Kurzdefinition: Eine Schwachstelle ist ein Fehler oder eine Schwäche in Software, Hardware oder Konfiguration, die ein Angreifer ausnutzen kann, um in ein System einzudringen oder es zu stören. Das geregelte Erkennen, Bewerten und Schließen von Schwachstellen ist eine Kernaufgabe der Informationssicherheit.
Was ist eine Schwachstelle?
Eine ausnutzbare Schwäche — ein Programmierfehler, eine Fehlkonfiguration oder ein Designmangel. Wird sie bekannt, erhält sie oft eine eindeutige Kennung (CVE).
Was ist eine Zero-Day-Schwachstelle?
Eine Lücke, für die noch kein Patch existiert und die teils bereits ausgenutzt wird. Sie ist besonders gefährlich, weil die übliche Abwehr — patchen — zunächst fehlt.
Wie werden Schwachstellen bekannt?
Durch Hersteller, Forscher, Behörden wie das BSI und die ENISA. Verantwortungsvolle Offenlegung (Coordinated Vulnerability Disclosure) gibt Herstellern Zeit, zu reagieren.
Was bedeuten Schwachstellen für Produkte?
Der CRA verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen zu melden und Produkte über den Unterstützungszeitraum abzusichern. Schwachstellen sind damit auch eine Produktpflicht.
Wie geht man mit Schwachstellen um?
Durch Schwachstellenmanagement: erkennen, bewerten, priorisieren und schließen — meist durch Patches, sonst durch Umgehungslösungen (Mitigations).
Häufige Fehlannahmen
- „Nur alte Software hat Schwachstellen.“ Nein. Auch neue Produkte enthalten Lücken.
- „Eine bekannte Schwachstelle ist harmlos.“ Nein. Bekannte Lücken werden zuerst ausgenutzt.
- „Ohne Patch kann man nichts tun.“ Doch. Umgehungslösungen mindern das Risiko.
- „Schwachstellen betreffen nur die IT.“ Nein. Für Produkte sind sie Herstellerpflicht.
- „Was nicht gemeldet ist, existiert nicht.“ Falsch. Unbekannte Lücken sind besonders gefährlich.
Was die Geschäftsleitung tun sollte
- Erkennen. Schwachstellen laufend über Scans und Quellen erfassen.
- Bewerten. Nach Schwere und Ausnutzbarkeit priorisieren.
- Schließen. Patches einspielen oder mitigieren.
- Produktpflicht beachten. Bei eigenen Produkten CRA-Pflichten erfüllen.
Für die Geschäftsleitung
Eine Schwachstelle ist die Lücke, durch die Angreifer kommen. Wer Schwachstellen systematisch erkennt, priorisiert und schließt — und bei eigenen Produkten die CRA-Pflichten erfüllt —, entzieht Angriffen die häufigste Grundlage.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
