Was ist eine Zero-Day-Lücke?

Kurz erklärt

Eine Zero-Day-Lücke ist eine Sicherheitslücke in Software, die Angreifern bekannt ist oder bereits ausgenutzt wird, bevor der Hersteller ein Update zur Behebung bereitstellen konnte. Der Begriff „Zero Day“ bedeutet, dass dem Hersteller null Tage Zeit blieben, um zu reagieren. Den passenden Angriffscode nennt man Zero-Day-Exploit.

Wie funktioniert ein Zero-Day-Angriff?

Normalerweise läuft es so: Eine Schwachstelle wird entdeckt, an den Hersteller gemeldet, ein Update wird entwickelt und veröffentlicht. Bei einer Zero-Day-Lücke ist diese Reihenfolge durchbrochen. Kriminelle oder staatliche Akteure finden die Lücke zuerst und halten sie geheim, um sie selbst zu nutzen oder zu verkaufen.

Solange niemand von der Lücke weiß, hilft auch das gewissenhafteste Updaten nicht. Sobald der Hersteller davon erfährt, beginnt ein Wettlauf: Er veröffentlicht eine Warnung, manchmal zunächst nur eine vorläufige Schutzmaßnahme, später ein Update. Gleichzeitig wird die Lücke allgemein bekannt, und weitere Angreifer beginnen, ungeschützte Systeme gezielt zu suchen.

Für kleine Unternehmen heißt das: Echte Zero-Day-Angriffe richten sich anfangs oft gegen besonders lohnende Ziele. Gefährlich wird es für KMU vor allem in der Phase danach, wenn das Update schon verfügbar, aber noch nicht installiert ist. Dann wird aus der Zero-Day-Lücke eine bekannte Lücke, die massenhaft und automatisiert ausgenutzt wird.

Ein typisches Beispiel aus dem KMU-Alltag

Eine Rechtsanwaltskanzlei nutzt für den Fernzugriff aus dem Homeoffice ein VPN-Gerät eines bekannten Herstellers. An einem Donnerstag wird bekannt, dass für dieses Gerät eine Zero-Day-Lücke aktiv ausgenutzt wird. Der Hersteller empfiehlt eine vorübergehende Konfigurationsänderung, das Update soll in einigen Tagen folgen. Die Kanzlei erfährt davon erst zwei Wochen später durch ihren IT-Dienstleister. In der Zwischenzeit wurde das Gerät bereits angegriffen und ein Zugang ins Büronetz eingerichtet. Jetzt müssen nicht nur das Update eingespielt, sondern auch alle Systeme auf Spuren untersucht werden.

Das Beispiel zeigt: Entscheidend war nicht die Lücke selbst, sondern die Zeit bis zur Reaktion. Hätte jemand die Warnung am selben Tag gesehen und die vorläufige Schutzmaßnahme umgesetzt, wäre der Angriff wahrscheinlich ins Leere gelaufen.

So schützen Sie Ihr Unternehmen

Eine Zero-Day-Lücke lässt sich nicht vorab schließen. Sie können aber die Wahrscheinlichkeit eines erfolgreichen Angriffs senken und die Folgen begrenzen:

• Schnell reagieren, wenn Updates erscheinen: Ein eingespieltes Patch-Management verkürzt das gefährliche Zeitfenster. Notfall-Updates für aktiv ausgenutzte Lücken sollten innerhalb von Stunden bis wenigen Tagen eingespielt werden.
• Warnungen abonnieren: CERT.at informiert über kritische Lücken. Klären Sie mit Ihrem IT-Dienstleister, wer solche Warnungen verfolgt und reagiert.
• Angriffsfläche verkleinern: Nur die Dienste aus dem Internet erreichbar machen, die wirklich nötig sind.
• Mehrere Schutzschichten: Zwei-Faktor-Authentifizierung, eingeschränkte Benutzerrechte und getrennte Netzbereiche sorgen dafür, dass ein Einbruch nicht sofort alles öffnet.
• Auffälligkeiten erkennen: Ungewöhnliche Anmeldungen oder Aktivitäten in Logs sind oft der erste Hinweis auf einen Angriff, auch wenn die Lücke selbst unbekannt war. Größere Unternehmen setzen dafür EDR-Lösungen ein.
• Funktionierende Datensicherung: Getrennt aufbewahrte Backups sind die letzte Verteidigungslinie, etwa gegen Ransomware.

Was tun im Ernstfall?

Wird eine Zero-Day-Lücke in einem von Ihnen genutzten Produkt bekannt, setzen Sie die vom Hersteller empfohlenen Sofortmaßnahmen um und spielen Sie das Update ein, sobald es verfügbar ist. Lassen Sie anschließend prüfen, ob das System bereits vorher kompromittiert wurde. Bei Hinweisen auf einen Angriff wenden Sie sich an Ihren IT-Dienstleister oder CERT.at und beachten Sie mögliche Meldepflichten nach DSGVO. Wurden Daten gestohlen oder Sie erpresst, erstatten Sie Anzeige, etwa über die Cybercrime-Meldestelle des BMI (against-cybercrime@bmi.gv.at).

Xcubitor wird künftig Server-Logs auf ungewöhnliche Muster überwachen, damit ein Angriff auffällt, auch wenn die ausgenutzte Lücke noch neu ist.