Was ist ein Zero-Day-Exploit?

Eine Zero-Day-Schwachstelle existiert in einer Version eines Betriebssystems, einer Anwendung oder eines Geräts von dem Moment an, in dem das Betriebssystem, die Anwendung oder das Gerät veröffentlicht wird. Aber der Software-Anbieter oder Hardware-Hersteller weiß davon nichts. Die Schwachstelle kann Tage, Monate oder Jahre lang unentdeckt bleiben, bis jemand sie findet.

Im besten Fall finden Sicherheitsforscher oder Softwareentwickler die Schwachstelle, bevor die Angreifer sie finden. Manchmal allerdings stoßen Hacker zuerst auf die Schwachstelle.

Unabhängig davon, wer die Schwachstelle entdeckt, wird sie oft kurz darauf öffentlich bekannt. In der Regel informieren Anbieter und Sicherheitsexperten ihre Kunden darüber, damit diese entsprechende Vorsichtsmaßnahmen treffen können. Oftmals tauschen sich auch Hacker untereinander über Schwachstellen aus. Forscher, die die Aktivitäten von Cyberkriminellen beobachten, finden so manchmal heraus, dass es eine Schwachstelle gibt. Manche Anbieter halten eine Schwachstelle so lange geheim, bis sie ein Software-Update oder eine andere Lösung entwickelt haben. Das kann jedoch ein Risiko darstellen – denn wenn Hacker die Schwachstelle finden, bevor Anbieter sie beheben, besteht die Gefahr, dass Unternehmen unvorbereitet getroffen werden.

Sobald eine neue Zero-Day-Schwachstelle bekannt wird, beginnt ein Wettlauf zwischen Sicherheitsexperten, die an einer Lösung arbeiten, und Hackern, die einen Zero-Day-Exploit zur Ausnutzung der Schwachstelle entwickeln, um in ein System einzudringen. Wenn Hacker einen funktionierenden Zero-Day-Exploit entwickelt haben, nutzen sie ihn, um einen Cyberangriff zu starten.

Hacker entwickeln Exploits oft schneller, als Sicherheitsteams Patches entwickeln können. Einer Schätzung zufolge (Link befindet sich außerhalb von ibm.com) sind Exploits in der Regel innerhalb von 14 Tagen nach dem Bekanntwerden einer Sicherheitslücke verfügbar. Sobald jedoch Zero-Day-Angriffe gestartet werden, folgen Patches oft schon nach wenigen Tagen. Das liegt daran, dass die Anbieter die Informationen aus den Angriffen für sich nutzen können, um die Schwachstelle zu finden, die behoben werden muss. Obwohl Zero-Day-Schwachstellen also durchaus gefährlich sein können, bleibt Hackern normalerweise nicht viel Zeit, um sie auszunutzen. 

Zero-Day-Angriffe gehören zu den am schwierigsten zu bekämpfenden Cyber-Bedrohungen. Hacker können Zero-Day-Schwachstellen ausnutzen, noch bevor ihre Opfer überhaupt etwas davon mitbekommen. So haben die Bedrohungsakteure die Möglichkeit, sich unbemerkt in Netzwerke einzuschleichen.

Und selbst wenn die Schwachstelle öffentlich bekannt wird, kann es eine Weile dauern, bis die Software-Anbieter einen Patch veröffentlichen, sodass Unternehmen in der Zeit zwischen Bekanntwerden und Patch-Veröffentlichung ungeschützt sind. 

Seit einigen Jahren werden Zero-Day-Schwachstellen von Hackern immer häufiger ausgenutzt. Ein Bericht von Mandiant aus dem Jahr 2022 zeigte, dass allein im Jahr 2021 mehr Zero-Day-Schwachstellen ausgenutzt wurden als in den Jahren 2018 bis 2020 zusammen (Link befindet sich außerhalb von ibm.com).

Die Zunahme von Zero-Day-Angriffen hängt wahrscheinlich damit zusammen, dass die Unternehmensnetzwerke immer komplexer werden. Unternehmen verlassen sich heutzutage auf eine Kombination aus Cloud- und lokalen Anwendungen, unternehmenseigenen und mitarbeitereigenen Geräten sowie Geräten aus dem Internet der Dinge (IoT) und der operativen Technologie (OT). All dies vergrößert die Angriffsfläche eines Unternehmens – und in jedem davon könnten Zero-Day-Schwachstellen lauern.

Da Zero-Day-Schwachstellen für Hacker so lukrative Möglichkeiten bieten, handeln Cyberkriminelle mittlerweile Zero-Day-Schwachstellen und Zero-Day-Exploits für horrende Summen auf dem Schwarzmarkt. Im Jahr 2020 verkauften Hacker beispielsweise Zoom-Zero-Days für bis zu 500.000 US-Dollar (Link befindet sich außerhalb von ibm.com). 

Auch staatliche Akteure sind dafür bekannt, dass sie nach Zero-Day-Schwachstellen suchen. Viele von ihnen entscheiden sich dafür, die gefundenen Zero-Day-Schwachstellen nicht zu veröffentlichen und stattdessen ihre eigenen geheimen Zero-Day-Exploits zu entwickeln, um sie gegen ihre Gegner einzusetzen. Dieses Vorgehen wird von vielen Anbietern und Sicherheitsforschern kritisiert, da es unwissende Unternehmen in Gefahr bringt. 

Sicherheitsteams sind bei Zero-Day-Schwachstellen oft im Nachteil. Da diese Schwachstellen unbekannt sind und es keine Patches dafür gibt, können Unternehmen sie im Rahmen ihres Cybersecurity-Risikomanagements oder bei der Behebung von Schwachstellen nicht berücksichtigen. 

Es gibt jedoch Schritte, die Unternehmen unternehmen können, um mehr Schwachstellen aufzudecken und die Auswirkungen von Zero-Day-Angriffen zu verringern.

Patch-Management: Sobald Anbieter von Zero-Day-Schwachstellen erfahren, bringen sie schnellstmöglich Sicherheits-Patches heraus. Doch viele Unternehmen versäumen es, diese Patches zügig zu installieren. Ein formelles Programm für das Patch-Management kann Sicherheitsteams helfen, den Überblick über diese wichtigen Patches zu behalten.

Schwachstellenmanagement: Gründliche Schwachstellenanalysen und Penetrationstests können Unternehmen dabei helfen, Zero-Day-Schwachstellen in ihren Systemen zu finden, bevor Hacker es tun. 

Angriffsflächenmanagement (Attack Surface Management, ASM): Mit ASM-Tools können Sicherheitsteams alle Assets in ihren Netzwerken identifizieren und sie auf Schwachstellen untersuchen. ASM-Tools bewerten das Netzwerk aus der Perspektive eines Hackers und konzentrieren sich darauf, wie Bedrohungsakteure wahrscheinlich Assets ausnutzen, um sich Zugang zu verschaffen. Da ASM-Tools Unternehmen helfen, ihre Netzwerke mit den Augen eines Angreifers zu sehen, können sie zur Aufdeckung von Zero-Day-Schwachstellen beitragen. 

Threat-Intelligence-Feeds: Sicherheitsforscher gehören oft zu den ersten, die Zero-Day-Schwachstellen melden. Unternehmen, die sich über externe Threat-Intelligence auf dem Laufenden halten, erfahren möglicherweise früher von neuen Zero-Day-Schwachstellen.

Anomaliebasierte Erkennungsmethoden: Zero-Day-Malware ist in der Lage, signaturbasierte Erkennungsmethoden zu überlisten. Tools, die mit Hilfe von maschinellem Lernen verdächtige Aktivitäten in Echtzeit erkennen, können jedoch häufig Zero-Day-Angriffe abfangen. Zu den gängigen anomaliebasierten Erkennungslösungen gehören User and Entity Behaviour Analytics (UEBA), Extended Detection and Response-Plattformen (XDR), Endpoint Detection and Response-Tools (EDR) sowie einige Intrusion Detection- und Intrusion Prevention-Systeme.

Zero-Trust-Architektur: Wenn ein Hacker eine Zero-Day-Schwachstelle ausnutzt, um in ein Netzwerk einzudringen, kann eine Zero-Trust-Architektur den Schaden begrenzen. Bei einer solchen Zero-Trust-Architektur kommen kontinuierliche Authentifizierung und das Prinzip des Zugriffs mit den geringsten Berechtigungen zum Einsatz. So lassen sich Lateralausbreitungen unterbinden, während böswilligen Akteuren der Zugriff auf sensible Ressourcen verwehrt wird.