181×
Firefox-Exploits in einem einzigen autonomen Lauf, darunter 14 bisher unbekannte Zero-Days. Der Vorgänger fand 2 Exploits im vergleichbaren Lauf.
anthropic.com/glasswing
Anthropic Mythos · April 2026 · Bedrohungslage
Mythos hat die Regeln geändert.
Mythos hat die Regeln geändert.
Jetzt zählt, wie Sie Ihre Plattform härten.
Ein KI-Modell findet in Stunden, wofür Angreifer bisher Monate brauchten, und Wettbewerber-Modelle folgen innerhalb von 6 bis 18 Monaten. Die Antwort liegt nicht in noch einem Scanner, sondern in der Plattform selbst: kontinuierlich gehärtet, auditierbar automatisiert, dauerhaft standardisiert. Die Secure Platform Automation Suite (SPAS) von lennlay liefert diesen Zustand als Plattform-Fähigkeit, u.a. für Linux, Windows, JBoss EAP, IIS, Tomcat, Container und Kubernetes, weitere Plattform-Familien auf Anfrage.
Linux
Windows
JBoss EAP
IIS
Tomcat
Container
Kubernetes
01 · Bedrohungslage
Nicht „ein weiteres KI-Tool". Eine Verschiebung im Angriffsvektor.
Am 9. April 2026 hat Anthropic das autonome Sicherheitsforschungs-Tool Project Glasswing auf Basis des Modells Claude Mythos veröffentlicht. Die dokumentierten Ergebnisse verändern die Prämisse, unter der Plattform-Sicherheit bisher gedacht wurde.
90×
Steigerung gegenüber dem Vorgänger-Modell. Autonome Exploit-Entwicklung bis zum funktionierenden Proof-of-Concept ohne menschliche Nacharbeit.
anthropic.com/glasswing
6-18Mo.
Laut Gartner-Prognose erreichen Wettbewerber-Modelle (OpenAI, Google DeepMind, Meta, chinesische Labs) das Mythos-Fähigkeitsniveau innerhalb dieses Fensters.
Gartner · Competitive Forecast
14Tage
Frist nach dem KRITIS-Dachgesetz für die strukturierte Erstmeldung eines erheblichen Sicherheitsvorfalls. Vollständige Meldung binnen 72 Stunden.
KRITIS-Dachgesetz · NIS2UmsuCG
Was diese Lage für Ihre Plattform operativ bedeutet, fasst der Architektur-Brief zusammen
02 · Paradigmenwechsel
Vom Patch-Zyklus zur kontinuierlichen Plattform-Härtung.
Wenn KI-Modelle neue CVEs in Stunden statt Monaten liefern, reicht der Jahres-Pentest als alleiniger Nachweis in aller Regel nicht mehr aus. Härtung wird zur Laufzeit-Funktion der Plattform. Hier ist der Wechsel konkret.
Alte Welt · vor Mythos
Reaktiv, periodisch, manuell
- × Quartals- oder Jahres-Pentest als Compliance-Beleg
- × Härtung als Einzelprojekt, einmal umgesetzt, dann Drift
- × CVE-Reaktion im Ticket-System, MTTR in Wochen bis Monaten
- × Tools als primäre Außenkommunikation (Scanner, SIEM)
- × Audit-Nachweis durch Dokument-Sammlung & Spreadsheets
- × Plattform-Wissen in Köpfen weniger Spezialisten
Neue Welt · ab Mythos
Kontinuierlich, automatisiert, auditierbar
- ✓ Kontinuierliche Baseline-Enforcement & Drift Detection
- ✓ Härtung als Code, versionierbar, reproduzierbar, rollbarfähig
- ✓ CVE-Reaktion pipeline-getrieben, MTTR in Stunden
- ✓ Plattform-Perspektive, Module als Außenkommunikation
- ✓ Audit-Nachweis automatisiert aus der Plattform heraus
- ✓ Plattform-Wissen in Collections & Baselines, nicht in Köpfen
03 · SPAS-Referenz-Architektur
Sieben Kernfähigkeiten auf zwei Ebenen.
SPAS ist kein Tool, kein Scanner, kein SaaS. Es ist eine Referenz-Architektur mit Prinzipien-Framework, die Plattform-Härtung von einer Projektdisziplin in einen pipeline-getriebenen Betriebszustand überführt. Der Wert entsteht durch Reproduzierbarkeit, Evidenz und Governance.
Operativer Kern · 01-04
Der operative Kern bringt Policies kontinuierlich auf die Plattform: Policy → Golden Image → Deployment → Prüfung.
01
Sicherheitsstandards, Baselines und Policies
Maschinenlesbare Baselines aus CIS, STIG, BSI und kundenspezifischen Anforderungen, versioniert abgelegt als maschinenlesbare Baseline. Kunden-eigene Härtungsrichtlinien werden aufgenommen und eingebaut.
02
Golden Images und Plattform-Baselines
Geprüfte, reproduzierbare Systemabbilder als definierter Ausgangszustand für alle Deployments. Jedes Artefakt ist signiert, versioniert und hat eine nachvollziehbare Ableitung von Upstream bis Produktion.
03
Automatisierung, Deployment und Plattformintegration
Pipeline-getriebene Auslieferung in bestehende Infrastruktur. Für Legacy-VMs: Ansible-Collections und CI/CD-Pipelines. Für Container und Kubernetes: ArgoCD, Flux oder vergleichbare GitOps-Tools.
04
Compliance-Prüfung und Reporting
Kontinuierliche Scans mit automatisch erzeugter Audit-Evidenz. Abweichung vom Soll-Zustand erzeugt ein Ticket und geht in den strukturierten Report ein. Der Audit-Nachweis entsteht im Betrieb, nicht zwei Wochen vor der Prüfung.
Governance · 05-07
Governance (05-07) macht den Wirkpfad auditierbar und steuerbar. Sie sind nur dann belastbar, wenn der Kern (01-04) kontinuierlich läuft.
05
Dokumentation, Nachvollziehbarkeit und Auditierbarkeit
Jede Änderung erzeugt einen Audit-Eintrag. Jede Ausnahme vom Soll-Zustand ist mit Begründung und Ablaufdatum hinterlegt. Der Audit-Report entsteht aus Plattform-Daten, nicht aus einer Excel-Sammlung.
06
Lifecycle- und Update-Management
Support-Enden, Versionen, CVE-Status und Migrationspfade sind Attribute am Asset, nicht Wissen in Köpfen. Das End-of-Support-Datum steht im Dashboard, die Migrationspipeline ist sichtbar.
07
Drift-Erkennung und Enforcement
Drift wird erkannt und gemeldet. Automatisches Enforcement nach Risikoprofil: für Container-Cluster direkt einsetzbar, für geschäftskritische Middleware kontrollierter Neustart im Change-Fenster.
04 · JBoss im Fokus
Der erste Einsatz: Secure JBoss EAP Platform Automation.
JBoss EAP trägt in vielen DACH-Enterprises die geschäftskritischen Fachverfahren, und steht gleichzeitig unter Lifecycle-, Compliance- und Support-Druck. Exakt dort entfaltet Plattform-Automatisierung den höchsten Hebel: audit-fähige Baselines, wiederverwendbare Collections, kontinuierliche Härtung.
lennlay-Policy
Baselines out-of-the-box
Ansible
lennlay.jboss Collection
< 4h
MTTR-Ziel für kritische CVEs
NIS2
audit-fähig aus der Plattform
05 · Produktarchitektur
Plattform-Familien & Module im SPAS-Portfolio.
Die Suite deckt Plattformfamilien ab, die in regulierten Umgebungen typisch sind. Module sind eigenständig einsetzbar und bauen auf gemeinsamen Kernfähigkeiten auf.
Empfohlen
Middleware
Secure JBoss EAP Platform Automation
Audit-fähige Baselines, Ansible-Collections, Lifecycle-Management für geschäftskritische Middleware.
Middleware
Secure Tomcat Platform Automation
Gehärtete Tomcat-Baselines für Web-Frontends und Applikationsserver in Bestandsarchitekturen.
Betriebssystem
Secure Linux Platform Automation
CIS/STIG-konforme RHEL-, SLES- und Debian-Baselines mit kontinuierlichem Enforcement.
Betriebssystem
Secure Windows Platform Automation
Windows-Server-Härtung mit DSC/Ansible-Integration und auditfähigem Compliance-Reporting.
Web-Plattformen
Secure IIS Platform Automation
IIS-Härtung für klassische .NET-Stacks, Lifecycle-Management inklusive.
Container
Secure Container Platform Automation
Image-Baselines, Runtime-Enforcement, SBOM-Integration für Docker- und Podman-basierte Umgebungen.
Orchestrierung
Secure Kubernetes Platform Automation
Cluster-Baselines, Policy-as-Code, Drift Detection, für On-Prem und Cloud-K8s gleichermaßen.
Pipeline
Perspektivisch
OpenShift · NGINX · Apache · Java Runtime
Weitere Plattform-Module sind in Vorbereitung und folgen dem gleichen Prinzipien-Framework.
06 · Einstiegspfad
Vom Plattform-Check zum Produktiv-Modul.
Kostenloser Plattform-Check, zweitägiger Onboarding-Workshop, dann modularer Einstieg. Laufzeiten variieren mit Legacy-Tiefe, Plattform-Breite und Freigabeprozessen; die skizzierten Wochen sind ein belastbarer Orientierungsrahmen.
0
Schritt 0
Plattform-Check
15-30 Min. Online. Plattform-Landschaft, Compliance-Druck und SPAS-Fit einschätzen. Kostenlos, kein Pitch.
—
Pre-Stage · 2 Tage
Onboarding-Workshop
2 lennlay-Experten. Assessment Plattform-Landschaft, Arbeitsweise, Automatisierungsreife. Ergebnis: belastbarer Einstiegsvorschlag.
1
Woche 1
Scoping & Baseline-Auswahl
Plattform-Inventar schärfen, Compliance-Ziele fixieren, gemeinsamer Zielzustand.
2
Woche 2
Modul-Anpassung
Baselines auf die Kundenumgebung zugeschnitten, Collections versioniert (sofern Ansible im Einsatz), Test-Stage aufgesetzt.
3–4
Woche 3-4
Rollout & Audit-Report
Produktiv-Rollout gegen definiertes Cluster-Set. Drift-Detection aktiv. Automatischer Compliance-Report.
07 · Häufige Fragen
Was Plattform-Verantwortliche jetzt fragen.
Ist das nicht einfach „ein weiteres Security-Tool" mit anderem Namen?
Nein. SPAS ist eine Plattform-Perspektive, kein Tool. Wir integrieren bestehende Security-Infrastruktur, Scanner, SIEM, Compliance-Plattformen, und liefern die operative Automatisierungsschicht, die diese Tools erst dauerhaft auditierbar und wirksam macht. Der Kundennutzen entsteht auf Plattform-Ebene, nicht auf Tool-Ebene.
Wir haben schon Ansible-Automatisierung, was ändert sich?
Ansible ist der Motor, nicht das Fahrzeug. SPAS liefert audit-fähige Collections, kuratierte Baselines (CIS, lennlay-Standards), integriertes Drift Detection und die organisatorische Prozesslogik. Ihre bestehende Ansible-Infrastruktur wird weiter genutzt, mit klarer Plattform-Semantik obendrauf.
Wie passt das zu NIS2UmsuCG und dem KRITIS-Dachgesetz?
NIS2UmsuCG ist seit Dezember 2025 in Kraft, das KRITIS-Dachgesetz wurde am 6. März 2026 vom Bundesrat beschlossen. Beide fordern kontinuierliche Schwachstellen-Überwachung, dokumentierte Vulnerability-Prozesse und Nachweise über Angriffserkennung, teilweise alle drei Jahre prüfpflichtig. Die Geschäftsleitung ist für die Umsetzung verantwortlich und kann bei Pflichtverletzungen persönlich haftbar gemacht werden; Bußgelder reichen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. SPAS-Module liefern die automatisierte Umsetzung inklusive Evidenz-Erzeugung.
Warum der Fokus auf JBoss EAP zuerst?
In vielen DACH-Enterprises trägt JBoss EAP geschäftskritische Fachverfahren. Lifecycle-Druck (Support-End-Daten), Compliance-Anforderungen und enge Kopplung an Kernapplikationen machen es zum Einsatzfeld mit dem höchsten Hebel. Weitere Plattform-Module folgen in klarer Roadmap, Linux, Windows, Container, Kubernetes.
Brauchen wir dafür Cloud-Infrastruktur?
Nein. SPAS ist so konzipiert, dass es on-prem, in Private Cloud und in Hybrid-Setups gleichermaßen funktioniert. Für hochregulierte Umgebungen ist das Pflicht, nicht Option.
Wie sieht ein realistischer Erstschritt aus?
Plattform-Check: 15 bis 30 Minuten Online-Gespräch, kein Pitch. Wir klären gemeinsam, welche Plattformen unter Druck stehen, wo der Compliance-Handlungsbedarf liegt und ob SPAS passt. Buchung direkt über den Button unten. Folgeschritt: zweitägiger Onboarding-Workshop mit zwei lennlay-Experten, vor Ort oder remote, pauschal 4.900 €. Kein Vertriebstheater, wir arbeiten auf Operations-Niveau.
Was ändert sich, wenn wir jetzt nichts tun?
NIS2UmsuCG gilt seit Dezember 2025 mit Nachweispflicht für kontinuierliche Schwachstellen-Überwachung. Das KRITIS-Dachgesetz ist seit März 2026 Bundesrecht. Organisationen, die im nächsten Prüfzyklus keinen dokumentierten, kontinuierlichen Prozess vorweisen, riskieren keine abstrakte Abmahnung, sondern einen Befund im Prüfbericht, der intern eskaliert wird. Parallel dazu verschiebt sich das Angreifer-Zeitfenster von Monaten auf Stunden. Der Architektur-Brief liefert den Referenzrahmen, um diesen Prozess strukturiert aufzusetzen, bevor der erste echte CVE-Lauf über Ihre Plattform läuft.
Nächster Schritt
Architektur-Brief: Plattform-Härtung in der Mythos-Ära.
Das Vorbereitungsfenster bis zu Mythos-Klasse-Modellen auf Angreiferseite beträgt 6 bis 18 Monate. Wer jetzt anfordert, beginnt das interne Assessment mit einem bearbeiteten Referenzrahmen, statt mit einem leeren Blatt.
13-seitiges PDF, geschrieben für CISOs, Plattform-Leads und IT-Governance. Keine Anmeldung zu Newsletter oder Marketing-Flows, nur der Brief.
- 01 Mythos hat die Regeln geändert: Bedrohungsmodell und Regulatorik S. 3-4
- 02 Sieben Kernfähigkeiten: Fundament-Flow und Governance S. 5-8
- 03 Compliance-Mapping: NIS2UmsuCG, KRITIS-Dachgesetz, BSI IT-Grundschutz S. 9-10
- 04 JBoss EAP: alle sieben Kernfähigkeiten im Einsatz S. 11-12
- 05 Einstiegspfad: Plattform-Check bis Produktiv-Modul S. 13
Antwort typisch innerhalb eines Werktags. Kein Folge-Anruf ohne Absprache. Der Brief geht ohne Marketing-Sequenz zu. Nur geschäftliche E-Mail-Adressen, DSGVO-konform verarbeitet.
Lieber direkt ins Gespräch? Beim Plattform-Check klären wir in 15 bis 30 Minuten, welche Plattformen unter Druck stehen, wo der Compliance-Handlungsbedarf liegt und ob SPAS passt. Kein Vertriebsgespräch, keine Agenda mit 40 Folien.
Plattform-Check vereinbaren