Die Google Threat Intelligence Group hat 2025 weltweit 90 aktiv ausgenutzte Zero-Day-Schwachstellen registriert. Ein wachsender Anteil der Angriffe richtet sich dabei gegen Unternehmensinfrastrukturen – insbesondere gegen Sicherheits- und Netzwerkkomponenten.
Foto: Leopard - stock.adobe.com
Die Zahl aktiv ausgenutzter Zero-Day-Sicherheitslücken bleibt auf hohem Niveau. Laut dem aktuellen Bericht der Google Threat Intelligence Group (GTIG) wurden im Jahr 2025 insgesamt 90 solcher Schwachstellen identifiziert, die bereits vor ihrer Schließung von Angreifern ausgenutzt wurden. Zwar liegt der Wert unter dem Rekordjahr 2023 mit 100 Fällen, jedoch deutlich über den 78 registrierten Fällen im Jahr 2024. Insgesamt scheint sich die jährliche Zahl in einem Bereich zwischen 60 und 100 Fällen einzupendeln.
Parallel dazu zeigt sich eine strukturelle Verschiebung bei den Angriffszielen. Während Zero-Day-Exploits lange Zeit vor allem für Spionage gegen Regierungen oder politische Ziele eingesetzt wurden, geraten zunehmend Unternehmen in den Fokus.
Im Jahr 2025 zielten 48 Prozent aller registrierten Zero-Day-Angriffe auf Technologien für Unternehmen. Damit erreicht dieser Trend laut Bericht einen neuen Höchststand.
Besonders häufig wurden Sicherheits- und Netzwerkwerkzeuge angegriffen. Im Fokus stehen dabei vor allem Edge-Geräte, die häufig nicht über Endpoint Detection and Response (EDR) verfügen. Diese Systeme bilden in vielen Organisationen kritische Übergänge zwischen internen Netzen und externen Verbindungen und stellen damit attraktive Angriffspunkte dar.
Zugleich wächst mit der zunehmenden Anzahl an Software, Geräten und Anwendungen in betrieblichen IT-Infrastrukturen auch die potenzielle Angriffsfläche. Für erfolgreiche Angriffe genügt dabei bereits eine einzelne ungepatchte Schwachstelle.
Nach Beobachtungen aus Incident-Response-Einsätzen von Mandiant bleibt die Ausnutzung von Schwachstellen der häufigste Erstzugriffsvektor bei Sicherheitsvorfällen – noch vor gestohlenen Zugangsdaten oder Phishing.
Eine weitere Veränderung zeigt sich bei den Akteuren hinter Zero-Day-Exploits. Erstmals seit Beginn der Erhebung ordnet die GTIG mehr Schwachstellen kommerziellen Überwachungsanbietern (Commercial Surveillance Vendors, CSVs) zu als staatlich unterstützten Spionagegruppen.
Im Jahr 2025 entfielen 35 Prozent der identifizierten Zero-Day-Schwachstellen auf solche kommerziellen Anbieter, während 28 Prozent traditionellen staatlich geförderten Gruppen zugeschrieben wurden. Laut Bericht senken CSVs die Einstiegshürden für Zero-Day-Angriffe und machen entsprechende Fähigkeiten einem breiteren Kundenspektrum zugänglich.
Bei der klassischen staatlichen Cyber-Spionage dominieren weiterhin Akteure mit Verbindungen zur Volksrepublik China. Gruppen wie UNC5221 und UNC3886 konzentrierten sich insbesondere auf Sicherheitsanwendungen und Edge-Geräte, um langfristigen Zugriff auf strategische Ziele zu erhalten.
Auch finanziell motivierte Gruppen greifen wieder häufiger auf Zero-Day-Schwachstellen zurück. Im Jahr 2025 wurde ihnen die Ausnutzung von neun Schwachstellen zugeschrieben, darunter zwei Zero-Day-Exploits, die zum Einsatz von Ransomware führten. Damit liegt das Volumen nahe am Rekordjahr 2023 mit zehn Schwachstellen und deutlich über dem Vorjahr mit fünf Fällen.
Ein mögliches neues Angriffsmuster zeigte sich laut Bericht im Herbst 2025 bei Angriffen mit der Malware BRICKSTORM. Diese werden Spionageakteuren mit Verbindungen nach China zugeschrieben.
Die Angriffe zielten demnach auf den Diebstahl von geistigem Eigentum wie Quellcode oder proprietären Entwicklungsdokumenten. Anders als bei klassischen Datendiebstählen könnten solche Informationen dazu genutzt werden, künftig neue Zero-Day-Schwachstellen in der Software der betroffenen Anbieter zu identifizieren.
Damit entstehen potenzielle Risiken nicht nur für die betroffenen Organisationen selbst, sondern auch für deren Kunden.
Künstliche Intelligenz dürfte laut Bericht künftig eine zentrale Rolle in der Entwicklung der Bedrohungslage spielen. Angreifer könnten KI einsetzen, um Aufklärung, Schwachstellensuche und Exploit-Entwicklung zu automatisieren und zu beschleunigen.
Gleichzeitig steigt damit der Druck auf Unternehmen und Sicherheitsanbieter, Zero-Day-Angriffe schneller zu erkennen und darauf zu reagieren. KI-basierte, agentenbasierte Lösungen könnten dabei helfen, bislang unbekannte Sicherheitslücken proaktiv zu identifizieren und zu schließen, bevor sie ausgenutzt werden.
Der vollständige englischsprachige Bericht ist auf der Website von Google abrufbar.
