Zero-Day
Aktualisiert 29. August 20261 Min. Lesezeit
Ein Zero-Day ist eine Schwachstelle, die dem Hersteller noch unbekannt ist, es gibt also noch keinen Patch. Angreifer, die eine solche Lücke zuerst finden, können zuschlagen, bevor Verteidiger sich gezielt schützen können.
Ein Zero-Day ist eine Schwachstelle in Software oder Hardware, die dem Hersteller noch unbekannt ist, es existiert also noch kein Patch oder Update dafür. Der Name verweist auf die Zahl der Tage, die der Entwickler Zeit hatte, das Problem zu beheben: null.
Was bedeutet der Begriff
Drei verwandte Begriffe werden oft synonym verwendet. Eine Zero-Day-Schwachstelle ist der Fehler selbst. Ein Zero-Day-Exploit ist funktionierender Angriffscode, der den Fehler ausnutzt. Ein Zero-Day-Angriff ist der tatsächliche Einsatz dieses Exploits gegen ein Ziel. Sobald der Hersteller die Schwachstelle kennt und einen Patch veröffentlicht, spricht man nicht mehr von einem Zero-Day, ungepatchte Systeme bleiben danach allerdings oft noch monatelang angreifbar.
Zero-Days sind selten und wertvoll. Sie werden auf grauen und schwarzen Märkten gehandelt und von staatlichen Akteuren, Ransomware-Gruppen und Exploit-Brokern eingesetzt. Sicherheitsforscher, die einen Zero-Day entdecken, melden ihn idealerweise per Responsible Disclosure an den Hersteller, damit ein Patch bereitsteht, bevor die Details öffentlich werden.
Warum es wichtig ist
Gegen einen Zero-Day hilft Patchen per Definition nicht: Es gibt schlicht noch nichts zu installieren, und signaturbasierte Erkennung läuft ins Leere. Die Verteidigung konzentriert sich deshalb darauf, den Schaden eines erfolgreichen Angriffs zu begrenzen: Netzwerksegmentierung, minimale Rechte, Monitoring auf auffälliges Verhalten und ein eingespielter Incident-Response-Prozess. Wer nach Erscheinen eines Fixes schnell patcht, verkleinert zudem das Zeitfenster, in dem Kriminelle eine gerade bekannt gewordene Schwachstelle massenhaft ausnutzen.
Beispiel
Im Mai 2023 nutzte die Ransomware-Gruppe Cl0p eine bis dahin unbekannte SQL-Injection-Schwachstelle in MOVEit Transfer aus (CVE-2023-34362). Hunderte Organisationen verloren Daten, bevor Hersteller Progress einen Patch bereitstellen konnte, ein klassisches Zero-Day-Szenario: Der Angriff lief bereits, als die Welt zum ersten Mal von der Schwachstelle erfuhr.
Quellen
Häufige Fragen
Was ist der Unterschied zwischen einem Zero-Day und einer gewöhnlichen Schwachstelle?
Für eine gewöhnliche Schwachstelle existiert ein Patch oder Workaround; bei einem Zero-Day kennt der Hersteller die Lücke noch nicht, es gibt also nichts zu installieren.
Was ist ein Zero-Day-Exploit?
Funktionierender Angriffscode, der eine dem Hersteller noch unbekannte Schwachstelle ausnutzt. Sobald der Hersteller einen Patch veröffentlicht, ist es streng genommen kein Zero-Day mehr.
Wie schützen Sie sich vor Zero-Days?
Vollständig verhindern lässt sich das nicht. Begrenzen Sie den Schaden mit Netzwerksegmentierung, minimalen Rechten, Monitoring und einem eingespielten Incident-Response-Prozess, und patchen Sie schnell, sobald ein Fix erscheint.
Wie werden Zero-Days entdeckt?
Durch Sicherheitsforscher, Hersteller und leider auch Angreifer. Forscher melden sie idealerweise per Responsible Disclosure, Angreifer nutzen oder verkaufen sie.
Verwandte Artikel
- GlossarCVECVE steht für Common Vulnerabilities and Exposures: eindeutige IDs für bekannte Sicherheitslücken. Erfahren Sie, wie CVE-Nummern funktionieren.
- GlossarResponsible DisclosureResponsible Disclosure bedeutet, eine Schwachstelle vertraulich zu melden, damit die Organisation sie beheben kann, bevor Details öffentlich werden.
- SchwachstellenCWE-94A03:2021Remote Code Execution (RCE)Remote Code Execution (RCE) erklärt: wie Angreifer über ungefilterte Eingaben eigene Befehle oder Code auf Ihrem Server ausführen und wie Sie es verhindern.