HackerOne bei GHY 2026, CTEM, Agentic Pen Test & KI gegen verkürzte Ausnutzungszeit
HackerOne: Wie KI die Ausnutzungszeit von 2,3 Jahren auf 1,7 Tage drückt
Wird heute eine Schwachstelle öffentlich, bleiben Angreifern oft nur Tage, bei KI-gestützten Angriffen nur Stunden. Markus Zandt von HackerOne erklärt, wie Unternehmen den Faktor Zeit über drei KI-Bausteine zurückholen: HackerOne Validation, den HackerOne Agentic Pen Test und CTEM. Grundlage sind über 500.000 bestätigte Schwachstellen und ein 50/50-Modell aus KI und Human Hackers.
Markus Zandt (HackerOne) erklärt, warum die durchschnittliche Ausnutzungszeit einer Schwachstelle von 2,3 Jahren (2018) auf 1,7 Tage gefallen ist und wie HackerOne den Faktor Zeit über drei KI-Bausteine zurückholt: HackerOne Validation prüft mit der KI-Engine HAI die reale Ausnutzbarkeit und liefert einen Code-Fix, der HackerOne Agentic Pen Test greift kontinuierlich an, CTEM (Gartner 2022) bündelt den Prozess. Grundlage sind über 500.000 bestätigte Schwachstellen und ein 50/50-Modell aus KI und Human Hackers.
Das Angriffsfenster schrumpft von Jahren auf Stunden
2018 benötigte ein Angreifer im Schnitt 2,3 Jahre, um eine Schwachstelle auszunutzen, heute liegt der Durchschnitt bei 1,7 Tagen. Wird eine Schwachstelle öffentlich, bleiben oft nur noch Tage, bei KI-gestützten Angriffen teils nur Stunden. Für Security-Teams heißt das: Funde in Wochensprints abzuarbeiten reicht nicht mehr; HackerOne empfiehlt, Meldungen bei Eingang sofort zu prüfen und zu beheben.
Zwei KI-Veränderungen, die die Spielregeln kippen
Erstens finden moderne KI-Systeme eigenständig echte Web-Schwachstellen, nicht im Labortest, sondern in produktiver Software; die Zahl gemeldeter Funde ist innerhalb von zwei Jahren rasant gestiegen. Zweitens ist der Faktor Zeit dramatisch gefallen. Weil sowohl Angreifer als auch Verteidiger dieselben KI-Modelle nutzen, muss man immer einen Schritt schneller sein als der Angreifer.
Baustein 1: HackerOne Validation mit HAI
HackerOne Validation prüft, angetrieben von der HackerOne-eigenen KI HAI (ein Team aus mehreren KI-Agenten), automatisch, ob eine gemeldete Schwachstelle im System real ausnutzbar ist, und stellt den Angriff nach. HackerOne findet dabei nicht nur das Symptom, sondern die Ursache im Code und liefert einen fertigen Fix statt eines weiteren Tickets. Die Prüfzeit sinkt laut Kundenpraxis von 20 bis 25 auf rund 5 Minuten, rund 50 % weniger Prüfaufwand.
Baustein 2: HackerOne Agentic Pen Test
Anders als der klassische Pen Test einmal im Jahr läuft der HackerOne Agentic Pen Test kontinuierlich. HackerOne stellt die Testumgebung, der Kunde bringt sein eigenes KI-Modell ein; KI-Agenten skalieren in die Breite, Human Hackers ergänzen die Kreativität. Analysiert wird in zwei Varianten, Black Box (Angreiferperspektive von außen) und White Box (tieferer Code-Einblick), mit dem Ziel eines echten Exploit-Beweises statt einer Vermutung.
Baustein 3: CTEM als kontinuierlicher Prozess
CTEM (Continuous Threat Exposure Management) ist kein Produkt, sondern ein von Gartner 2022 geprägter, laufender Kreislauf aus Scoping, Discovery, Prioritization, Validation und Mobilization. Laut Gartner werden Unternehmen mit CTEM dreimal seltener erfolgreich angegriffen, ein Argument für die Geschäftsführung. Unternehmen müssen nicht alle fünf Komponenten nutzen, sondern können je nach Reifegrad einsteigen; HackerOne integriert sich über APIs in bestehende Security-Stacks.
Einstieg und drei Kennzahlen zur Selbsteinschätzung
Der Einstieg erfolgt meist über das Vulnerability Disclosure Program (VDP): die Essential-Variante ist kostenfrei und bietet einen sicheren Meldekanal, rund 90 % starten mit VDP und VDP Response. Bug Bounty setzt auf die globale Community auf und kostet nur für echte Funde. Zur Standortbestimmung dienen drei Kennzahlen: Zeit zur Bestätigung, Anzahl und Alter offener ausnutzbarer Risiken sowie Zeit zur Behebung.
Wie stark hat sich die Ausnutzungszeit von Schwachstellen durch KI verkürzt?
2018 brauchte ein Angreifer im Schnitt 2,3 Jahre, um eine Schwachstelle auszunutzen; heute liegt der Durchschnitt bei 1,7 Tagen. Wird eine Schwachstelle öffentlich, bleiben oft nur Tage, bei KI-gestützten Angriffen teils nur Stunden. Deshalb empfiehlt HackerOne, Funde bei Eingang sofort zu prüfen und zu beheben statt in Wochensprints.
Was ist der HackerOne Agentic Pen Test und wie unterscheidet er sich vom klassischen Pen Test?
Der klassische Pen Test läuft einmal im Jahr; der HackerOne Agentic Pen Test ist ein kontinuierlicher KI-gestützter Angriff. HackerOne stellt die Testumgebung, der Kunde bringt sein eigenes KI-Modell ein, KI-Agenten und Human Hackers ergänzen sich in Black-Box- und White-Box-Analyse. Ergebnis ist ein echter Exploit-Beweis, keine Vermutung.
Was bedeutet CTEM und was bringt es laut Gartner?
CTEM (Continuous Threat Exposure Management) ist kein Produkt, sondern ein von Gartner 2022 geprägter, kontinuierlicher Prozess aus Scoping, Discovery, Prioritization, Validation und Mobilization. Laut Gartner werden Unternehmen mit CTEM dreimal seltener erfolgreich angegriffen. Einzelne Komponenten lassen sich je nach Reifegrad nutzen.
Was leistet HackerOne Validation und wie viel Zeit spart es?
HackerOne Validation prüft mit der KI-Engine HAI automatisch, ob eine gemeldete Schwachstelle real ausnutzbar ist, stellt den Angriff nach, findet die Ursache im Code und liefert einen Fix. Die Prüfzeit sinkt von 20 bis 25 Minuten auf rund 5 Minuten, der Prüfaufwand um rund 50 %.
Wie startet man mit HackerOne und wie lange dauert die Implementierung?
Der Einstieg erfolgt meist über das Vulnerability Disclosure Program (VDP); die Essential-Variante ist kostenfrei und bietet einen sicheren Meldekanal, rund 90 % starten mit VDP und VDP Response. Bug Bounty kostet nur für echte Funde. Ein Onsite-POC ist nicht nötig, nach etwas Paperwork/NDAs läuft die Implementierung in wenigen Tagen; ein POC ist kostenfrei.
1. Einführung in die HackerOne Session
Die Session wird von Mitja Stanovic eröffnet und an Markus Zandt von HackerOne übergeben. Der Vortrag konzentriert sich auf die Frage, wie künstliche Intelligenz das Rennen zwischen Cyberangreifern und Sicherheitsverantwortlichen verändert. Ziel ist es, die Auswirkungen von KI auf Schwachstellenmanagement, Angriffszeiten und Sicherheitsstrategien zu erläutern.2. Warum sich das Zeitfenster für Angriffe drastisch verkürzt
Ein zentrales Thema der Session ist die Geschwindigkeit moderner Cyberangriffe. Während Angreifer in der Vergangenheit häufig Monate oder sogar Jahre benötigten, um veröffentlichte Schwachstellen auszunutzen, verkürzt sich dieses Zeitfenster zunehmend auf Tage oder sogar Stunden. Besonders KI-gestützte Angriffe beschleunigen die Identifikation und Ausnutzung von Sicherheitslücken erheblich.Die Session beschreibt dies als grundlegenden Wandel der Bedrohungslage. Unternehmen müssen ihre Reaktionszeiten drastisch verkürzen, um mit der Geschwindigkeit moderner Angriffe Schritt halten zu können.
3. HackerOne als Plattform für sichere Software
HackerOne wird als etablierter Anbieter für Security Testing und Schwachstellenmanagement vorgestellt. Der Vortrag verweist auf die Zusammenarbeit mit internationalen Technologieunternehmen, Finanzdienstleistern, Behörden und Industrieunternehmen. Ziel der Plattform ist die Identifikation, Validierung und Behebung von Sicherheitslücken durch die Kombination von Sicherheitsforschung, Ethical Hackern und automatisierten Verfahren.Die Session positioniert HackerOne als Vertrauenspartner für sichere Softwareentwicklung und kontinuierliches Schwachstellenmanagement.
4. Zwei grundlegende Veränderungen durch künstliche Intelligenz
Der Vortrag beschreibt zwei zentrale Veränderungen, die direkt auf den Einsatz künstlicher Intelligenz zurückzuführen sind. Erstens können moderne KI-Systeme selbstständig produktive Schwachstellen in realen Anwendungen identifizieren. Zweitens verkürzt sich die Zeit zwischen Veröffentlichung und Ausnutzung einer Schwachstelle dramatisch.Diese Entwicklung betrifft sowohl Angreifer als auch Verteidiger. Beide Seiten nutzen dieselben technologischen Fortschritte, was zu einem neuen Wettrennen um Geschwindigkeit und Reaktionsfähigkeit führt.
5. KI findet produktive Schwachstellen in realen Anwendungen
Laut der Session werden moderne KI-Systeme nicht mehr ausschließlich für Labor- oder Testumgebungen eingesetzt. Stattdessen identifizieren sie verwertbare Schwachstellen direkt in produktiver Software. Security Researcher und interne Security Teams nutzen diese Technologien bereits aktiv zur Analyse realer Anwendungen.Die Folge ist ein deutlicher Anstieg der gemeldeten Schwachstellen. Unternehmen stehen dadurch vor der Herausforderung, eine immer größere Anzahl potenzieller Risiken effizient zu bewerten und zu priorisieren.
6. Die Ausnutzungszeit von Schwachstellen schrumpft
Ein weiterer Schwerpunkt betrifft die Geschwindigkeit von Exploits. Während Angreifer im Jahr 2018 durchschnittlich noch deutlich länger benötigten, um Schwachstellen aktiv auszunutzen, spricht der Vortrag heute von durchschnittlich 1,7 Tagen bis zur Ausnutzung.Diese Entwicklung macht deutlich, warum Unternehmen Schwachstellen nicht mehr in klassischen Wochen- oder Monatszyklen priorisieren können. Die Identifikation, Bewertung und Behebung kritischer Sicherheitslücken muss deutlich schneller erfolgen.
7. Wie Unternehmen verlorene Zeit zurückgewinnen können
Als Antwort auf die beschleunigte Bedrohungslage stellt HackerOne drei zentrale Bausteine vor: Schwachstellenvalidierung, Agentic Penetration Testing und Continuous Threat Exposure Management. Diese Verfahren sollen dabei helfen, verlorene Zeit zurückzugewinnen und ausnutzbare Risiken schneller zu erkennen.Der Fokus liegt dabei auf Automatisierung, kontinuierlicher Bewertung und der Kombination von KI mit menschlicher Expertise.
8. HackerOne Validation: Schwachstellen automatisch bestätigen
Der erste Baustein ist die KI-gestützte Schwachstellenvalidierung. Ziel ist nicht nur die Erkennung möglicher Schwachstellen, sondern deren tatsächliche Überprüfung auf Ausnutzbarkeit. Das System analysiert gemeldete Sicherheitslücken, simuliert Angriffe und erstellt Lösungsvorschläge für die Behebung.Dadurch reduziert sich der manuelle Prüfaufwand erheblich. Sicherheitsverantwortliche erhalten eine klarere Priorisierung ihrer Risiken und weniger Fehlalarme.
9. Agentic Pen Testing als kontinuierliche Angriffssimulation
Der zweite Baustein basiert auf kontinuierlichen Penetrationstests. Im Unterschied zu klassischen Penetrationstests, die häufig einmal jährlich durchgeführt werden, erfolgt die Analyse dauerhaft und automatisiert. HackerOne kombiniert dabei KI-Agenten mit menschlichen Sicherheitsexperten.Die künstliche Intelligenz ermöglicht eine hohe Skalierung und kontinuierliche Überprüfung. Menschliche Ethical Hacker ergänzen dies durch Kreativität, Erfahrung und Kontextverständnis. Gemeinsam sollen sie reale Angriffswege identifizieren und verwertbare Schwachstellen aufdecken.
10. Continuous Threat Exposure Management (CTEM)
Ein weiterer Schwerpunkt der Session ist Continuous Threat Exposure Management, kurz CTEM. CTEM wird nicht als einzelnes Produkt, sondern als kontinuierlicher Sicherheitsprozess beschrieben. Ziel ist es, potenzielle Angriffsflächen dauerhaft zu identifizieren, Risiken zu priorisieren und Maßnahmen zur Risikoreduzierung abzuleiten.Der Vortrag orientiert sich dabei am Gartner-Modell mit den Phasen Scoping, Discovery, Prioritization, Validation und Mobilization. Unternehmen sollen dadurch Risikobereiche früher erkennen und erfolgreicher reduzieren können.
11. Drei Kennzahlen zur Bewertung der Sicherheitsreife
Die Session empfiehlt drei zentrale Kennzahlen für die Bewertung der eigenen Sicherheitsreife. Die erste Kennzahl ist die Zeit bis zur Bestätigung einer Schwachstelle. Die zweite ist die Anzahl offener bestätigter Risiken sowie deren Alter. Die dritte Kennzahl beschreibt die durchschnittliche Zeit bis zur Behebung einer Schwachstelle.Diese Kennzahlen sollen Unternehmen dabei helfen, ihre aktuellen Sicherheitsprozesse kritisch zu bewerten und konkrete Verbesserungsziele abzuleiten.
12. VDP, Bug Bounty und CTEM als Reifestufen
HackerOne beschreibt drei typische Einstiegspunkte für Unternehmen. Vulnerability Disclosure Programs (VDP) ermöglichen einen strukturierten Meldeprozess für Sicherheitsforscher. Bug-Bounty-Programme erweitern diesen Ansatz durch die aktive Einbindung einer globalen Community ethischer Hacker. CTEM bildet schließlich den umfassenden strategischen Ansatz für kontinuierliches Exposure Management.Der Vortrag betont, dass Unternehmen je nach Reifegrad den passenden Einstiegspunkt wählen sollten.
13. Warum menschliche Sicherheitsforschung weiterhin entscheidend bleibt
Ein wichtiges Thema der Session ist die Zusammenarbeit zwischen KI und menschlichen Sicherheitsexperten. HackerOne beschreibt einen Ansatz, bei dem künstliche Intelligenz und menschliche Ethical Hacker gemeinsam eingesetzt werden. Kritische Entscheidungen und komplexe Angriffsanalysen bleiben dabei weiterhin in menschlicher Verantwortung.Die Kombination aus KI, praktischer Erfahrung und einer umfangreichen Datenbasis bestätigter Schwachstellen soll höhere Qualität und schnellere Ergebnisse ermöglichen.