Privilege Escalation

In jedem Computersystem hat nicht jeder Benutzer die gleichen Möglichkeiten. Ein normales Konto darf eigene Dateien öffnen und Programme starten. Ein Verwaltungskonto darf dagegen fast alles: Software installieren, andere Konten löschen, Schutzfunktionen abschalten. Privilege Escalation heißt, dass jemand sich unerlaubt von der ersten Stufe auf die zweite hocharbeitet. Der Angreifer bekommt also Befugnisse, die ihm nie zugeteilt wurden. Der deutsche Begriff dafür ist Rechteausweitung.

Vom kleinen Einbruch zur vollen Kontrolle

Fast kein Angriff beginnt direkt mit vollem Zugriff. Meist gelangt ein Angreifer erst an ein unbedeutendes Konto, etwa über ein gestohlenes Passwort oder eine manipulierte Webseite. Von dort aus ist der Schaden zunächst begrenzt. Erst die Rechteausweitung macht aus diesem kleinen Einbruch einen ernsten Vorfall.

Mit Verwaltungsrechten kann ein Angreifer alle Daten auf einem Server lesen, auch die anderer Nutzer. Er kann Protokolldateien löschen und damit seine Spuren verwischen. Und er kann sich dauerhaft einnisten, sodass ein Passwortwechsel ihn nicht mehr aussperrt. Genau deshalb gilt Privilege Escalation in der Sicherheitsforschung als besonders kritische Art von Schwachstelle.

Für Unternehmen ist das auch eine Frage von Geld und Haftung. Ein Datenleck kann Bußgelder nach europäischen Datenschutzregeln nach sich ziehen. Deshalb bezahlen große Anbieter für gemeldete Lücken dieser Art oft besonders hohe Belohnungen, teilweise sechsstellige Summen.

Typische Wege nach oben

Ein häufiger Weg sind Programmierfehler in Software, die mit hohen Rechten läuft. Betriebssysteme haben Bestandteile, die zwingend weitreichenden Zugriff brauchen, etwa zum Verwalten von Speicher oder Geräten. Schickt ein Angreifer solchen Bestandteilen unerwartete Eingaben, kann er sie zu Aktionen überreden, die nicht vorgesehen waren. Er führt dann eigenen Code mit den Rechten dieses Bestandteils aus.

Ein zweiter Weg sind schlicht falsch gesetzte Berechtigungen. Wenn eine Konfigurationsdatei versehentlich für alle beschreibbar ist, kann jeder Nutzer dort Befehle eintragen. Startet das System diese Datei später mit Verwaltungsrechten, werden die fremden Befehle mit ausgeführt. Ein Vergleich: Der Tresorraum ist gut gesichert, aber der Schlüssel liegt in der offenen Schublade daneben.

Fachleute unterscheiden zwei Richtungen. Vertikale Rechteausweitung führt nach oben, vom Nutzer zum Administrator. Horizontale Rechteausweitung bleibt auf derselben Stufe, greift aber auf fremde Konten zu — etwa wenn man in einem Onlineshop die Bestellnummer in der Adresszeile ändert und die Bestellung eines anderen Kunden sieht. Beides zählt zur selben Familie von Schwachstellen.

Sicherheitsupdates, Cloud und KI-Agenten

Wer die monatlichen Sicherheitsupdates von Windows, Android oder iOS liest, findet dort regelmäßig den Hinweis „Elevation of Privilege“. Das ist derselbe Sachverhalt unter anderem Namen. Solche Lücken werden oft als dringend eingestuft, weil sie in Kombination mit anderen Fehlern zur Komplettübernahme eines Geräts führen.

In der Cloud, also bei gemieteter Rechenleistung in fremden Rechenzentren, ist das Thema besonders sensibel. Dort teilen sich viele Kunden dieselbe Hardware. Gelingt einem Angreifer der Ausbruch aus seiner abgeschotteten Umgebung, könnte er theoretisch Nachbarsysteme erreichen. Anbieter investieren deshalb viel Aufwand in diese Trennung.

Neu diskutiert wird der Begriff bei KI-Assistenten, die selbstständig Aufgaben ausführen und dafür Zugriff auf Dateien, Mails oder Programme erhalten. Versteckte Anweisungen in einem Dokument können so ein System dazu bringen, seine Zugriffsrechte für fremde Zwecke zu nutzen. Die Gegenmaßnahme ist in allen Fällen dieselbe Grundregel: Jedes Konto und jedes Programm erhält nur die minimal nötigen Rechte.