Zero-Click-Exploit

Normalerweise muss man bei einem digitalen Angriff einen Fehler machen: einen schädlichen Anhang öffnen, auf einen Link klicken oder eine gefälschte Webseite besuchen. Ein Zero-Click-Exploit umgeht das vollständig. Das Gerät wird angegriffen, ohne dass die betroffene Person überhaupt etwas tut. Eine Nachricht trifft ein — und schon ist das Gerät kompromittiert, das heißt: unter fremder Kontrolle. Die Person bemerkt dabei nichts, sieht nichts und muss nichts bestätigen. Der Begriff setzt sich zusammen aus „Zero Clicks“ (null Klicks) und „Exploit“, dem englischen Wort für das gezielte Ausnutzen einer Sicherheitslücke in Software.

Warum Zero-Click-Exploits so gefährlich sind

Bei den meisten Angriffen ist der Mensch das schwächste Glied. Sicherheitsschulungen, Skepsis gegenüber unbekannten Absendern, Antivirenprogramme — all das setzt voraus, dass der Angriff irgendwann durch eine menschliche Handlung läuft. Beim Zero-Click-Exploit gibt es diesen Moment nicht.

Selbst technisch versierte, vorsichtige Personen sind schutzlos, weil kein Verhalten ihnen hilft. Das macht diese Angriffe besonders wertvoll für staatliche Geheimdienste und gut finanzierte kriminelle Gruppen. Auf dem Schwarzmarkt erzielen Zero-Click-Exploits Preise im Millionenbereich — weil sie selten, schwer zu entwickeln und extrem wirksam sind. Das israelische Unternehmen NSO Group verlangte für seinen Pegasus-Spyware-Einsatz, der auf Zero-Click-Technik basierte, Berichten zufolge mehrere Millionen Dollar pro Lizenz.

Wie ein Zero-Click-Angriff technisch abläuft

Der Schlüssel liegt in der Art, wie Apps eingehende Daten verarbeiten. Wenn eine Nachricht auf dem Smartphone ankommt, läuft im Hintergrund automatisch Code ab: Die Nachrichten-App entpackt die Nachricht, liest ihren Inhalt, lädt Vorschaubilder, wertet Metadaten aus. All das passiert, bevor man überhaupt auf die Benachrichtigung tippt.

Genau hier setzt der Angriff an. Angreifer konstruieren eine Nachricht, die so beschaffen ist, dass sie beim Verarbeiten einen Fehler in der Software auslöst — einen sogenannten Buffer Overflow, bei dem mehr Daten in einen Speicherbereich geschrieben werden, als dort Platz ist. Durch diesen Fehler kann eigener Code eingeschleust und ausgeführt werden. Der Angreifer nutzt also keinen menschlichen Fehler, sondern einen Programmierfehler.

Besonders anfällig sind Apps, die komplexe Dateiformate verarbeiten: Bilder, Videos, Sprachnachrichten oder Kalendereinladungen. Je mehr Formate eine App automatisch liest, desto größer ist die Angriffsfläche. Apple iMessage, WhatsApp und ähnliche Dienste waren in der Vergangenheit alle betroffen — nicht weil sie schlecht programmiert sind, sondern weil die Aufgabe schlicht schwierig ist.

Zero-Click-Exploits in der Praxis und in den Nachrichten

Der bekannteste Fall ist die Pegasus-Spyware, entwickelt von der NSO Group. Seit mindestens 2019 nutzte Pegasus Zero-Click-Lücken in iMessage, um Smartphones von Journalisten, Menschenrechtsaktivisten und Politikern weltweit zu übernehmen. Das Citizen Lab, ein Forschungsinstitut der Universität Toronto, wies Infektionen in Dutzenden Ländern nach — ohne dass die Opfer je etwas angeklickt hatten.

Apple reagierte 2021 mit einem Notfall-Update, nachdem eine Zero-Click-Lücke entdeckt worden war, die komplett ohne Nutzerinteraktion funktionierte. Seitdem hat Apple eine Funktion namens Lockdown-Modus eingeführt, die die Angriffsfläche drastisch reduziert — allerdings auf Kosten von Komfort und Funktionsumfang. Dieser Kompromiss zeigt das grundlegende Problem: Vollständigen Schutz gibt es nicht, nur weniger Angriffsfläche.

In Nachrichten begegnet man dem Begriff vor allem im Kontext von Überwachungssoftware, Geheimdienstoperationen und Smartphone-Sicherheit. Wer den Begriff liest, sollte wissen: Es geht nicht um gewöhnliche Schadsoftware, sondern um Angriffe auf höchstem technischen Niveau — entwickelt von gut organisierten, oft staatlich finanzierten Gruppen.