Zero-Day-Lücke: Bedeutung, Beispiele und Schutz für Unternehmen

Was bedeutet Zero Day?

„Zero Day“ heißt „Tag null“. Gezählt wird ab dem Tag, an dem der Hersteller von der Lücke erfährt. Nutzen Angreifer sie schon vorher aus, hatte der Hersteller null Tage Zeit, sie zu schließen.

Jede Software hat Fehler. Die meisten fallen nie auf oder werden gefunden und still behoben. Gefährlich wird ein Fehler, wenn ihn zuerst jemand mit bösen Absichten entdeckt. Dann gibt es einen Angriff, aber keine Abwehr in Form eines Updates.

Ein einfaches Bild: Ein Einbrecher findet heraus, dass sich ein bestimmtes Türschloss mit einem Trick öffnen lässt. Der Hersteller weiß davon nichts. Bis er ein neues Schloss liefert, ist jede Tür mit diesem Modell offen.

Lücke, Exploit und Angriff

Rund um Zero Days fallen mehrere Begriffe, die oft vermischt werden:

• Zero-Day-Lücke: der Fehler selbst, zum Beispiel eine fehlende Prüfung von Eingaben.
• Zero-Day-Exploit: der Code, der diesen Fehler gezielt ausnutzt. Mehr dazu unter Zero-Day-Exploit und Exploit.
• Zero-Day-Angriff: der tatsächliche Einsatz des Exploits gegen ein Ziel.
• N-Day-Lücke: eine bereits bekannte Lücke, für die es meist schon einen Patch gibt. Sie bleibt gefährlich, solange Systeme nicht aktualisiert sind.

Vom Fund bis zum Patch

Jede Zero-Day-Lücke durchläuft ähnliche Phasen:

1. Der Fehler entsteht: Beim Programmieren schleicht sich eine Schwachstelle ein. Sie kann jahrelang unentdeckt bleiben.
2. Jemand findet ihn: Das kann ein Sicherheitsforscher sein, ein Teilnehmer eines Bug-Bounty-Programms, eine staatliche Stelle oder eine kriminelle Gruppe.
3. Ein Exploit entsteht: Angreifer entwickeln Code, der die Lücke zuverlässig ausnutzt. Solche Exploits werden auch gehandelt.
4. Die Lücke wird bekannt: Der Hersteller erfährt davon, entweder durch eine verantwortungsvolle Meldung (Responsible Disclosure) oder weil Angriffe auffallen.
5. Der Patch erscheint: Der Hersteller veröffentlicht ein Update. Oft gibt es vorher schon vorläufige Schutzmaßnahmen (Workarounds).
6. Unternehmen spielen ihn ein: Erst jetzt ist die Lücke geschlossen. Bis dahin ist sie eine N-Day-Lücke, und Angreifer nutzen sie weiter aus.

Gerade die letzte Phase wird oft unterschätzt. Nach der Veröffentlichung eines Patches können Angreifer die Änderungen analysieren und schnell eigene Exploits bauen. Die Zeit zwischen Patch und Installation ist deshalb besonders kritisch. Ein geregeltes Patch-Management verkürzt sie.

Wer Zero-Day-Lücken sucht

• Sicherheitsforscher: Sie melden Lücken an den Hersteller und geben ihm Zeit für einen Patch. Googles Team Project Zero etwa veröffentlicht Details in der Regel 90 Tage nach der Meldung.
• Hersteller: Sie prüfen ihre eigene Software und zahlen Prämien für gemeldete Lücken.
• Kriminelle Gruppen: Sie nutzen Lücken für Ransomware und Datendiebstahl oder verkaufen sie weiter.
• Staatliche Akteure: Geheimdienste und staatlich gesteuerte Gruppen setzen Zero Days für Spionage und Sabotage ein, oft im Rahmen eines Advanced Persistent Threat.

Bekannte Beispiele

• Stuxnet (2010): Der Computerwurm sabotierte Uranzentrifugen im Iran. Er nutzte gleich mehrere bis dahin unbekannte Lücken in Windows.
• ProxyLogon (2021): Lücken in lokal betriebenen Microsoft-Exchange-Servern wurden ausgenutzt, bevor ein Patch verfügbar war. Weltweit waren zehntausende Server betroffen, auch viele in Deutschland.
• Log4Shell (2021): Eine Lücke in der weit verbreiteten Java-Bibliothek Log4j (CVE-2021-44228). Sie steckte in unzähligen Anwendungen, oft ohne dass die Betreiber davon wussten. Das BSI rief die höchste Warnstufe aus.
• MOVEit Transfer (2023): Die Ransomware-Gruppe Cl0p nutzte eine Lücke in der Dateiübertragungs-Software, um bei hunderten Organisationen Daten zu stehlen.

Die Beispiele zeigen ein Muster: Besonders begehrt sind Lücken in Systemen, die aus dem Internet erreichbar sind, etwa Mailserver, VPN-Zugänge, Firewalls und Dateiübertragungsdienste.

Warum Zero-Day-Lücken so gefährlich sind

• Kein Update: Die wichtigste Schutzmaßnahme, das Patchen, fällt aus.
• Keine Signaturen: Klassische Virenscanner erkennen Angriffe anhand bekannter Muster. Für einen neuen Exploit gibt es diese Muster noch nicht.
• Unbemerkte Angriffe: Oft fällt ein Angriff erst Wochen oder Monate später auf, wenn die Lücke bekannt wird.
• Massenhafte Ausnutzung: Sobald eine Lücke öffentlich ist, scannen Angreifer automatisiert das Internet nach verwundbaren Systemen.

So schützen sich Unternehmen

Gegen eine unbekannte Lücke hilft kein Update. Unternehmen können aber dafür sorgen, dass ein Angriff schwerer gelingt, früher auffällt und weniger Schaden anrichtet. Mehr dazu unter Zero-Day Protection.

Vorbeugen

• Inventar führen: Nur wer weiß, welche Software und Versionen im Einsatz sind, kann bei einer Warnung schnell reagieren.
• Angriffsfläche verkleinern: Nicht benötigte Dienste, Funktionen und Plugins abschalten. Verwaltungsoberflächen nicht direkt ins Internet stellen.
• Netzwerk segmentieren: Über Netzwerksegmentierung bleibt ein Angreifer auf einen kleinen Bereich beschränkt.
• Rechte begrenzen: Nach dem Least-Privilege-Prinzip erhält jedes Konto nur die Rechte, die es braucht.

Erkennen

• Verhalten statt Signaturen: Endpoint Detection and Response (EDR) erkennt verdächtige Abläufe, auch wenn der Exploit selbst unbekannt ist.
• Netzwerk überwachen: Ein Intrusion Detection System und zentrale Protokollauswertung zeigen ungewöhnliche Verbindungen.
• Warnungen verfolgen: Meldungen des BSI, der Hersteller und von Threat-Intelligence-Feeds zeigen früh, welche Lücken aktiv ausgenutzt werden.

Reagieren

• Workarounds sofort umsetzen: Bis der Patch kommt, helfen oft vorläufige Maßnahmen, etwa eine Funktion abschalten oder den Zugriff sperren.
• Virtuelles Patchen: Eine Web Application Firewall oder ein Intrusion Prevention System kann Angriffe auf eine bekannte Lücke blockieren, bevor das Update installiert ist.
• Schnell patchen: Kritische Updates für aus dem Internet erreichbare Systeme innerhalb von Stunden oder wenigen Tagen einspielen, nicht erst im nächsten Wartungsfenster.
• Notfallplan üben: Ein eingeübter Incident-Response-Plan legt fest, wer bei einem Angriff was tut.

Fazit

Eine Zero-Day-Lücke ist eine Schwachstelle, für die es noch kein Update gibt. Ganz verhindern lassen sich solche Lücken nicht. Unternehmen, die ihre Systeme kennen, die Angriffsfläche klein halten, auf verhaltensbasierte Erkennung setzen und schnell patchen, machen es Angreifern aber deutlich schwerer. Entscheidend ist oft nicht der Tag null, sondern wie schnell nach der Veröffentlichung reagiert wird.