Remote-Code-Ausführung
Remote-Code-Ausführung bedeutet, dass ein Angreifer aus der Ferne eigene Befehle auf einem fremden Computer ausführen kann. Sie gilt als schwerste Art von Sicherheitslücke, weil der Angreifer damit praktisch die Kontrolle über das Gerät übernimmt.
Jedes Programm auf einem Computer folgt Befehlen, die vorher jemand hineingeschrieben hat. Bei einer Remote-Code-Ausführung schafft es ein Fremder, dem Programm zusätzliche eigene Befehle unterzuschieben. « Remote » heißt dabei: Der Angreifer sitzt nicht vor dem Gerät, sondern erreicht es über ein Netzwerk, meist das Internet. Er braucht also weder Passwort noch physischen Zugang zum Rechner. Gelingt das, kann er im schlimmsten Fall Dateien lesen, löschen, Programme installieren oder das Gerät für weitere Angriffe missbrauchen. In Sicherheitsberichten wird diese Lücke oft mit dem englischen Kürzel RCE abgekürzt.
Warum RCE die gefährlichste Lückenklasse ist
Sicherheitslücken werden nach ihrem möglichen Schaden bewertet. Eine Lücke, die nur den Absturz eines Programms verursacht, ist ärgerlich, aber begrenzt. Eine Lücke, die einem Fremden die Ausführung eigener Befehle erlaubt, hebt jede andere Schutzmaßnahme aus den Angeln. Passwörter, Zugriffsrechte und Verschlüsselung nützen wenig, wenn der Angreifer bereits von innen agiert.
Deshalb bekommen solche Lücken in der gängigen Bewertungsskala CVSS fast immer Werte über 9 von 10 Punkten. Hersteller veröffentlichen dafür oft außerplanmäßige Notfall-Updates. Große Fälle schaffen es sogar in die allgemeinen Nachrichten. Ein bekanntes Beispiel ist Log4Shell aus dem Jahr 2021: Eine weit verbreitete Java-Programmbibliothek ließ sich durch eine einzige präparierte Textzeile dazu bringen, fremden Code nachzuladen. Millionen Server weltweit waren betroffen.
Für Unternehmen ist das auch ein finanzielles Thema. Erpressungssoftware, die Daten verschlüsselt und Lösegeld fordert, gelangt sehr häufig über eine solche Lücke ins Netzwerk. Wenn ein Anbieter eine RCE-Schwachstelle meldet, reagieren Börsen und Kunden deshalb oft deutlich nervöser als bei anderen Fehlern.
Vom harmlosen Eingabefeld zum fremden Befehl
Programme unterscheiden ständig zwischen Daten und Anweisungen. Dein Name in einem Formular ist Daten. Der Befehl « speichere diesen Namen » ist eine Anweisung. Eine Remote-Code-Ausführung entsteht, wenn ein Programm diese Grenze verwischt und Daten versehentlich als Anweisung behandelt. Ein Vergleich: Du diktierst jemandem einen Brief und sagst mittendrin « und jetzt schreib mir bitte 500 Euro gut ». Wenn der Zuhörer nicht merkt, dass das noch zum Diktat gehört, hast du eine fremde Handlung ausgelöst.
Technisch gibt es dafür mehrere typische Wege. Manche Programme geben Nutzereingaben ungeprüft an das Betriebssystem weiter, das sie dann als Kommando ausführt. Andere haben Fehler in der Speicherverwaltung: Der Angreifer schickt mehr Daten, als vorgesehen sind, überschreibt damit benachbarte Speicherbereiche und lenkt so den Programmablauf um. Auch das Einlesen fremder Dateien ist riskant, etwa bei Bildern, PDFs oder Schriftarten, deren Verarbeitung erstaunlich komplex ist.
Zur Abwehr setzt man auf mehrere Schichten. Eingaben werden streng geprüft, moderne Programmiersprachen verhindern viele Speicherfehler von vornherein. Zusätzlich laufen riskante Programmteile in einer Sandbox, also einem abgeschotteten Bereich mit minimalen Rechten. Selbst wenn ein Angriff dort gelingt, bleibt der Schaden eingegrenzt.
RCE in Updates, Schlagzeilen und KI-Werkzeugen
Am häufigsten begegnet dir das Thema, ohne dass du den Begriff liest: in Sicherheitsupdates. Wenn Apple, Microsoft oder Google ein dringendes Update mit dem Hinweis « wird bereits aktiv ausgenutzt » verteilen, steckt sehr oft eine Remote-Code-Ausführung dahinter. Betroffen sind Browser, Messenger und Betriebssysteme, weil diese Programme ständig Daten aus dem Internet verarbeiten.
Auch im KI-Bereich ist das Thema angekommen. Sprachmodelle können inzwischen Code schreiben und ausführen, Werkzeuge bedienen oder auf Dateien zugreifen. Wenn ein Angreifer in eine Webseite versteckte Anweisungen einbaut und das Modell diese liest, kann er es dazu bringen, schädliche Befehle auszuführen. Fachleute nennen das Prompt Injection, das Ergebnis ist im Kern dasselbe Problem: Daten werden als Anweisung missverstanden.
Für dich persönlich bedeutet das vor allem eins: Updates zeitnah installieren, gerade bei Browser und Handy. Ein verbreiteter Irrtum ist, dass man für einen solchen Angriff auf etwas klicken muss. Bei sogenannten Zero-Click-Angriffen reicht schon der Empfang einer Nachricht oder eines Bildes, weil das Gerät die Datei automatisch verarbeitet.