Oracle-Lücke: Cybersecurity-Behörden schlagen Alarm

Während die Cybersecurity-Branche mit KI und passwortloser Zukunft wirbt, offenbart die Realität eine brutale Kluft: Kritische Schwachstellen in Unternehmens-Software werden aktiv ausgenutzt – und gleichzeitig bleibt „123456″ weltweit das beliebteste Passwort.

Die vergangenen 72 Stunden brachten eine Serie von Ereignissen, die zeigt: Der Weg zur sicheren digitalen Identität ist steiniger als gedacht.

Die dringendste Nachricht für Sicherheitsteams kam am 22. November von der US-Cybersecurity-Behörde CISA: CVE-2025-61757, eine schwerwiegende Schwachstelle im Oracle Identity Manager, wird bereits aktiv von Angreifern ausgenutzt.

Das Problem: Eine fehlende Authentifizierung für kritische Funktionen. Unbefugte können Sicherheitskontrollen umgehen und beliebigen Code aus der Ferne ausführen – ohne gültige Anmeldung.

Passend zum Thema CISA‑Warnung: Viele Unternehmen sind nicht ausreichend auf Angriffe gegen Identitätssysteme vorbereitet. Ein kostenloses E‑Book zeigt praxisnahe Schutzmaßnahmen, Prioritäten beim Patch‑Management, Mitarbeiter‑Awareness und schnelle technische Schritte, mit denen Sie Ihre IT‑Sicherheit stärken, ohne hohe Kosten oder zusätzliches Personal. Lesen Sie, welche Schritte jetzt regulatorisch wichtig sind und wie Sie Lücken sofort schließen. Jetzt kostenlosen Cyber-Security-Report herunterladen

„Ein Lehrbuchbeispiel dafür, warum Identitätsinfrastruktur der neue Perimeter ist”, kommentierte ein Sicherheitsanalyst. Die Schwachstelle täuscht das System, geschützte Endpunkte als öffentlich zu behandeln. Das Resultat? Angreifer erhalten Zugang zum Identitätssystem ohne jemals einen Login vorzulegen.

CISA ordnete sofortiges Patchen für Bundesbehörden an – ein deutliches Signal für die Bedrohungslage kritischer Infrastruktur.

Die „123456″-Paradoxie: Fortschritt ohne Anwender

Trotz dieser Hochrisiko-Bedrohungen bleibt die Akzeptanz stärkerer Sicherheitsmaßnahmen erschreckend gering. Eine umfassende Studie von NordPass vom 24. November zeichnet ein besorgniserregendes Bild.

Das weltweit häufigste Passwort? Immer noch „123456″ – eine Sequenz, die seit über einem Jahrzehnt die Listen anführt. Die Analyse öffentlich zugänglicher Datenbanken zwischen Ende 2024 und heute zeigt: Menschliches Verhalten hat sich kaum verändert, trotz jahrelanger Aufklärung über Multi-Faktor-Authentifizierung.

Noch alarmierender für die Branche: Lediglich 2 Prozent der weltweit 1.000 wichtigsten Websites haben vollständige Passkey-Unterstützung implementiert. Das, obwohl die FIDO Alliance und Tech-Giganten wie Google und Apple 2025 massiv dafür geworben haben.

„Die Kluft zwischen verfügbarer Technologie und tatsächlicher Implementierung wird größer”, konstatiert der Report. Während Tech-Konzerne voranschreiten, bleibt der „Long Tail” des Internets an phishing-anfällige, wiederverwendbare Passwörter gefesselt.

KI-Start-up holt 20 Millionen Euro für Identitätsschutz

Inmitten dieser Herausforderungen erhitzt sich der Markt für automatisierte Verteidigungslösungen. Am 24. November verkündete das Tel Aviver Cybersecurity-Start-up Opti eine Seed-Finanzierung von 20 Millionen Euro (21 Millionen Dollar).

Die Runde, angeführt von YL Ventures, bestätigt einen wachsenden Trend: KI gegen KI-gesteuerte Angriffe einsetzen. Optis Plattform automatisiert die Erkennung von Identitäts-Schwachstellen und setzt „Least Privilege”-Zugriffsrichtlinien durch – Aufgaben, die in großen Cloud-Umgebungen längst zu komplex für manuelle Verwaltung geworden sind.

Die Ankündigung kommt nicht zufällig: 2025 explodierte die Zahl „nicht-menschlicher” Identitäten. Mit KI-Agenten und Service-Accounts übersteigt die Menge maschineller Identitäten menschliche Nutzer bei Weitem – und schafft eine massive, oft unüberwachte Angriffsfläche.

Marktbewegungen zwischen Vorsicht und Innovation

Die Spannung zwischen veralteten Systemen und neuen Investitionen zeigt Wirkung. Okta, Marktführer im Identitätsbereich, erlebt schwankende Analyst-Einschätzungen vor dem kommenden Quartalsbericht. Am Montag passte Cantor Fitzgerald sein Kursziel an – ein Signal vorsichtiger Beobachtung, während Unternehmen über Investitionen in Identity-Plattformen der nächsten Generation entscheiden.

Yubico, Hardkey-Spezialist, positioniert seine Hardware-Sicherheitsschlüssel nach der Investoren-Präsentation letzte Woche nicht mehr nur für Hochsicherheitsumgebungen. Vielmehr sollen sie zur Grundausstattung werden – gerade angesichts der „fehlenden Authentifizierung”, wie sie CISA diese Woche aufdeckte.

Ausblick 2026: Von freiwillig zu verpflichtend?

Zum Jahresende 2025 kristallisiert sich die Zukunft heraus: Die passwortlose Revolution ist technisch bereit, operativ aber im Massenmarkt ins Stocken geraten.

Für 2026 erwarten Sicherheitsexperten einen Wandel von freiwilliger zu verpflichtender Einführung. Regulatorischer Druck, wie CISAs aggressive KEV-Updates zeigen, dürfte Organisationen zwingen, veraltete Authentifizierungsmethoden schneller aufzugeben, als Konsumtrends es diktieren würden.

Der Fokus verschiebt sich vom bloßen „Einloggen” zur kontinuierlichen Verifizierung: KI-gesteuerte Systeme wie das von Opti überwachen Nutzerverhalten lange nach der initialen Anmeldung – ob mit Passwort oder Passkey.

Doch vorerst kämpft die Security-Community an zwei Fronten: Abwehr raffinierter Zero-Day-Exploits in komplexen Identitätssystemen – und der Versuch, Millionen Nutzer davon zu überzeugen, endlich „123456″ aufzugeben.

PS: Sie wollen sofort handeln? Dieses Gratis-E-Book fasst die wichtigsten Abläufe gegen Phishing, Zero-Day-Exploits und Risiken in Identitätssystemen zusammen und liefert eine umsetzbare Checkliste für Entscheider. Ideal für IT-Verantwortliche, die regulatorischen Druck abfedern und Lücken schnell schließen wollen. E-Book jetzt anfordern und Checkliste sichern