Windows vs. Linux vs. macOS – welches Betriebssystem ist am sichersten? Die Zahlen für 2026

Linux hat fünfmal mehr gemeldete Schwachstellen als Microsoft. Und trotzdem sind es Windows-Lücken, die häufiger in Angriffen ausgenutzt werden, bevor irgendjemand sie schließen kann. Der Mac hat die wenigste Malware aller drei Systeme, und doch sind neue Backdoors für ihn 2025 um 67 % gestiegen. Wenn das nach einem Widerspruch klingt, dann deshalb, weil die meisten Rankings zum „sichersten Betriebssystem“ das Falsche zählen. 💥

Statt eines weiteren Glaubenskriegs unter Fans habe ich harte Daten aus 2025 und 2026 gesammelt: wie viele Schwachstellen jedes System bekommt, wie viele davon tatsächlich in Angriffen ausgenutzt werden, wie viel Malware dafür entsteht, wie schnell die Hersteller patchen und wie viele Menschen (und wie viel Geld) dahinterstecken. Jede Zahl hat eine Quelle und ein Jahr.

Bevor wir vergleichen: drei Dinge, die jedes Ranking verfälschen

Die meisten „Sicherheitsrankings für Betriebssysteme“ im Netz machen denselben Fehler: Sie zählen rohe Zahlen ohne Kontext. Deshalb zuerst drei Vorbehalte, ohne die der Rest dieses Beitrags unfair wäre.

Erstens: der Marktanteil. Auch ein Krimineller ist Unternehmer. Er schreibt Malware dort, wo die Kunden sind.

Zweitens: Linux ist kein „Schreibtisch-System“. 4,5 % auf Laptops, aber die überwältigende Mehrheit der Server, der Cloud, der Router und der Edge-Geräte. Wir vergleichen also ein System, auf dem Menschen Anhänge anklicken, mit einem System, das Datenbanken hält und rund um die Uhr am Internet hängt. Das sind andere Angriffsflächen und andere Sorten von Angreifern.

Drittens: wer zählt und wie gezählt wird. Dazu gleich mehr, denn das ist die wichtigste Falle im ganzen Vergleich.

Lektion Nr. 1: „Welches System ist am sichersten?“ ist eine Frage ohne Antwort, solange du nicht ergänzt: „gegen wen, in welcher Rolle und in wessen Händen“. Ab hier zählen wir fair, aber behalte diese drei Vorbehalte im Kopf.

Runde 1: Wer hat die meisten Schwachstellen (CVE)?

Für Nicht-Techniker: CVE ist ein öffentlicher, weltweiter Katalog von Schwachstellen. Jede veröffentlichte Lücke bekommt eine eigene Nummer, damit alle über denselben Fehler sprechen. 2025 kamen so viele dazu wie nie: 48.185.

Und wie sieht das pro Hersteller aus?

Erster Reflex: „Linux hat fünfmal mehr Lücken als Windows, Diskussion beendet.“ Und genau hier kommt Falle Nummer drei ins Spiel.

Warum Linux so viele CVEs „hat“

Im Februar 2024 wurde das Linux-Kernel-Projekt zu einer eigenen CNA, also einer Organisation, die ihren eigenen Bugs selbst CVE-Nummern vergibt. Und es hat eine Regel eingeführt, die Greg Kroah-Hartman (Maintainer des Stable-Zweigs) ganz offen erklärt: Im Kernel kann sich fast jeder Bug als Sicherheitsbug herausstellen, also bekommt jeder Fix eine CVE-Nummer, der solche Folgen haben könnte. Das Team vergibt lieber zu viele als zu wenige. Ergebnis: 2024 hat der Kernel rund 60 CVEs pro Woche herausgegeben, im Juli 2026 waren es 432 CVEs in etwa 30 Stunden, und in der Ankündigung seines Vortrags auf der Konferenz Kernel Recipes 2026 im September zeigte Kroah-Hartman ein Diagramm, laut dem die Zahl der CVEs pro Kernel-Release von rund 500 in der 6.x-Ära auf über 1.500 bei 7.2 gestiegen ist und sich 2.000 nähert – unter anderem, weil den Kernel-Code (über 40 Mio. Zeilen) inzwischen KI-Tools durchkämmen. Auf der Konferenz selbst sprach er bereits von einem Tempo von 33 CVEs pro Tag.

Microsoft und Apple machen es umgekehrt: Sie vergeben CVEs nur für das, was sie als Schwachstelle einstufen, und viele Sicherheitsfixes landen in Sammelupdates ohne eigene Nummer. Apple wurde übrigens jahrelang für seine äußerst knappen Beschreibungen dessen kritisiert, was eigentlich gepatcht wird.

Dazu kommt: Linux besteht aus Tausenden Treibern für Hardware, die du nie zu Gesicht bekommst. Ein guter Teil dieser 3.649 CVEs betrifft Module, die auf deinem Server nicht einmal geladen sind.

Lektion Nr. 2: Die Zahl der CVEs misst, wie genau ein Projekt auf den eigenen Code schaut und wie ehrlich es darüber spricht, nicht, wie löchrig es ist. Wenn dir jemand ein Ranking der „anfälligsten Systeme“ zeigt, das nur auf CVEs basiert, zeigt er dir ein Transparenz-Ranking. Das ist auch für dein Unternehmen wichtig: Ein Auditor, der CVEs im Scanner-Report zählt, zählt genau dasselbe.

Runde 2: Welche Lücken werden wirklich angegriffen?

Wenn rohe CVE-Zahlen in die Irre führen, schauen wir auf die Liste, die nicht lügt: CISA KEV, den Katalog einer US-Behörde mit Schwachstellen, die nachweislich in echten Angriffen ausgenutzt werden. Und auf die jährliche Auswertung der Google Threat Intelligence Group zu Zero-Days, also Lücken, die schon angegriffen wurden, bevor es einen Patch gab.

Und jetzt dreht sich das Bild. Linux hat die meisten CVEs, aber nur kaum mehr als ein Promille davon landen auf der Liste der tatsächlich ausgenutzten. Microsoft hat fünfmal weniger CVEs, aber die meisten tatsächlich angegriffenen Lücken – 2025 waren es 39 neue KEV-Einträge, mehr als bei jedem anderen, und im gesamten Katalog (1.484 Einträge Ende 2025) stammen 350 Einträge, fast 24 %, aus Microsoft-Produkten. Mitte Oktober 2026 umfasste der Katalog bereits 1.748 Einträge, davon 390 Microsoft-Produkte (Apple: 95, Google: 75, Linux-Kernel: 31). Allein 2026 kamen 264 Einträge hinzu – mehr als im gesamten Jahr 2025.

Ähnlich bei den Zero-Days: Von den 90 im Jahr 2025 ausgenutzten betrafen 25 Microsoft-Produkte, 11 Google und 8 Apple. Betriebssysteme waren die am häufigsten angegriffene Kategorie – 24 Zero-Days in Desktop-Systemen und 15 in mobilen.

Fairerweise noch einmal: Microsoft ist nicht nur Windows. In diesen 39 Einträgen stecken SharePoint, Exchange, Office. Aber Windows hat auch seine Klassiker: den CLFS-Treiber, die MMC-Konsole, SMB. Und noch etwas, das diese Listen nicht zeigen: CISA hat im Oktober 2025 bestätigt, dass Ransomware-Gruppen die Linux-Kernel-Lücke CVE-2024-1086 ausnutzen. Sieben KEV-Einträge sind wenig, aber jeder davon betrifft Server, auf denen du alles hast.

Lektion Nr. 3: Aus Angreifersicht zählt nicht, wie viele Lücken ein System hat, sondern wie viele davon sich auszunutzen lohnen. Windows steht auf 76 % der Schreibtische weltweit, also hat ein Windows-Exploit den größten Absatzmarkt. Das ist kein Vorwurf an Microsoft, das ist Ökonomie. Für dich heißt das: Patche nach der KEV-Liste, nicht nach der CVE-Zahl im Scanner. 245 Einträge pro Jahr statt 48.000.

Runde 3: Wie viel Malware entsteht für jedes System?

Hier sind die Zahlen am brutalsten und am wenigsten überraschend. Das Institut AV-TEST (Projekt AV-ATLAS) registriert über 450.000 neue Malware-Samples pro Tag. Die letzte vollständige Aufschlüsselung pro System, die es veröffentlicht hat, sieht so aus:

Windows: fünftausendmal mehr neue Malware als macOS und 35-mal mehr als Linux. Fall erledigt? Nicht ganz, denn die Zahl der Samples sagt etwas über die Produktion, nicht darüber, wo tatsächlich eingebrochen wird. Und hier gibt es zwei Trends, die das Bild verändern.

Der Mac ist nicht mehr „sicher, weil Nische“

2025 ist der Marktanteil der Macs um 16 % gewachsen, und die Kriminellen haben das bemerkt. Aus den Reports von Jamf (Security 360, 2026) und Moonlock Lab (MacPaw):

• Jamf Threat Labs hat allein 2025 über 26.000 Mac-Malware-Samples in seine Datenbank aufgenommen; Trojaner machen schon die Hälfte der erkannten Malware auf macOS aus, und Infostealer (Programme, die Passwörter, Session-Cookies und Krypto-Wallets stehlen) sind im Jahr davor um 28 % gewachsen.
• Moonlock verzeichnete 2025 67 % mehr neue Backdoor-Varianten und 17 % mehr Stealer auf macOS; AtomicStealer (AMOS) und seine Forks stehen für fast 30 % der Erkennungen und auf VirusTotal für über 40 % der macOS-Samples.
• Im Februar 2026 hat sogar Microsoft vor einer wachsenden Welle von Infostealern auf macOS gewarnt (AMOS, MacSync, DigitStealer), verbreitet über Google-Anzeigen und den „ClickFix“-Trick (eine Website bittet dich, selbst einen Befehl ins Terminal einzufügen).

Mac-Malware ist heute ein Abo-Produkt: Ein Stealer kostet rund 1.000 US-Dollar im Monat, und vom Mac gestohlene Zugangsdaten werden für zehn bis zwanzig Dollar pro Paket verkauft. Dieses Geschäft gab es vor fünf Jahren nicht.

Linux: wenige Samples, große Ziele

Die Telemetrie von Elastic Security (Report 2023) zeigte etwas, das die Rolle von Linux gut beschreibt: 91 % der Ereignisse aus Malware-Signaturen kamen von Linux-Endpunkten (sprich: Servern), während 94 % der Verhaltensalarme, also Erkennungen verdächtigen Verhaltens, von Windows kamen und 3 % von macOS. Bei Windows greift man den Nutzer an, bei Linux den Dienst.

Und Ransomware? Jahrelang eine „Windows-Spezialität“. Heute suchen Gruppen gezielt nach VMware-ESXi-Hypervisoren (darunter steckt Linux), denn einen Host zu verschlüsseln heißt, Dutzende virtuelle Maschinen auf einmal zu verschlüsseln. Laut Telemetrie von Huntress stieg der Anteil der Hypervisoren an Verschlüsselungsvorfällen von 3 % im ersten Halbjahr 2025 auf 25 % im zweiten (Teildaten für das zweite Halbjahr, veröffentlicht im Dezember 2025). Check Point Research hat dasselbe beobachtet: Linux-Ransomware ist einfacher gebaut als die für Windows, weil sie keinen Virenscanner umgehen muss – sie wird auf konkrete, große Organisationen zugeschnitten.

Lektion Nr. 4: Windows ist Massenware, macOS ist ein aufstrebender Markt, Linux ist „Prestige“ – wenige Angriffe, aber jeder trifft ins Herz des Unternehmens. Wenn deine Firma 200 Windows-Laptops, 30 Macs in der Geschäftsführung und der Kreativabteilung sowie 5 Linux-Server hat, dann hast du drei verschiedene Probleme und nicht ein „sicheres“ und zwei „unsichere“ Systeme. Das schlimmste Szenario, das ich bei Tests sehe: Macs der Geschäftsführung ganz ohne EDR („ist ja ein Mac“) und ein Linux-Server, den seit dem Deployment niemand aktualisiert hat („ist ja Linux“).

Runde 4: Wie schnell wird gepatcht?

Die spannendsten Daten in dieser Runde liefert Google Project Zero – ein Team, das Herstellern Schwachstellen mit einer 90-Tage-Frist für den Patch meldet und danach öffentlich abrechnet, wer es geschafft hat. In der letzten solchen Gesamtauswertung (Bugs gemeldet in den Jahren 2019-2021) war das Ergebnis eindeutig:

Woher kommt der Unterschied? Aus dem Modell, wie Fixes ausgeliefert werden:

• Linux veröffentlicht jede Woche neue Stable-Kernel, und die Distributionen (Debian, Ubuntu, Red Hat) legen praktisch täglich eigene Updates nach. Ein Fix besteht meist aus ein paar Zeilen Code (Median: 4 Zeilen hinzugefügt, 2 entfernt – laut einer Analyse von 6.464 Kernel-CVEs in einer Arbeit von Forschern der Universität Toruń (UMK) und AWS) und wartet auf kein „Wartungsfenster“.
• Microsoft hat den Patch Tuesday: ein großes Paket am zweiten Dienstag jedes Monats (2025 insgesamt 1.139 CVEs, und 2026 folgten weitere Rekorde: Juli – 570, September – 973, Oktober – über 1.400 in einem einzigen Paket, teilweise weil Microsoft mit KI-Hilfe nach Lücken im eigenen Code sucht). Vorteil: Admins wissen, wann sie sich vorbereiten müssen. Nachteil: Eine Lücke, die einen Tag nach dem Patch Tuesday gemeldet wird, wartet einen Monat, es sei denn, sie wird aktiv ausgenutzt – dann kommt ein Fix außer der Reihe.
• Apple patcht unregelmäßig, im Paket und für alle Systeme gleichzeitig (macOS, iOS, watchOS). Selbst das kleine „Punkt“-Update iOS 26.6.1 vom August 2026 hat 42 Schwachstellen geschlossen. Der Vorteil ist die hohe Update-Quote – Apple-Nutzer aktualisieren schnell und flächendeckend.

Ein Patch, den niemand installiert, existiert nicht

Und hier kommt die wichtigste Zahl dieser Runde, und sie betrifft nicht den Hersteller, sondern uns. Der Support für Windows 10 endete am 14. Oktober 2025. Ein Jahr später, im September 2026, läuft Windows 10 immer noch auf 27,8 % der Windows-Rechner weltweit (Windows 7, tot seit 2020, auf 0,55 %). Fairerweise: Ein Teil davon bekommt weiterhin Patches. Microsoft betreibt ein Programm für erweiterten Support (ESU) und hat im Juni 2026 dessen Variante für Privatnutzer still und leise um ein weiteres Jahr verlängert, bis zum 12. Oktober 2027. Kostenlos, vorausgesetzt, man hat sich angemeldet (ein Microsoft-Konto und eine aktivierte Windows-Sicherung genügen). Unternehmen zahlen für ESU separat. Wie viele der 28 % tatsächlich im Programm sind, verrät Microsoft nicht. Klar ist nur: Wer sich nicht angemeldet hat, bekommt seit einem Jahr nichts mehr – und jeder Patch Tuesday für Windows 11 ist für ihn eine Landkarte der ausnutzbaren Lücken, weil die meisten Fixes gemeinsamen Code betreffen.

Auf der Linux-Seite gibt es eine andere Sünde: alte LTS-Kernel. Dieselbe Forschungsarbeit hat gezeigt, dass neuere Kernel-Versionen schneller Fixes bekommen, während ältere Zweige ungelöste CVEs „sammeln“. Wenn dein Server auf einem fünf Jahre alten Kernel läuft, weil „läuft, nicht anfassen“, bringt dir die Geschwindigkeit des Kernel-Teams gar nichts.

Lektion Nr. 5: Im Rennen der Hersteller ist Linux am schnellsten, Apple holt über die Update-Quote auf, Microsoft ist am langsamsten, aber am berechenbarsten. Im Rennen der Nutzer verlieren wir alle gleich: 28 % der Rechner mit Windows 10 sind nicht Microsofts Schuld. Das ist ein Eintrag in deinem Risikoregister, wenn du auch nur einen solchen Rechner in der Firma hast.

Runde 5: Wer steckt dahinter – Menschen und Geld

Diese Frage hat mir neulich ein Kunde gestellt: „Wie viele Leute passen eigentlich auf dieses System auf?“ Die Antwort überrascht in beide Richtungen.

Nach dem Storm-0558-Einbruch 2023 (eine chinesische Gruppe las über Exchange Online E-Mails der US-Regierung mit) und dem vernichtenden Bericht des US-Gremiums CSRB, das der Firma eine „Kultur, die Sicherheit depriorisiert“ attestierte, kündigte Microsoft das größte Security-Engineering-Projekt seiner Geschichte an: umgerechnet 34.000 Vollzeitstellen, Sicherheit als Teil der Jahresbewertung jedes Mitarbeiters, 13 stellvertretende CISOs. Dazu rekordverdächtige 20 Mio. US-Dollar Bug Bounty im letzten Jahr.

Apple sagt nichts über sein Team, aber es spricht mit Geld: 2 Mio. US-Dollar für eine „Zero-Click“-Exploit-Kette sind heute der höchste Satz der Branche, und seit 2020 hat das Unternehmen 35 Mio. US-Dollar an über 800 Forscher ausgezahlt (im Schnitt rund 44.000 pro Meldung). Das ist eine bewusste Strategie: Apple konkurriert mit Exploit-Brokern, die dieselben Lücken an Spyware-Firmen verkaufen.

Und Linux? Am Kernel arbeiten pro Release mehrere Tausend Entwickler, überwiegend angestellt bei Intel, Google, Red Hat, Oracle oder Huawei. Aber das Sicherheitsteam ist eine Handvoll erfahrener Subsystem-Maintainer, die – wie Kroah-Hartman beschreibt – als Privatpersonen agieren und nicht einmal ihren Arbeitgebern von Meldungen erzählen dürfen, bis diese behoben sind. CVE-Nummern vergeben drei, vier Leute, die jeden Commit in den Stable-Zweig durchsehen. Ein Bug Bounty für den Kernel selbst gibt es nicht; es gibt indirekte Programme wie Google kernelCTF (für Kernel-Exploits in Googles Konfiguration) oder das Community-Programm Internet Bug Bounty.

Lektion Nr. 6: Budget kauft nicht direkt Sicherheit. Die Firma mit dem größten Sicherheitsteam der Geschichte hat gleichzeitig die meisten KEV-Einträge, und das Projekt mit einem vierköpfigen CVE-Team patcht am schnellsten. Der Unterschied liegt nicht im Geld, sondern im Modell: offener Code, kleiner Fix, wöchentliches Release gegen eine Milliarde Geräte, Abwärtskompatibilität bis in die 90er und Sammelupdates. In deinem Unternehmen gilt dasselbe Gesetz: Es gewinnt nicht, wer das größte Security-Budget hat, sondern wer den kürzesten Weg von „Wir wissen von der Lücke“ zu „gepatcht“ hat.

Bonus: Pwn2Own, oder was fällt, wenn für den Einbruch bezahlt wird

Wenn du sehen willst, wie „Sicherheit“ unter Gefechtsbedingungen aussieht, schau dir Pwn2Own an – einen Wettbewerb, bei dem Forscher vollständig gepatchte Systeme gegen Preisgeld knacken. In Berlin im Mai 2026, in drei Tagen: 47 Zero-Days und fast 1,3 Mio. US-Dollar Preisgeld. Windows 11 fiel fünfmal (jedes Mal per Rechteausweitung), Red Hat Enterprise Linux mehrmals, Microsoft Exchange ging für 200.000 weg, und die Angriffsversuche auf Safari… passten nicht ins Zeitlimit. Nicht, weil Windows „schlechter“ ist, sondern weil Forscher genau dafür die meisten Exploits vorbereiten. Aus demselben Grund, aus dem es Kriminelle tun.

Neuer Mitspieler: der KI-Agent auf deinem Rechner 😈

Bis hierher habe ich Systeme verglichen. Nur wohnt 2026 auf jedem von ihnen – Windows, Linux und Mac – immer öfter ein neuer Mieter: der KI-Agent. Claude Code, Codex, Gemini CLI, Cursor. Er liest Dateien, führt Befehle im Terminal aus, installiert Pakete. Er arbeitet mit deinen Rechten und oft mit deinen Schlüsseln für Cloud und GitHub. Für einen Angreifer ist das weder Windows noch Mac. Es ist eine neue, extrem privilegierte Angriffsfläche, die das Betriebssystem überhaupt nicht von dir unterscheiden kann.

Eine Geschichte von Reddit: der Miner, den zwei Monate lang niemand bemerkt hat

Im Oktober 2026 beschrieb ein Reddit-Nutzer, dass sein Mac auf 112 °C hochheizte. Er baute sich mit Claude Code eine App zur Temperaturüberwachung, und beim Testen fand der Agent den Übeltäter: einen Miner für die Kryptowährung Monero (XMRig), der rund 1.175 % CPU fraß, also ungefähr 12 Prozessorkerne. Gestartet wurde er von einem LaunchAgent (dem Autostart-Mechanismus von macOS) mit einem verschleierten Skript, das den Miner nach jedem Beenden des Prozesses neu startete. Laut Screenshot war der Eintrag seit Ende August im System.

Woher er kam, wurde nicht geklärt. In den Kommentaren verdächtigten manche sogar den Agenten selbst, und Macworld hat das direkt in die Überschrift gepackt. Das Datum im August spricht eher dafür, dass der Miner schon vorher auf dem Mac war, aber verifiziert hat das niemand: Es ist der Bericht einer einzelnen Person, ohne Datei-Hashes und ohne Analyse. Für mich sind hier zwei Dinge gleichzeitig spannend. Erstens das Lehrbuchmuster: Ein Mac ohne EDR, „weil es für den Mac keine Viren gibt“, hat zwei Monate lang für jemanden Kryptowährung geschürft. Zweitens die Tatsache, dass die erste Frage des Internets lautete: „Und wenn es die KI war?“ Und diese Frage ist absolut berechtigt.

Binance: ein Vorstellungsgespräch, ein internes KI-Tool und 6,3 Milliarden Dollar

Das stärkste Beispiel kam wenige Tage vor der Veröffentlichung dieses Beitrags. Am 3. November 2026 beschrieb Binance, wie es am 29. Oktober rund 6,3 Milliarden Dollar verloren hat – mehr als viermal so viel wie Bybit im Februar 2025, der bisherige Rekord. Das FBI schrieb den Angriff Nordkorea zu. Die Kunden haben kein Geld verloren, weil Binance den Schaden aus eigenen Mitteln gedeckt hat. Der Ablauf laut Binance-Bericht:

1. Juni 2026: Ein Ingenieur aus dem Bereich Wallet-Infrastruktur suchte per Suchmaschine nach einem KI-Tool und lud einen gefälschten Homebrew-Installer herunter (Homebrew ist ein beliebter Paketmanager für Entwickler). Binance entdeckte die Infektion und änderte die Passwörter, aber die Angreifer hatten bereits herausgefunden, wer er ist und mit wem er zusammenarbeitet.
2. September 2026: Ein zweiter Ingenieur bekam ein Angebot über eine Jobplattform. Das erste Gespräch – ein ganz normaler Videocall mit „HR“. Das zweite – über einen Messenger, mit dem „CEO“ einer nicht existierenden Firma, der ihm zum Schluss eine Rekrutierungsaufgabe schickte. Der Ingenieur lud das Repository auf seinen Dienstrechner. Bei der Einrichtung startete Code, der einen Teil eines legitimen Entwicklerwerkzeugs austauschte, sich mit dem Server der Angreifer verband und die Spuren verwischte. Die Malware blieb unentdeckt.
3. 20. Oktober: Von diesem Rechner aus missbrauchten die Angreifer ein internes KI-Tool von Binance, um die Kontrolle über die Rechner zwei weiterer Ingenieure zu übernehmen. Wie genau – hat Binance nicht verraten.
4. 29. Oktober: Auf einem der übernommenen Rechner fanden sie ein Token für das Deployment von Containern, starteten ein eigenes Skript und gelangten an den internen Dienst, der Transaktionen signiert. Die Überweisungen aus den Hot Wallets dauerten keine vier Stunden.

Achte darauf, wie wenig „Betriebssystem-Hacking“ hier im Spiel ist. Es gab keinen Zero-Day in Windows oder macOS. Es gab eine gefälschte Bewerbung, eine Hausaufgabe in einem Repository und einen firmeneigenen KI-Agenten mit Zugriff auf zu viele Rechner auf einmal. Die Angreifer mussten nicht selbst von Maschine zu Maschine springen – das hat für sie das Werkzeug erledigt, dem in der Firma alle vertraut haben. 😈

Malware, die deine KI benutzt

Ein weiterer Beweis, dass das keine Theorie ist, kam schon im August 2025. Angreifer kaperten den Veröffentlichungsprozess des beliebten Entwicklerwerkzeugs Nx (Millionen Downloads pro Woche) und brachten infizierte Versionen heraus. Das Installationsskript prüfte, ob auf dem Rechner KI-Tools fürs Terminal installiert sind – Claude, Gemini, Amazon Q – und ließ sie selbst die Festplatte durchsuchen, nach SSH-Schlüsseln, Tokens, Passwortdateien und Krypto-Wallets. Ziel waren Linux und macOS. Ergebnis der Kampagne mit dem Namen „s1ngularity“: 2.180 gekaperte GitHub-Konten und 7.200 Repositories, davon 6.700 private, die die Angreifer öffentlich gemacht haben. Forscher von Wiz bemerkten, dass die Kriminellen ihre Prompts laufend nachbesserten, weil die Modelle manchmal die Ausführung verweigerten.

Auf gut Deutsch: Die Malware musste nicht mehr selbst wissen, wo sie suchen soll. Es reichte, den Assistenten zu fragen, der ohnehin vor Ort war.

MCP, also Plugins, die alles sehen

KI-Agenten verbinden sich über MCP (Model Context Protocol) mit der Welt – eine Art Plugins, die ihnen Zugriff auf E-Mail, Repositories, Datenbanken oder die Cloud geben. Und hier wiederholt sich die Geschichte wie bei jedem neuen Ökosystem von Erweiterungen:

• September 2025: Ein gefälschter MCP-Server, der sich als Postmark (ein Dienst für den E-Mail-Versand) ausgab, fügte jeder Nachricht eine versteckte Kopie an den Angreifer hinzu. Rechnungen und interne Korrespondenz flossen ab.
• Mai 2025: Ein einziges präpariertes Issue in einem öffentlichen GitHub-Repository reichte aus. Ein KI-Agent mit MCP-Zugriff las es, behandelte es wie einen Befehl und kopierte Daten aus privaten Repositories in einen öffentlichen Pull Request. Das ist Prompt Injection: Der Angreifer bricht nicht ins System ein, sondern schiebt dem Agenten einen Text unter, den dieser ausführt.
• Februar 2026: Ein geklontes MCP-Server-Projekt für den Oura-Ring verteilte den Infostealer StealC, der Passwörter aus Browsern, API-Schlüssel und Krypto-Wallets stiehlt.

Dazu haben Forscher von Adversa AI gezeigt, dass in vier beliebten Tools (Claude Code, Gemini CLI, Cursor CLI, Copilot CLI) ein einziger Klick auf „Ich vertraue diesem Ordner“ nach dem Klonen eines fremden Repositorys die darin definierten MCP-Server mit vollen Nutzerrechten starten kann. Das ist bisher eine Forschungsdemo, kein bekannter Angriff. Und die KI-Tools selbst sind bei Pwn2Own schon vollwertige Ziele: In Berlin fielen im Mai 2026 unter anderem OpenAI Codex, Cursor und LM Studio, und in Irland wurde Codex im Oktober 2026 gleich am ersten Tag geknackt.

KI-Agenten im Kundenservice: Social Engineering, nur ohne Menschen

KI-Agenten sitzen nicht mehr nur auf dem Laptop von Entwicklern. Immer öfter beantworten sie Kunden-E-Mails, führen den Chat auf der Website und nehmen Anrufe an der Hotline entgegen. Inti De Ceukelaire, Forscher und einer der Gründer der Bug-Bounty-Plattform Intigriti, hat auf der DEF CON 34 (Bug Bounty Village) gezeigt, was daraus folgt. Nach eigener Aussage hat er an ein paar Wochenenden über 50.000 Dollar an Prämien gesammelt – ohne Scanner, nur indem er Bots geschrieben hat. Ein paar Techniken, die man kennen sollte:

• Per E-Mail als Kunde auftreten. Manche Bots erkennen den Kunden am sichtbaren Absender und nicht daran, was die E-Mail-Sicherheitsprüfungen tatsächlich verifiziert haben. Eine präparierte E-Mail genügt, und der Bot antwortet mit Daten aus einem fremden Konto – manchmal direkt an die Adresse des Angreifers, die in Kopie (CC) steht.
• Phishing von der offiziellen Adresse. Die Funktion „Schick mir das Gesprächsprotokoll“ erlaubte es, beliebigen Personen einen Text des Angreifers von der echten Support-Adresse zu schicken, der problemlos durch Spamfilter kommt.
• Diebstahl von Einmalcodes. Der Angreifer hinterlässt dem Bot eine „Anweisung“ und löst dann ein Zurücksetzen des Passworts aus. Der Bot liest den eingehenden Code und leitet ihn brav weiter. Ein ähnlicher Trick funktionierte beim KI-Assistenten, der in den Chrome-Browser eingebaut ist – Google hat die Meldung als „Won’t Fix“ markiert.
• Ein Inhalt für den Menschen, ein anderer für die KI. Versteckter Text im HTML, verschiedene Versionen derselben E-Mail (Text und HTML), eine gefälschte „frühere Zustimmung eines Support-Mitarbeiters“ in der zitierten Antwort. Der Mensch, der die Aktion des Bots freigibt, sieht eine harmlose E-Mail, und der Agent führt den Befehl aus. In einem der Beispiele endete das mit einer unberechtigten Erstattung von 4.200 Dollar.
• Kanalwechsel. Wenn der Chat Kunden gut verifiziert, ruft man einfach an. Die KI-Hotline vertraute der Rufnummer des Anrufers, die sich fälschen lässt, oder Sicherheitsfragen, deren Antworten sich erraten lassen.
• Vergiftete Wissensdatenbank. Der Bot holt seine Antworten von Firmenseiten und aus dem Community-Forum. Ein Forenbeitrag des Angreifers kann wie offizielles Firmenwissen indexiert werden – samt gefälschtem Rabattcode.

Die wichtigste These des Vortrags: Ein Mensch in der Schleife ist keine Absicherung, wenn er etwas anderes sieht als die Maschine. Das ist gutes altes Social Engineering gegen den Helpdesk, nur dass der Bot keinen schlechten Tag hat, nicht misstrauisch wird und jedem, der schreibt, in Sekunden antwortet. Wenn deine Firma so einen Agenten einführt, behandle ihn wie eine privilegierte Automatisierung: Trenne Kundeninhalte von Systemanweisungen, prüfe die Identität in einer angemeldeten Sitzung statt über das Feld „Von“, kontrolliere jeden Tool-Aufruf auf der Serverseite und lass den Bot keine Codes oder Daten an eine nicht verifizierte Adresse schicken.

Lektion Nr. 7: Ein KI-Agent ist ein neuer „Mitarbeiter“ mit vollen Rechten, der alles liest, was du ihm vorlegst – auch Befehle eines Angreifers, versteckt in einer Datei, einem Issue oder einer E-Mail. Und wie Binance gezeigt hat, ist ein firmeneigenes KI-Tool mit Zugriff auf viele Rechner auf einmal für einen Angreifer eine fertige Autobahn. Und es spielt keine Rolle, ob er auf Windows, Linux oder dem Mac sitzt. Behandle ihn wie einen neuen Mitarbeiter in der Probezeit: eigenes Konto oder Container, Tokens mit minimalen Rechten, MCP-Plugins nur aus vertrauenswürdigen Quellen, manuelle Bestätigung von Befehlen, die etwas verändern, und null „Ich vertraue“ für Repositories, die du nicht kennst – auch für die aus „Rekrutierungsaufgaben“. Und wenn dein Laptop plötzlich heiß wird – schau in die Aktivitätsanzeige, bevor es jemand anderes tut.

Urteil: Wer gewinnt welche Runde

Wenn man „Punkte“ zählt, gewinnt Linux drei Runden (tatsächlich angegriffene Lücken, Zero-Days, Patch-Tempo), macOS drei (wenigste CVEs, wenigste Malware, höchstes Bounty), Windows eine (Team). Nur ist dieses Ranking genau so viel wert wie meine drei Vorbehalte vom Anfang: Linux gewinnt, weil es nicht auf Schreibtischen steht, der Mac gewinnt, weil er gerade erst ins Visier gerät, und Windows verliert, weil es überall ist.

Welches System soll ich also wählen? Falsche Frage

Aus Pentester-Sicht ist die Wahrheit unbequemer als jedes Ranking: 2026 breche ich nicht über das Betriebssystem in Firmen ein, sondern über das, was die Firma daraus gemacht hat. Über ein Konto ohne MFA, über einen aus dem Internet erreichbaren Server mit einer Lücke von der KEV-Liste, die schon ein Jahr alt ist, über einen Laptop mit Windows 10, über den Mac des Chefs ohne EDR, weil „es für den Mac keine Viren gibt“. Oder über einen KI-Agenten, dem jemand die Schlüssel zu allem gegeben hat. Deshalb statt eines Rankings – vier kurze Listen:

1. Windows – deine Massenware und deine größte Angriffsfläche. Windows 10 abschalten oder ESU (erweiterten Support) kaufen, den Patch Tuesday in Tagen ausrollen, nicht in Wochen, die KEV-Liste als Priorität behandeln, EDR auf jedem Endpunkt, lokaler Admin deaktiviert. Langweilig? Langeweile rettet Unternehmen.
2. macOS – verwalte es genauso wie Windows: MDM, EDR, erzwungene Updates. Schule deine Leute zu „ClickFix“ (niemand Vernünftiges verlangt von dir, Befehle ins Terminal einzufügen, um eine Website zu „reparieren“). Ein Infostealer auf dem Mac des Chefs ist heute der billigste Weg in euer Microsoft 365.
3. Linux – das Kernel-Team patcht in Tagen, aber dein Server aktualisiert sich nicht von selbst. Kernel und Distribution auf einer unterstützten Version, ESXi-Hypervisoren vom Internet und vom Nutzernetz getrennt, eine Inventur dessen, was nach außen ragt. Wenige Angriffe heißt nicht null Angriffe – es sind Angriffe, die ins Herz treffen.
4. KI-Agent (auf allen dreien) – wenn deine Entwickler oder du selbst Claude Code, Codex oder Cursor nutzt, legt Regeln fest, bevor es jemand anderes für euch tut: eigene Umgebung, Tokens mit minimalen Rechten, eine Liste erlaubter MCP-Plugins, manuelle Bestätigung von Befehlen und niemals „Ich vertraue“ für ein unbekanntes Repository. Und wenn KI euren Kunden antwortet, testet sie so, wie ein Angreifer einen Helpdesk testen würde: gefälschte E-Mail, Anruf statt Chat, versteckter Befehl in einer Nachricht.

Und eine Sache gilt für alle: Prüfe, ob es funktioniert. Microsoft, Apple und Linux wissen von ihren Lücken, weil jemand aktiv danach sucht – Forscher für 2 Mio. US-Dollar, Project Zero, Pwn2Own. In deiner Größenordnung übernimmt diese Rolle ein Penetrationstest: ein kontrollierter Angriff, nach dem du eine Liste bekommst, was wirklich löchrig ist und nicht nur in der Theorie. Wenn du wissen willst, was das kostet, rechne es in 2 Minuten im Kalkulator aus.

Zusammenfassung ✔️

Windows hat die meisten tatsächlich angegriffenen Lücken und die meiste Malware, aber das größte Team und das berechenbarste Patchen. Linux hat auf dem Papier die meisten CVEs, in der Praxis die wenigsten, und patcht am schnellsten – vorausgesetzt, jemand installiert die Patches auch. macOS hat von allem am wenigsten, aber die am schnellsten wachsenden Bedrohungen und den Ruf, „sicher“ zu sein, der zu seiner größten Schwäche geworden ist. Und über allem ist ein neuer Mitspieler aufgetaucht – der KI-Agent, der auf jedem der drei Systeme so viel Macht hat, wie du ihm gibst. Keines davon ist von sich aus sicher. Jedes ist so sicher wie das Unternehmen, das es nutzt – und das ist eigentlich eine gute Nachricht, denn darauf hast du Einfluss.

Häufige Fragen (FAQ)

Welches Betriebssystem ist am sichersten: Windows, Linux oder macOS?

Es gibt keinen eindeutigen Sieger. 2025 hatte Linux die meisten CVEs (5.687), aber die wenigsten tatsächlich ausgenutzten Schwachstellen (7 neue Einträge im CISA KEV) und die kürzeste Patch-Zeit (25 Tage laut Project Zero). Windows hatte die meisten tatsächlich angegriffenen Lücken (39 KEV-Einträge, 25 Zero-Days) und rund 70 Mio. neue Malware-Samples pro Jahr. macOS hat die wenigsten Schwachstellen und die wenigste Malware, aber die am schnellsten wachsenden Bedrohungen (Backdoors +67 % im Jahr 2025). Über die Sicherheit entscheiden Konfiguration und Update-Tempo, nicht das System selbst.

Warum hat Linux so viele CVEs?

Seit Februar 2024 vergibt das Linux-Kernel-Projekt selbst CVE-Nummern, und zwar sehr großzügig: Jeder Fix, der Folgen für die Sicherheit haben könnte, bekommt eine. Daher rund 60 CVEs pro Woche im Jahr 2024 und fast 2.000 pro Kernel-Release im Jahr 2026. Microsoft und Apple vergeben CVEs nur für ausgewählte Bugs, und viele Fixes kommen ohne Nummer. Die CVE-Zahl misst also die Transparenz eines Projekts, nicht seine Löchrigkeit.

Gibt es Viren für den Mac?

Ja, und es werden immer mehr. Jamf hat 2025 über 26.000 macOS-Malware-Samples in seine Datenbank aufgenommen, Trojaner machen die Hälfte der Erkennungen aus, und Moonlock verzeichnete 67 % mehr neue Backdoors. Der häufigste Typ sind Infostealer (z. B. AtomicStealer), die Passwörter, Session-Cookies und Krypto-Wallets stehlen und über gefälschte Anzeigen und den „ClickFix“-Trick verbreitet werden.

Wie schnell patchen Microsoft, Apple und Linux Schwachstellen?

Laut der letzten Gesamtauswertung von Google Project Zero (Meldungen aus den Jahren 2019-2021) lieferte Linux einen Patch im Schnitt in 25 Tagen, Apple in 69 und Microsoft in 83. Linux veröffentlicht jede Woche einen Stable-Kernel, Microsoft patcht im Monatsrhythmus (Patch Tuesday, 1.139 CVEs im Jahr 2025), Apple unregelmäßig, aber gebündelt. Laut GTIG haben die Hersteller 2025 aktiv ausgenutzte Zero-Days im Schnitt in rund 15 Tagen gepatcht.

Wie viele Menschen arbeiten an der Sicherheit von Windows, macOS und Linux?

Microsoft spricht von umgerechnet 34.000 Ingenieursstellen im Rahmen der Secure Future Initiative und hat im Jahr 2025/26 20 Mio. US-Dollar Bug Bounty ausgezahlt. Apple veröffentlicht die Größe seines Teams nicht, hat aber seit 2020 35 Mio. US-Dollar an über 800 Forscher ausgezahlt und bietet bis zu 2 Mio. US-Dollar für eine einzige Lücke. Im Linux-Kernel vergibt ein Team aus 3-4 erfahrenen Entwicklern die CVE-Nummern, und das Sicherheitsteam ist eine Handvoll Subsystem-Maintainer, die als Privatpersonen agieren.

Ist Windows 10 nach dem Supportende noch sicher?

Nur, wenn es für den erweiterten Support (ESU) angemeldet ist. Der reguläre Support endete am 14. Oktober 2025, aber Privatnutzer können bis zum 12. Oktober 2027 kostenlos Sicherheitsupdates erhalten – Microsoft hat diese Frist im Juni 2026 verlängert. Voraussetzung: Anmeldung beim Programm (Microsoft-Konto und aktivierte Windows-Sicherung, Microsoft-Rewards-Punkte oder eine Gebühr von 30 USD). Unternehmen kaufen ESU separat. Ein Rechner ohne ESU bekommt seit einem Jahr keinerlei Patches, und jeder Fix für Windows 11 verrät Angreifern, wo sie nach Lücken suchen müssen. Im September 2026 lief Windows 10 immer noch auf rund 28 % der Windows-Rechner.

Sind KI-Agenten (Claude Code, Codex, Cursor) eine Gefahr für die Sicherheit des Rechners?

Sie können es sein, unabhängig vom System. Ein Agent arbeitet mit den Rechten des Nutzers, liest Dateien, führt Befehle aus und hat oft Zugriff auf Schlüssel für Cloud und Repositories. Beim Angriff „s1ngularity“ (August 2025) ließen infizierte Versionen des Nx-Pakets die installierten KI-Tools die Festplatte nach Secrets durchsuchen, was mit der Übernahme von 2.180 GitHub-Konten endete. Eine Gefahr sind auch bösartige MCP-Plugins und Prompt Injection, also Befehle eines Angreifers, die in Inhalten versteckt sind, die der Agent liest. Bewährte Praxis: eigene Umgebung, minimale Token-Rechte, Plugins nur aus vertrauenswürdigen Quellen und manuelle Bestätigung von Befehlen.

Quellen 📚

• Jerry Gamblin – 2025 CVE Data Review (48.185 CVEs; Linux 5.687, Microsoft 1.255, Apple 727; Kernel 3.649, Windows 10 623, macOS 362)
• Google Threat Intelligence Group – 2025 Zero-Days in Review (90 Zero-Days; Microsoft 25, Google 11, Apple 8)
• Cyble – CISA KEV 2025 (245 neue Einträge; Microsoft 39, Apple 9, Linux 7) sowie Daten des KEV-Katalogs (1.484 Einträge Dez. 2025, Microsoft 350); Safeguard – CISA KEV in Zahlen (1.748 Einträge, Stand 16. Okt. 2026)
• StatCounter – Marktanteil Desktop-Betriebssysteme, September 2026 und Anteil der Windows-Versionen (Windows 10: 27,83 %)
• AV-ATLAS / AV-TEST – Jahresbilanz neuer Malware-Samples pro System für 2022 (Veröffentlichung auf dem AV-ATLAS-Profil, Dez. 2022) sowie Malware-Statistiken von AV-TEST
• Elastic Security Labs – Global Threat Report 2023 und 2025
• Jamf – Security 360: 2026 Annual Trends Report (Mac); Moonlock Lab – Mid-2026 macOS Threat Report; Microsoft Security – Warnung vor Infostealern auf macOS (Feb. 2026)
• The Register – Huntress: Anteil der Hypervisoren an Ransomware-Verschlüsselungen 3 % → 25 % (Dez. 2025); CISA – Warnung zu CVE-2024-1086 (Okt. 2025); Check Point Research – Vergleich von Linux- und Windows-Ransomware
• Google Project Zero – A walk through Project Zero metrics (Linux 25 Tage, Apple 69, Microsoft 83)
• Przymus, Weiner, Rykaczewski, Kudrjavets – „Linux Kernel Recency Matters, CVE Severity Doesn’t, and History Fades“ (MSR 2026)
• LWN – The kernel becomes its own CNA; LWN – Kroah-Hartman: Linux kernel security work; Phoronix – CVEs pro Kernel-Release (Kernel Recipes 2026); LWN – Bericht über den Vortrag von Kroah-Hartman auf der Kernel Recipes 2026; The Register – 432 CVEs in zwei Tagen (Juli 2026)
• Microsoft – SFI Progress Report (Sept. 2024); SecurityWeek – Microsoft Bounty: 20 Mio. $ (2026)
• Apple Security Bounty – Update Okt. 2025 (2 Mio. $, 35 Mio. $ ausgezahlt)
• Security Affairs – Pwn2Own Berlin 2026, Tag 1 und 2; Zero Day Initiative – Pwn2Own Berlin 2026, Tag 3 und Zusammenfassung; Privacy Guides – Pwn2Own Ireland 2026
• Zero Day Initiative / Tenable – Zusammenfassungen der Patch Tuesdays 2025-2026; BleepingComputer – Patch Tuesday Oktober 2026; Apple – Security Releases (iOS 26.6.1)
• Help Net Security – Windows 10 ESU für Privatnutzer bis Okt. 2027 verlängert
• Macworld – XMRig-Miner auf dem Mac von Claude Code entdeckt (Okt. 2026); Let’s Data Science – Details und Vorbehalte
• The Hacker News – Binance: gefälschte Vorstellungsgespräche und Missbrauch eines KI-Tools (Nov. 2026); Hackread – Details und Stellungnahme von Richard Teng
• BleepingComputer – s1ngularity-Angriff auf Nx (2.180 GitHub-Konten)
• AuthZed – Chronik der MCP-Vorfälle; SecurityWeek – Studie von Adversa AI zum Ordner-Vertrauen bei KI-Agenten
• Intigriti – Hacking AI customer service agents (Inti De Ceukelaire, Sept. 2026); DEF CON 34, Bug Bounty Village – „Hacking Human-in-the-Loop systems“ (Aufzeichnung)

Egal, auf welchem System dein Unternehmen läuft, die Frage ist dieselbe: Hat schon jemand geprüft, wie ihr aus Sicht eines Angreifers ausseht? Ein Penetrationstest ist ein kontrollierter Angriff auf eure Systeme – Windows, Linux und Macs zusammen -, nach dem ihr eine konkrete Liste bekommt: was löchrig ist, wie sehr und was ihr zuerst schließen solltet. Kalkuliere den Test im Rechner oder schreib mir. 🔓