Zero-Day: Schwachstellen, die niemand kennt — und wie man sich schützt

Eine Zero-Day-Schwachstelle (auch 0-Day) ist eine Sicherheitslücke, die dem Hersteller der betroffenen Software nicht bekannt ist – und für die es daher noch keinen Patch gibt. Der Name kommt aus der Chronologie: Tag null ist der Moment, in dem eine Lücke einem Angreifer bekannt wird. Der Hersteller hat dann null Tage Vorlauf, bevor der Schaden eintreten kann. Wird die Lücke aktiv ausgenutzt, spricht man von einem Zero-Day-Exploit.

Wie Angriffe mit Zero-Days ablaufen

Ein Angreifer findet eine Lücke, schreibt Angriffscode und nutzt ihn aus, bevor Hersteller oder Öffentlichkeit davon erfahren. Betroffene Systeme bleiben Wochen oder Monate verwundbar, bis Hersteller reagieren, einen Patch ausliefern und Nutzer ihn installieren. Zero-Days gelten deshalb als wertvoll: Sie werden auf speziellen Märkten und von Vermittlern teuer gehandelt, aber auch von Geheimdiensten und Kriminellen eingesetzt. Die Zuordnung von Schwachstellen übernimmt das öffentliche CVE-System (Common Vulnerabilities and Exposures), die Schwere wird häufig mit dem CVSS-Score bewertet.

Bekannte Beispiele

  • Log4Shell (CVE-2021-44228, Dezember 2021): Eine Lücke in der weit verbreiteten Java-Bibliothek Log4j erlaubte entfernte Codeausführung (CVSS-Score 10,0). Weil Log4j in unzähligen Anwendungen steckte, war die Angriffsfläche enorm.
  • WannaCry (Mai 2017): Die Ransomware nutzte den geleakten Exploit „EternalBlue“ gegen eine Windows-SMB-Sicherheitslücke. Microsoft hatte zwar bereits einen Patch veröffentlicht, Millionen Systeme waren aber ungepatcht – ein Lehrstück für Patch-Management.
  • Stuxnet (ab 2010): Der berühmte Cyber-Angriff auf iranische Industrieanlagen kombinierte gleich mehrere Windows-Zero-Days, um gezielt Steuerungssysteme zu sabotieren.

Wie schützt man sich?

Gegen eine unbekannte Lücke gibt es keinen perfekten Schutz, aber mehrere Ebenen reduzieren das Risiko deutlich:

  • Patches zügig einspielen – auch Sicherheitsupdates für Drittanbieter-Bibliotheken.
  • IDS/IPS-Systeme und Firewalls erkennen verdächtige Muster im Netzwerkverkehr.
  • Zero-Trust-Prinzip: keinem Gerät und keiner Verbindung automatisch vertrauen.
  • Angriffsfläche klein halten: unnötige Dienste und Ports abschalten, Anwendungen im Normalbetrieb mit minimalen Rechten laufen lassen.
  • Honeypots und Anomalie-Erkennung machen Angriffsversuche früh sichtbar.

Zero-Days sind nur eine von vielen Angriffsmethoden: Auch Malware, Ransomware, Phishing, Social Engineering, Brute-Force-Angriffe, DDoS-Angriffe, Man-in-the-Middle-Angriffe und Keylogger spielen in der Praxis eine Rolle – oft erst nachdem der Mensch am Rechner das schwächste Glied war.