Was ist ein Exploit?

Kurz erklärt

Ein Exploit ist ein Programm, ein Code-Stück oder eine Methode, die eine Sicherheitslücke in Software oder Hardware gezielt ausnutzt, um unbefugt Zugriff zu erlangen oder Schaden anzurichten. Das englische Wort „to exploit“ bedeutet „ausnutzen“. Die Lücke selbst ist der Fehler, der Exploit ist das Werkzeug, mit dem dieser Fehler missbraucht wird.

Wie funktioniert ein Exploit?

Software wird von Menschen geschrieben, und Menschen machen Fehler. Manche dieser Fehler erlauben es, ein Programm zu Dingen zu bringen, die es eigentlich nicht tun sollte: fremden Code ausführen, Passwortabfragen umgehen oder Daten preisgeben. Ein Exploit ist genau darauf zugeschnitten.

Der typische Ablauf sieht so aus:

1. Eine Lücke wird bekannt: Ein Hersteller veröffentlicht ein Update und beschreibt, welche Schwachstelle damit geschlossen wird.
2. Der Exploit entsteht: Angreifer analysieren das Update und entwickeln oft innerhalb kurzer Zeit passenden Angriffscode.
3. Automatisierte Suche: Mit Scannern durchsuchen sie das Internet nach Systemen, die noch nicht aktualisiert wurden – etwa Websites, Router, Firewalls oder Fernzugänge.
4. Einbruch: Auf verwundbaren Systemen wird der Exploit ausgeführt, um Malware zu installieren, Daten zu stehlen oder sich dauerhaft einzunisten.

Wie schnell das gehen kann, unterschätzen viele: Zwischen der Veröffentlichung eines Updates und den ersten Angriffen liegen oft nur wenige Tage. Angreifer müssen Ihr Unternehmen dafür nicht kennen. Die Scanner prüfen schlicht jede erreichbare Adresse, ob sie verwundbar ist. Eine kleine Firmenwebsite ist für sie genauso ein Ziel wie die eines Konzerns.

Ist die Lücke dem Hersteller noch gar nicht bekannt und gibt es noch kein Update, spricht man von einer Zero-Day-Lücke. In der Praxis werden aber sehr viele Angriffe mit Exploits für längst bekannte Lücken durchgeführt, für die bereits Updates existieren. Das ist die gute Nachricht: Gegen diese Angriffe können Sie sich wirksam schützen.

Ein typisches Beispiel aus dem KMU-Alltag

Eine Physiotherapiepraxis betreibt eine WordPress-Website mit Online-Terminbuchung. Die Website wurde vor einigen Jahren von einer Agentur erstellt, seither kümmert sich niemand um Updates. Für das Buchungs-Plugin wird eine Sicherheitslücke veröffentlicht, die das Hochladen beliebiger Dateien erlaubt. Kurz darauf finden automatisierte Scanner die Website. Über den Exploit wird eine Hintertür installiert, und die Seite verteilt fortan Schadsoftware an Besucherinnen und Besucher. Die Praxis merkt es erst, als Patientinnen und Patienten eine Browser-Warnung melden.

So schützen Sie Ihr Unternehmen

• Updates rasch einspielen: Ein strukturiertes Patch-Management ist der wirksamste Schutz gegen Exploits. Kritische Sicherheitsupdates sollten innerhalb weniger Tage installiert sein.
• Übersicht behalten: Führen Sie eine Liste aller Geräte, Programme, Websites und Plugins. Was niemand kennt, wird auch nicht aktualisiert.
• Unnötiges entfernen: Nicht genutzte Plugins, Programme und Benutzerkonten löschen. Jede Komponente ist eine potenzielle Angriffsfläche.
• Nicht mehr unterstützte Software ersetzen: Für Produkte am Ende ihres Lebenszyklus gibt es keine Sicherheitsupdates mehr.
• Fernzugänge absichern: Dienste wie Fernwartung nicht offen ins Internet stellen, sondern über VPN und Zwei-Faktor-Authentifizierung schützen.
• Warnungen verfolgen: CERT.at veröffentlicht Warnungen zu kritischen Sicherheitslücken, die besonders dringend geschlossen werden sollten.

Was tun im Ernstfall?

Wenn Sie vermuten, dass ein System über eine Lücke angegriffen wurde, reicht das nachträgliche Update allein nicht aus, denn Angreifer haben sich möglicherweise bereits eingenistet. Lassen Sie das betroffene System von Fachleuten prüfen, bereinigen oder neu aufsetzen und ändern Sie alle zugehörigen Passwörter. Klären Sie außerdem, ob Daten abgeflossen sind oder ob Angreifer von dort aus weitere Geräte erreichen konnten. Anzeige können Sie bei der Polizei oder über die Cybercrime-Meldestelle des BMI (against-cybercrime@bmi.gv.at) erstatten. Sind personenbezogene Daten betroffen, beachten Sie die DSGVO-Meldefrist von 72 Stunden an die Datenschutzbehörde.

Xcubitor wird künftig ausstehende Core- und Plugin-Updates auf WordPress-Websites erkennen und Sie per WhatsApp darauf hinweisen, bevor Angreifer die Lücke ausnutzen.