Exploit und Zero-Day

Was sind Exploit und Zero-Day?

Ein Exploit ist eine Technik oder ein Softwarecode, mit der beziehungsweise dem eine Schwachstelle beziehungsweise Sicherheitslücke in Zielsoftware ausgenutzt wird; Zero-Day bezeichnet hier eine dem Hersteller noch unbekannte Schwachstelle, nicht automatisch einen bereits beobachteten Angriff.

Technische Einordnung: Der präzisere Begriff Zero-Day-Exploit beziehungsweise Zero-Day-Angriff bezeichnet die tatsächliche Ausnutzung einer zuvor unbekannten Hardware-, Firmware- oder Software-Schwachstelle. Das Wort „Zero-Day“ allein belegt deshalb weder einen Angriff noch eine beobachtete aktive Ausnutzung.

Wie unterscheiden sich Schwachstelle, Exploit und aktive Ausnutzung?

Die Schwachstelle ist die ausnutzbare Schwäche. Der Exploit ist eine Technik oder ein Softwarecode, mit der beziehungsweise dem diese Schwäche ausgenutzt wird. Aktive Ausnutzung bezeichnet dagegen einen tatsächlich beobachteten Angriffsvorgang. Ein Zero-Day-Exploit verbindet das Ausnutzungsmittel mit einer Schwachstelle, die zuvor unbekannt war.

Nicht jeder Exploit ist ein Zero-Day-Exploit. Ebenso wird nicht jede Zero-Day-Schwachstelle tatsächlich angegriffen.

Wann wird aus einer Zero-Day-Schwachstelle ein Zero-Day-Angriff?

Eine dem Hersteller noch unbekannte Schwachstelle kann bereits eine Zero-Day-Schwachstelle sein, ohne dass eine Ausnutzung festgestellt wurde. Ein Zero-Day-Angriff setzt zusätzlich voraus, dass diese zuvor unbekannte Hardware-, Firmware- oder Software-Schwachstelle tatsächlich angegriffen oder ausgenutzt wird.

Ein Proof of Concept kann zeigen, dass eine Schwachstelle unter bestimmten technischen Bedingungen ausnutzbar ist. Er belegt für sich allein jedoch keine Ausnutzung in freier Wildbahn.

Welche Voraussetzungen braucht ein Exploit?

Ein Exploit benötigt eine vorhandene Schwachstelle und die passenden technischen Ausnutzungsbedingungen. Dazu können etwa die betroffene Produktversion, die Konfiguration, die Erreichbarkeit einer Komponente oder weitere technische Vorbedingungen gehören. Eine veröffentlichte Schwachstelle ist daher nicht automatisch in jeder Umgebung praktisch ausnutzbar.

Die konkrete Prüfung muss feststellen, ob die betroffene Hardware-, Firmware- oder Softwarekomponente eingesetzt wird oder für die Organisation relevant ist und ob die Bedingungen des jeweiligen Exploits vorliegen.

Für wen sind Exploits und Zero-Days relevant?

Die Begriffe haben keinen eigenen allgemeinen persönlichen oder sachlichen Anwendungsbereich. Technisch relevant werden sie für eine Organisation, wenn diese eine betroffene Komponente einsetzt, von ihr abhängt oder sie erreichbar betreibt und die jeweiligen Ausnutzungsbedingungen erfüllt sind.

Entscheidend ist damit die konkrete Betroffenheit. Eine bloße Meldung über eine Schwachstelle genügt nicht, um jede Organisation oder jede Konfiguration als praktisch angreifbar einzuordnen.

Bedeutet Zero-Day, dass kein Patch existiert?

Fehlende Patch-Verfügbarkeit ist kein einheitlicher Kern aller autoritativen Definitionen. Maßgeblich für die hier verwendete Bezeichnung der Zero-Day-Schwachstelle ist, dass sie dem Hersteller noch unbekannt ist; beim Zero-Day-Angriff kommt ihre tatsächliche Ausnutzung hinzu.

Eine später veröffentlichte Abhilfe ändert nicht rückwirkend, dass die Schwachstelle zuvor Zero-Day-Status hatte. Vor einem Patch können außerdem geeignete Minderungsmaßnahmen verfügbar sein. Eine weiterhin ungepatchte Schwachstelle bleibt möglicherweise riskant, ist aber nicht allein deshalb dauerhaft ein Zero-Day.

Welche Bedeutung hat der KEV-Katalog?

Behördenpraxis: Der Known Exploited Vulnerabilities Catalog der CISA erfasst Schwachstellen, für die Evidenz einer Ausnutzung in freier Wildbahn besteht. Nicht jede Schwachstelle und nicht jede Zero-Day-Schwachstelle gehört deshalb in den Katalog.

CISA empfiehlt Organisationen, den KEV-Katalog als Eingabe für die Priorisierung ihrer Schwachstellenbehebung zu verwenden. Diese Empfehlung ist von Vorgaben für bestimmte US-Bundesbehörden zu unterscheiden und begründet für andere Organisationen nicht allein durch den Katalog eine allgemeine Pflicht.

Welche Fristen oder Schwellenwerte gelten?

Für Exploits und Zero-Days als technische Begriffe gibt es keine allgemeine Frist und keinen universellen numerischen Schwellenwert. Einzelne KEV-Einträge können eigene Fälligkeitsdaten enthalten; diese dürfen nicht als allgemeine Zero-Day-Frist verstanden werden.

Konkrete Termine können sich aus Verträgen, internen Regelwerken oder besonderen Vorgaben ergeben. Priorität und Reaktionszeit sind deshalb anhand der tatsächlichen Betroffenheit, der Ausnutzungsbedingungen, verfügbarer Hinweise auf aktive Ausnutzung und des organisationsbezogenen Risikos festzulegen.

Häufige Fehlannahmen

• „Zero-Day bedeutet automatisch aktiver Angriff.“ Nein. Eine Zero-Day-Schwachstelle benötigt noch keine festgestellte Ausnutzung; erst der Zero-Day-Angriff beziehungsweise -Exploit setzt die tatsächliche Ausnutzung voraus.
• „Jeder Exploit ist ein Zero-Day-Exploit.“ Nein. Auch bekannte Schwachstellen können weiterhin mit Exploits angegriffen werden.
• „Zero-Day bedeutet dauerhaft ungepatcht.“ Nein. Eine spätere Abhilfe ändert den früheren Status nicht rückwirkend, und vor einem Patch können Minderungsmaßnahmen bestehen.
• „Jede veröffentlichte Schwachstelle ist in jeder Umgebung ausnutzbar.“ Nein. Produktversion, Konfiguration, Erreichbarkeit und weitere technische Voraussetzungen bestimmen die konkrete Ausnutzbarkeit.
• „Jede Zero-Day-Schwachstelle steht im KEV-Katalog.“ Nein. Für eine KEV-Aufnahme verlangt CISA Evidenz einer Ausnutzung in freier Wildbahn.
• „Für Zero-Days gilt immer dieselbe Reaktionsfrist.“ Nein. Es gibt keine allgemeine technische Zero-Day-Frist; einzelne Termine und organisationsbezogene Vorgaben sind gesondert zu prüfen.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte sind Managementempfehlungen und keine aus den Begriffen selbst abgeleiteten Pflichten.

1. Ein dokumentiertes Schwachstellenmanagement mit klaren Verantwortlichkeiten und einem belastbaren Inventar der eingesetzten Hardware, Firmware, Software und relevanten Abhängigkeiten veranlassen.
2. Für jede relevante Meldung die konkrete Betroffenheit prüfen: Produkt und Version, Konfiguration, Erreichbarkeit sowie die technischen Voraussetzungen des Exploits dokumentieren.
3. Hinweise auf aktive Ausnutzung, insbesondere passende KEV-Einträge, in die interne risikobasierte Priorisierung einbeziehen, ohne „Zero-Day“ und „KEV“ gleichzusetzen.
4. Herstelleranweisungen, Updates und geeignete Minderungsmaßnahmen bewerten; betriebliche Auswirkungen berücksichtigen und die ausgewählte Maßnahme kontrolliert umsetzen.
5. Entscheidung, Verantwortliche, Risikobewertung, umgesetzte Maßnahme und verbleibendes Risiko nachvollziehbar festhalten und bei neuen Erkenntnissen erneut bewerten.

Für die Geschäftsleitung

Reichweite: Handlungsrelevant ist nicht das Schlagwort allein, sondern die konkrete technische Betroffenheit der eingesetzten oder benötigten Komponenten. Entscheidung: Beobachtete aktive Ausnutzung, passende KEV-Einträge, Herstellerinformationen und die eigenen Ausnutzungsbedingungen sollten die Priorisierung bestimmen; eine universelle Frist folgt aus den Begriffen nicht. Nachweis: Asset-Zuordnung, Bewertung, Verantwortlichkeit, gewählte Abhilfe oder Minderung und verbleibendes Risiko sollten dokumentiert und bei geänderter Erkenntnislage überprüft werden.

Quellen

Amtliche und autoritative Fundstellen:

• NIST SP 500-269: Glossar, Dokumentseite 7, Eintrag „Exploit“
• NIST Computer Security Resource Center: Vulnerability
• NIST Computer Security Resource Center: Zero Day Attack
• CISA: Guide to Vulnerability Reporting, Appendix I
• CISA: Known Exploited Vulnerabilities Catalog
• NIST SP 800-40 Rev. 4: Guide to Enterprise Patch Management Planning
• CISA Alert vom 17. April 2025: KEV-Priorisierung