer Schwachstelle.

Eine ehrliche Einschränkung, zu der das Werkzeug steht: Scout ist ein Mindestmaß, kein Flotten-Audit. Es sagt Ihnen, ob eine verteilte Version als anfällig bekannt ist. Es ist kein Penetrationstest und keine Garantie auf Vollständigkeit. Aber für die meisten Teams liegt dieses Mindestmaß schon weit höher als das, was sie heute haben, nämlich nichts. Scout stellt außerdem eine API bereit, um verteilte Versionen programmatisch zu prüfen und die Kontrolle in Ihre eigenen Werkzeuge einzubinden.

Von der Sichtbarkeit zum Handeln

Das Problem zu sehen ist der halbe Weg. Es zu schließen ist Aufgabe eines MDM. Scout liefert die Diagnose; Appaloosa MDM liefert die Mittel zum Handeln: App-Updates ausrollen, eine Mindest-OS-Version erzwingen und den Zugriff auf Ressourcen an die Konformität des Geräts knüpfen. Scout schlägt Alarm, das MDM bringt die Flotte wieder auf Stand.

Das ist die Logik, nach der Appaloosa sein Angebot aufbaut: dem Systemadministrator und dem CISO die Mittel geben, das Risiko zu messen, und dann dafür zu sorgen, dass jedes Gerät der Flotte aktuell und konform bleibt.

Zum Schluss

Die Frage ist nicht mehr, ob sich Lücken in Ihren Apps verbergen, sondern welche bereits auf Ihren Geräten laufen. Scout gibt Ihnen die Antwort, auf scout.appaloosa.io. Daraus eine aktuelle Flotte zu machen, ist genau das, was Appaloosa tut.