Zero-Day-Exploit

Jedes Programm enthält Fehler. Manche dieser Fehler lassen sich missbrauchen, um in ein fremdes Gerät einzudringen oder Daten abzugreifen. Solche missbrauchbaren Fehler nennt man Sicherheitslücken. Normalerweise entdeckt der Hersteller die Lücke und verteilt ein Update, das sie schließt. Ein Zero-Day-Exploit ist der Sonderfall: Angreifer kennen die Lücke, der Hersteller aber noch nicht. Der Name kommt von der Zahl der Tage, die der Hersteller Zeit zum Reagieren hatte — null.

Warum es gegen Zero-Days keine Verteidigung gibt

Der übliche Rat gegen Angriffe lautet: Updates installieren. Bei einem Zero-Day hilft dieser Rat nicht. Es existiert kein Update, weil noch niemand beim Hersteller von dem Problem weiß. Selbst ein sorgfältig gepflegtes System ist in dieser Zeit angreifbar. Genau das macht solche Lücken so wertvoll.

Deshalb gibt es einen Markt dafür. Sicherheitsforscher, die eine Lücke finden, können sie beim Hersteller melden und eine Belohnung kassieren. Diese Programme heißen Bug-Bounty-Programme. Wer die Lücke stattdessen an spezialisierte Händler verkauft, bekommt oft deutlich mehr Geld. Für einen funktionierenden Angriff auf ein aktuelles Smartphone werden je nach Fall sechs- bis siebenstellige Summen gezahlt.

Käufer sind unter anderem Geheimdienste, Polizeibehörden und Firmen für Überwachungssoftware. Bekannt wurde das durch das Programm Pegasus, mit dem Handys von Journalisten und Aktivisten ausgespäht wurden. Zero-Days sind also nicht nur ein technisches Thema, sondern auch ein politisches.

Vom Fehler zum funktionierenden Angriff

Man muss zwei Dinge unterscheiden. Die Schwachstelle ist der Fehler im Programm. Der Exploit ist das Stück Code, das diesen Fehler tatsächlich ausnutzt. Eine Schwachstelle allein ist noch kein Angriff. Erst der Exploit macht daraus ein Werkzeug.

Ein klassisches Muster ist der Pufferüberlauf. Ein Programm reserviert Platz für eine bestimmte Menge Daten, etwa 100 Zeichen. Prüft es die Länge der Eingabe nicht, kann ein Angreifer 500 Zeichen schicken. Die überzähligen Daten landen dann in Speicherbereichen, in denen sie nichts zu suchen haben. Mit genug Geschick lässt sich das Programm so dazu bringen, fremde Befehle auszuführen.

Gefunden werden solche Fehler unter anderem durch Fuzzing. Dabei füttert ein Testprogramm die Software automatisch mit riesigen Mengen unsinniger Eingaben und schaut, wann sie abstürzt. Jeder Absturz ist ein Hinweis auf eine mögliche Lücke. Genau diese Suche lässt sich inzwischen mit KI-Modellen beschleunigen, die Quellcode nach verdächtigen Mustern durchlesen. Das nützt beiden Seiten: Verteidigern und Angreifern.

Zero-Days in den Nachrichten

Wenn Apple, Google oder Microsoft ein Update als « aktiv ausgenutzt » beschreiben, steckt meist ein Zero-Day dahinter. Solche Notfall-Updates erscheinen außerhalb des normalen Zeitplans. Ab dem Moment der Veröffentlichung ist die Lücke offiziell kein Zero-Day mehr, denn nun ist sie bekannt. Gefährlich bleibt sie trotzdem, weil viele Nutzer das Update erst Wochen später einspielen.

Das bekannteste Beispiel der Geschichte ist Stuxnet. Diese Schadsoftware nutzte um 2010 mehrere Zero-Days gleichzeitig und beschädigte Anlagen zur Uran-Anreicherung im Iran. Sie gilt als erste digitale Waffe mit physischer Wirkung. Für Firmen sind Zero-Days ein Kostenrisiko, das Anleger interessiert: Ein Angriff auf einen Cloud-Dienst kann tausende Kunden gleichzeitig treffen.

Ein verbreiteter Irrtum ist, dass Zero-Days den Durchschnittsnutzer bedrohen. Die allermeisten erfolgreichen Angriffe laufen über längst bekannte Lücken und über Passwörter, die per E-Mail erschlichen werden. Zero-Days sind zu teuer für Massenangriffe. Sie werden gezielt eingesetzt, gegen einzelne Personen oder gut geschützte Ziele.