Eine Schwachstelle ist eine Sicherheitslücke, die ausgenutzt werden kann. Sie kann ein Softwarefehler, eine Fehlkonfiguration, ein Designfehler oder eine menschliche Gewohnheit sein. Die Common Vulnerabilities and Exposures (CVE) Datenbank erfasst bekannte Softwarefehler mit eindeutigen Kennungen. CVE-2021-44228, bekannt als Log4Shell, war eine Schwachstelle in einer weit verbreiteten Logging-Bibliothek. Sie ermöglichte die Ausführung von Schadcode auf Millionen von Servern. Angreifer nutzten sie innerhalb weniger Stunden nach Bekanntwerden aus. Patches wurden schnell bereitgestellt. Viele Systeme blieben monatelang ungepatcht.

Nicht alle Schwachstellen sind Softwarefehler. Ein Server mit Standardanmeldedaten ist angreifbar. Ein öffentlich zugänglicher Cloud-Speicher ist angreifbar. Ein Mitarbeiter, der Passwörter wiederverwendet, ist angreifbar. Ein unsegmentiertes Netzwerk ist angreifbar. Die Definition ist bewusst weit gefasst, da die Angriffsfläche groß ist. Schwachstellen werden mithilfe des Common Vulnerability Scoring System (CVSS) bewertet. CVSS stuft den Schweregrad anhand der Ausnutzbarkeit und der Auswirkungen auf einer Skala von 0 bis 10 ein. 10 bedeutet kritisch, 3 gering. Die Bewertung hilft bei der Priorisierung von Patches. Sie ist jedoch nur ein Teilaspekt. Eine kritische Schwachstelle in einem isolierten System ist weniger relevant als eine mittelschwere Schwachstelle auf einem Server mit Internetanbindung. Der Kontext bestimmt die Priorität. Die Schwachstelle selbst ist nur die halbe Miete. Die andere Hälfte ist die Frage, ob sie ausgenutzt werden kann.

Schwachstellenquellen

• Softwarefehler – Programmierfehler, die Ausnutzung ermöglichen.
• Fehlkonfigurationen – Einstellungen, die die Sicherheit schwächen
• Konstruktionsfehler – architektonische Schwächen
• Menschliche Faktoren – schwache Passwörter, schlechte Gewohnheiten
• Lieferkette – Schwachstellen in Komponenten von Drittanbietern

Eine Schwachstelle ist wie eine unverschlossene Tür. Eine Bedrohung ist, wenn jemand versucht, die Klinke zu öffnen. Das Risiko besteht darin, was passiert, wenn die Person eindringt.