Zero-Day

Jedes größere Programm enthält Fehler. Manche dieser Fehler sind gefährlich, weil sie einem Angreifer erlauben, Daten zu lesen oder fremde Geräte zu steuern. Normalerweise entdeckt der Hersteller solche Fehler selbst und verteilt eine Korrektur, ein sogenanntes Update. Ein Zero-Day ist der umgekehrte Fall: Ein Angreifer kennt den Fehler zuerst, der Hersteller weiß nichts davon. Der Name spielt darauf an, dass dem Hersteller null Tage bleiben, um zu reagieren. Solange die Lücke unbekannt ist, hilft auch das bravste Aktualisieren nicht, denn es gibt einfach nichts zu aktualisieren.

Warum eine unbekannte Lücke so wertvoll ist

Der übliche Schutz gegen Angriffe beruht auf Wissen. Virenscanner erkennen bekannte Schadprogramme, Firewalls blockieren bekannte Angriffsmuster, Updates schließen bekannte Fehler. Ein Zero-Day umgeht diese ganze Kette, weil er in keiner Liste steht. Genau das macht ihn für Angreifer so attraktiv.

Deshalb hat sich ein regelrechter Markt gebildet. Firmen kaufen unbekannte Lücken auf und verkaufen daraus gebaute Angriffswerkzeuge an Geheimdienste und Polizeibehörden. Für eine Lücke in einem weit verbreiteten Smartphone-System werden Summen im sechs- oder siebenstelligen Bereich gezahlt. Große Softwarehersteller zahlen ihrerseits Belohnungen an Forscher, die ihnen Fehler melden statt sie zu verkaufen. Diese Programme heißen Bug-Bounty-Programme, also Kopfgeld für Fehler.

Wichtig ist die Abgrenzung: Nicht jede Sicherheitslücke ist ein Zero-Day. Sobald der Hersteller die Lücke kennt und eine Korrektur bereitstellt, ist sie eine normale, bekannte Schwachstelle. Die meisten erfolgreichen Angriffe der Welt nutzen genau solche bekannten Lücken auf Geräten, die niemand aktualisiert hat. Zero-Days sind seltener, aber gegen sie ist der Einzelne fast wehrlos.

Vom Fehler im Code zum fertigen Angriff

Zuerst muss jemand die Lücke finden. Dazu untersucht man Programme systematisch, etwa indem man sie mit millionenfach zufällig veränderten Eingaben füttert und beobachtet, wann sie abstürzen. Ein Absturz ist ein Hinweis darauf, dass das Programm mit einer Eingabe etwas tut, das die Entwickler nicht vorgesehen haben. Genau dort setzt der Angreifer an.

Im zweiten Schritt entsteht daraus ein Exploit. Das ist ein Stück Code, das den Fehler gezielt auslöst und dabei eigene Befehle einschmuggelt. Ein klassisches Beispiel: Eine Bilddatei enthält absichtlich falsche Größenangaben. Das Programm, das sie öffnet, schreibt daraufhin Daten an eine Stelle im Speicher, an die es nie schreiben sollte. Dort liegen dann Anweisungen des Angreifers, und das Gerät führt sie aus.

Der letzte Schritt ist die Verbreitung. Zero-Days werden oft sehr sparsam eingesetzt, gegen einzelne, wichtige Ziele. Der Grund ist wirtschaftlich: Jeder Einsatz erhöht die Gefahr, dass jemand den Angriff bemerkt und der Hersteller ein Update herausgibt. Danach ist die teuer erkaufte Lücke wertlos. Wird sie öffentlich bekannt, beginnt ein Wettlauf zwischen dem Update des Herstellers und Angreifern, die die Lücke nun breit ausnutzen.

Zero-Days in Nachrichten und auf dem eigenen Handy

Wenn ein Hersteller ein Sicherheitsupdate außerhalb des normalen Rhythmus veröffentlicht und dazu schreibt, der Fehler werde bereits aktiv ausgenutzt, dann war es ein Zero-Day. Solche Meldungen betreffen regelmäßig Browser, Smartphone-Betriebssysteme und Bürosoftware. Bekannt geworden sind Spähprogramme, die sich über eine einzige Nachricht auf einem Telefon einnisten konnten, ohne dass der Besitzer irgendetwas anklicken musste.

Auch für Anleger und Firmen ist das Thema relevant. Ein groß angelegter Angriff über eine unbekannte Lücke in einer Unternehmenssoftware kann tausende Kunden gleichzeitig treffen und Produktionen stilllegen. Entsprechend reagieren Aktienkurse von Sicherheitsfirmen und betroffenen Anbietern auf solche Nachrichten.

Für Privatpersonen bleibt die praktische Konsequenz erstaunlich einfach. Updates sollte man sofort installieren, denn genau sie schließen die Lücke in dem Moment, in dem sie nicht mehr unbekannt ist. Wer Software wochenlang veraltet lässt, ist nicht durch Zero-Days gefährdet, sondern durch längst behobene Fehler. Künstliche Intelligenz spielt inzwischen auf beiden Seiten mit: Sprachmodelle helfen Forschern, Code auf Fehler zu durchsuchen, und erleichtern es Angreifern, aus einem gefundenen Fehler schnell einen funktionierenden Angriff zu bauen.