Zero-Day-Lücke

Jedes größere Computerprogramm enthält Fehler. Manche dieser Fehler sind harmlos, andere erlauben Fremden, sich unbefugt Zugang zu einem Gerät zu verschaffen. Solche gefährlichen Fehler nennt man Sicherheitslücken. Normalerweise findet der Hersteller sie selbst und schließt sie mit einem Update. Eine Zero-Day-Lücke ist der umgekehrte Fall: Jemand anderes hat den Fehler zuerst entdeckt und schweigt darüber. Der Name kommt daher, dass dem Hersteller null Tage bleiben, um zu reagieren, denn er weiß noch gar nichts von dem Problem.

Warum ein Vorsprung von Tagen so viel wert ist

Der entscheidende Punkt ist die Asymmetrie des Wissens. Wer eine Zero-Day-Lücke kennt, kann sie nutzen, während alle anderen im Dunkeln sind. Es gibt kein Update, das man einspielen könnte, und auch kein Virenschutzprogramm kennt das Angriffsmuster. Selbst ein vorsichtiger Nutzer, der jede Software aktuell hält, ist in dieser Zeit angreifbar. Genau das macht diese Lücken so wertvoll.

Deshalb existiert ein regelrechter Markt dafür. Manche Firmen kaufen Zero-Days für sechsstellige Summen und verkaufen sie an Geheimdienste oder Polizeibehörden weiter. Andere Unternehmen zahlen Prämien an Forscher, die Lücken melden statt verkaufen. Solche Programme heißen Bug-Bounty-Programme, also Kopfgeld auf Fehler. Google und Apple haben dafür in einzelnen Jahren zweistellige Millionenbeträge ausgegeben.

Zero-Days werden selten für Massenangriffe eingesetzt. Sie sind zu teuer und verbrennen sich beim Einsatz, weil sie dabei auffallen können. Typisch sind gezielte Angriffe auf einzelne Personen: Journalisten, Politiker, Managerinnen großer Konzerne. Bekannt wurde das durch die Spähsoftware Pegasus, die sich über solche Lücken unbemerkt auf Smartphones installierte.

Vom Fehler im Code zum fertigen Angriffswerkzeug

Am Anfang steht ein Fehler im Programmcode. Ein häufiger Typ ist der Pufferüberlauf: Ein Programm reserviert Platz für eine bestimmte Datenmenge, prüft aber nicht, ob die eingehenden Daten wirklich hineinpassen. Schickt ein Angreifer mehr, landet der Rest in einem Speicherbereich, in dem er nichts zu suchen hat. Im schlimmsten Fall werden diese Daten als Befehle ausgeführt. Der Angreifer bestimmt dann, was das Programm tut.

Aus dem Fehler allein wird noch kein Angriff. Nötig ist ein Programm, das den Fehler zuverlässig ausnutzt. Dieses Werkzeug heißt Exploit, wörtlich Ausnutzung. Ein guter Exploit funktioniert auf vielen Geräten und stürzt nicht ab, denn ein Absturz würde das Opfer warnen. Oft kombinieren Angreifer mehrere Lücken hintereinander, um von einem harmlosen Programm bis zu den tiefsten Rechten des Betriebssystems zu kommen.

Sobald der Hersteller von der Lücke erfährt, beginnt ein Wettlauf. Er entwickelt einen Patch, also eine Korrektur des Codes, und verteilt ihn als Update. Ab diesem Moment ist die Lücke offiziell kein Zero-Day mehr. Gefährlich bleibt sie trotzdem, weil viele Nutzer Updates wochenlang aufschieben. Angreifer analysieren die Patches sogar, um daraus zu lernen, wo die Lücke saß.

Wo Zero-Days in den Nachrichten auftauchen

In Meldungen erkennt man solche Fälle an Formulierungen wie « bereits aktiv ausgenutzt ». Wenn Apple ein Notfall-Update außerhalb des üblichen Rhythmus veröffentlicht, steckt meist ein Zero-Day dahinter. Jede offiziell erfasste Lücke bekommt eine Kennnummer, die mit CVE beginnt. Diese Nummern findet man in Sicherheitsmeldungen und in Fachartikeln.

Auch für Anleger ist das Thema relevant. Ein spektakulärer Angriff über eine Zero-Day-Lücke kann Produktion stoppen und Kundendaten offenlegen. Die Aktien von Sicherheitsfirmen reagieren auf solche Nachrichten oft in die andere Richtung, weil die Nachfrage nach Schutzsoftware steigt. Auch die künstliche Intelligenz spielt inzwischen eine Rolle: Programme durchsuchen Code automatisch nach verdächtigen Stellen. Das hilft Verteidigern und Angreifern gleichzeitig.

Ein verbreiteter Irrtum ist, Zero-Days seien das Hauptrisiko für Privatpersonen. Das stimmt nicht. Die meisten erfolgreichen Angriffe nutzen längst bekannte Lücken, für die es seit Monaten ein Update gibt, oder sie täuschen Menschen mit gefälschten E-Mails. Zeitnah aktualisieren und ein gesundes Misstrauen bringen also mehr als Angst vor unbekannten Lücken.