Zero-Day-Discovery
Zero-Day-Discovery bezeichnet das Aufspüren einer Sicherheitslücke in einer Software, die dem Hersteller noch unbekannt ist und für die es deshalb keine Reparatur gibt. Der Name kommt daher, dass dem Hersteller null Tage bleiben, um zu reagieren, bevor die Lücke ausgenutzt werden kann.
Jedes größere Computerprogramm enthält Fehler. Manche dieser Fehler sind harmlos, andere lassen sich missbrauchen, um in ein fremdes System einzudringen. Solche gefährlichen Fehler nennt man Sicherheitslücken. Eine Zero-Day-Lücke ist eine Sicherheitslücke, von der die Firma, die das Programm gebaut hat, noch gar nichts weiß. Zero-Day-Discovery ist der Vorgang, bei dem jemand eine solche Lücke findet — sei es ein Forscher, ein Angreifer oder inzwischen auch ein Computerprogramm, das automatisch danach sucht. Der Name kommt daher, dass dem Hersteller null Tage Vorsprung bleiben: In dem Moment, in dem die Lücke bekannt wird, existiert noch keine Reparatur.
Was eine ungepatchte Lücke so gefährlich macht
Gegen die meisten Angriffe hilft ein simples Mittel: Updates installieren. Ein Update, das eine Lücke schließt, heißt Patch. Bei einer Zero-Day-Lücke funktioniert dieser Schutz aber nicht. Es gibt schlicht nichts zu installieren, weil der Hersteller das Problem noch nicht kennt. Wer die Lücke kennt, kann sie deshalb gegen praktisch jedes System nutzen, auf dem die Software läuft.
Das macht solche Funde wertvoll. Für eine ernsthafte Lücke in einem verbreiteten Handy-Betriebssystem zahlen spezialisierte Firmen Beträge im sechs- bis siebenstelligen Bereich. Käufer sind unter anderem Geheimdienste und Anbieter von Überwachungssoftware. Gleichzeitig zahlen Hersteller wie Google, Apple oder Microsoft Prämien an Forscher, die ihnen Lücken melden. Diese Programme heißen Bug Bounty, also etwa „Kopfgeld auf Fehler“.
Die Folgen können weit über einzelne Nutzer hinausgehen. 2017 verbreitete sich die Schadsoftware WannaCry über eine Windows-Lücke und legte unter anderem Krankenhäuser in Großbritannien lahm. Solche Vorfälle zeigen, dass es hier nicht nur um gestohlene Passwörter geht, sondern um Infrastruktur, von der Menschen abhängen.
Vom Fuzzing zum KI-gestützten Codeaudit
Eine klassische Methode heißt Fuzzing. Dabei wirft ein Programm massenhaft zufällige oder absichtlich verunstaltete Eingaben in die zu prüfende Software. Man beobachtet dann, ob sie abstürzt. Ein Absturz ist oft der erste Hinweis darauf, dass das Programm mit Daten etwas tut, was es nicht tun sollte. Danach beginnt die eigentliche Arbeit: herauszufinden, ob sich der Fehler kontrolliert ausnutzen lässt.
Daneben gibt es die manuelle Analyse. Fachleute lesen den Quelltext oder zerlegen das fertige Programm in seine Maschinenbefehle. Das ist langsam und verlangt viel Erfahrung. Genau hier kommen inzwischen große Sprachmodelle ins Spiel, also KI-Systeme, die Text und Programmcode verarbeiten können. Sie lesen Code deutlich schneller als ein Mensch und erkennen verdächtige Muster.
2024 meldete Googles Projekt Big Sleep den ersten Fund, bei dem ein KI-System eine bis dahin unbekannte Lücke in einer weit verbreiteten Datenbank-Software entdeckte. Ein häufiger Irrtum ist, dass die KI dabei allein arbeitet. Tatsächlich prüft sie Verdachtsfälle vor, die ein Mensch anschließend bestätigen muss. Viele Meldungen sind Fehlalarme, sogenannte False Positives.
Zwischen Bug Bounty, Exploit-Handel und Regulierung
In den Nachrichten taucht der Begriff meist auf, wenn ein Hersteller ein Notfall-Update herausgibt. Formulierungen wie „wird bereits aktiv ausgenutzt“ bedeuten, dass Angreifer die Lücke schon vor dem Hersteller kannten. Für Nutzer ist die Reaktion dann sehr einfach: Update sofort installieren, nicht erst nächste Woche.
Wirtschaftlich interessant ist der Begriff wegen des Marktes dahinter. Firmen wie Zerodium haben jahrelang öffentliche Preislisten für Zero-Days veröffentlicht. Umstrittene Anbieter von Spähsoftware, etwa rund um das Programm Pegasus, kauften solche Lücken ein. Regierungen versuchen diesen Handel zunehmend zu regulieren, weil dieselbe Lücke gegen Journalisten wie gegen Kriminelle eingesetzt werden kann.
Abzugrenzen ist Zero-Day-Discovery vom Begriff Exploit. Die Discovery ist der Fund der Schwachstelle, der Exploit ist das fertige Werkzeug, das sie ausnutzt. Nicht jede gefundene Lücke lässt sich überhaupt zu einem funktionierenden Angriff ausbauen. Und sobald ein Patch existiert, ist die Lücke kein Zero-Day mehr — sie bleibt aber gefährlich für alle, die das Update nicht einspielen.