Eine Zero-Day-Schwachstelle ist eine Sicherheitslücke, die Angreifer ausnutzen, bevor der Hersteller davon weiß oder ein Patch verfügbar ist. Der Name leitet sich von der Anzahl der Tage ab, die dem Hersteller zur Behebung zur Verfügung stehen: null. Die Verteidiger haben weder eine Signatur noch einen Patch oder eine Warnung. Der Angreifer ist im Vorteil, bis die Schwachstelle entdeckt und behoben ist. Zero-Day-Schwachstellen sind wertvoll. Regierungen und kriminelle Gruppen zahlen Millionen dafür. Der Markt für Exploits ist real und lukrativ.

Zero-Day-Schwachstellen sind im Vergleich zu bekannten Sicherheitslücken selten. Die meisten Angriffe nutzen Schwachstellen aus, die bereits vor Monaten oder Jahren behoben wurden. Der Patch war verfügbar, wurde aber nicht installiert. Deshalb ist das Patchen wichtiger als die Abwehr von Zero-Day-Schwachstellen. Tritt eine Zero-Day-Schwachstelle auf, ist eine sofortige Reaktion erforderlich. Anbieter arbeiten rund um die Uhr an einer Lösung. Sicherheitsexperten ergreifen Maßnahmen zur Risikominderung, verstärken die Überwachung und achten auf Anzeichen einer Kompromittierung. Manche Zero-Day-Schwachstellen werden in gezielten Angriffen gegen bestimmte Opfer ausgenutzt, andere in groß angelegten Kampagnen. Stuxnet nutzte mehrere Zero-Day-Schwachstellen, um das iranische Atomprogramm zu sabotieren. Dies war eine staatlich organisierte Operation mit jahrelanger Entwicklung. Die meisten Zero-Day-Schwachstellen verlaufen weniger spektakulär. Sie werden unbemerkt gegen Ziele eingesetzt, die den Angriff nicht bemerken. Die beste Verteidigung ist mehrschichtig: Patchen, Segmentierung, Überwachung und Reaktion auf Sicherheitsvorfälle. Keine einzelne Maßnahme kann eine Zero-Day-Schwachstelle verhindern. Gemeinsam verschaffen sie Zeit, bis ein Patch verfügbar ist.

Zero-Day-Fakten

• Zum Zeitpunkt der Ausnutzung existiert kein Patch.
• Hochwert auf Ausbeutungsmärkten
• Selten im Vergleich zu bekannten Schwachstellenausnutzungen
• Wird sowohl bei gezielten als auch bei großflächigen Angriffen eingesetzt
• Schadensbegrenzung und Überwachung sind die vorläufige Verteidigung.

Eine Zero-Day-Schwachstelle ist ein Wettlauf. Der Hersteller beeilt sich, einen Patch zu entwickeln. Der Angreifer beeilt sich, die Schwachstelle auszunutzen. Der Verteidiger beeilt sich, sie zu entdecken.