Ein Exploit ist der Code oder Ablauf, mit dem sich eine Sicherheitslücke ausnutzen lässt. Das englische Wort bedeutet ausnutzen; gemeint ist der praktische Beweis, dass aus einem Fehler ein Zugriff wird.
- Exploit
Der Code oder Ablauf, mit dem sich eine Sicherheitslücke ausnutzen lässt.
Beispiel: „Für die Lücke gab es einen Exploit, bevor das Update ausgeliefert war.“Auch: Ein Exploit für eine noch unbekannte Lücke heißt Zero-Day-Exploit. Mehrere in einem Werkzeug ergeben ein Exploit-Kit, mehrere hintereinander eine Exploit-Kette.
Abgrenzung zur Malware: Der Exploit verschafft den Zugang, die Malware ist die Fracht, die danach ausgeliefert wird.
Welche Wirkung ein Exploit haben kann
Fünf Arten, geordnet nach dem, was ein Angreifer damit erreicht.
Art | Was der Angreifer erreicht | Wie dringend |
|---|---|---|
Code-Ausführung aus der Ferne | Eigener Code läuft auf dem Server | Sofort, besonders ohne Anmeldung |
Umgehung der Anmeldung | Zugang ohne Zugangsdaten | Sofort |
Ausweitung der Rechte | Vom normalen Konto zum Verwalter | Hoch, meist zweiter Schritt einer Kette |
Offenlegung von Daten | Lesen, was verborgen sein sollte | Hoch, wenn personenbezogene Daten betroffen sind |
Lahmlegen | Dienst fällt aus | Abhängig davon, was der Ausfall kostet |
Daraus folgt die Reihenfolge für den eigenen Betrieb. Alles, was ohne Anmeldung aus dem Netz zu erreichen ist, kommt zuerst; alles andere wartet auf das nächste Fenster. Die technische Punktzahl einer Lücke hilft dabei weniger als die Frage, wo das betroffene Bauteil steht.
Woher Exploits kommen
Aus vier Richtungen. Forscher veröffentlichen einen Machbarkeitsnachweis, damit Betreiber die eigene Lage prüfen können. Werkzeuge für Penetrationstests bringen Sammlungen davon mit. Kriminelle Gruppen bauen sie nach, oft innerhalb von Stunden nach einem Update. Und ein Markt handelt mit Exploits für Lücken, die noch niemand kennt.
Wie schnell aus einem Exploit ein Massenangriff wird
Oft am selben Tag. Ein Update verrät die Lücke, weil sich der Unterschied zwischen zwei Fassungen ansehen lässt; aus der geänderten Stelle entsteht der Angriff. Danach laufen automatisierte Suchen über große Teile des Netzes; gefunden wird jede erreichbare Seite, und die offene Frage ist nur noch der Zeitpunkt.
Wie viele Lücken diesen Weg gehen, lässt sich an der Liste der US-Behörde CISA ablesen, die nachweislich ausgenutzte Lücken führt: 2025 kamen dort 245 neue dazu, ein Fünftel mehr als im Jahr davor, womit die Liste auf rund 1.500 Einträge wuchs. Gemessen an der Gesamtzahl veröffentlichter Lücken ist das wenig, und genau diese Teilmenge ist die dringende.
Was ein Exploit wert ist
Je nach Käufer zwischen einer Prämie und einem Jahresgehalt. Wer eine Lücke an den Hersteller meldet, bekommt im Rahmen eines Bug-Bounty-Programms einen Betrag, der sich an Schwere und Verbreitung bemisst. Auf dem anderen Markt zahlen Händler für funktionierende Exploits in weit verbreiteter Software sechsstellige Summen, weil sie damit an staatliche Stellen weiterverkaufen.
Dieser Preisunterschied erklärt, warum ein Teil der Lücken nie gemeldet wird, und er ist der Grund, warum Programme mit ernst gemeinten Prämien für Hersteller billiger sind als der Schaden, den eine verkaufte Lücke anrichtet.
Was eine Exploit-Kette von einem Exploit-Kit unterscheidet
Die Kette ist handwerklich, das Kit ist ein Produkt. Eine Kette verbindet mehrere Lücken zu einem Weg: eine, um hineinzukommen, eine, um aus der Abschottung auszubrechen, eine, um Verwalterrechte zu bekommen. Moderne Systeme sind so gebaut, dass eine einzelne Lücke selten reicht, und genau deshalb ist die Kette der Normalfall bei gezielten Angriffen.
Ein Exploit-Kit dagegen ist eine fertige Sammlung, die auf einer Website lauert, den Browser des Besuchers prüft und das passende Stück aussucht. Es verlangt kein Können, sondern nur Reichweite, und liefert am Ende einen Trojaner aus.
Was ein Exploit nicht beweist
Dass die eigene Umgebung angreifbar ist. Ein Machbarkeitsnachweis läuft im Labor des Forschers, auf einer bestimmten Fassung, in einer bestimmten Einstellung; wer eine andere Fassung einsetzt, die betroffene Funktion abgeschaltet hat oder hinter einer Web Application Firewall sitzt, steht anders da.
Umgekehrt gilt genauso: Dass kein öffentlicher Exploit kursiert, heißt nicht, dass keiner existiert. Für die Einschätzung zählt deshalb die Kombination aus Erreichbarkeit, Fassung und Hinweisen auf tatsächliche Angriffe, siehe Zero-Day-Lücke.
Prüfen, ob für eine Lücke Angriffscode kursiert
An drei Stellen nachsehen, in dieser Reihenfolge: die Meldung des Herstellers, die Liste der nachweislich ausgenutzten Lücken und die üblichen Verzeichnisse für Machbarkeitsnachweise. Die mittlere lässt sich maschinell abfragen.
# Steht eine Lücke in der Liste der nachweislich ausgenutzten?
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
| jq '.vulnerabilities[] | select(.cveID == "CVE-2026-12345")'Liefert der Aufruf einen Treffer, ist die Lücke keine Frage der Planung mehr. In diesem Fall gilt dieselbe Regel wie bei jedem dringenden Fall im Patch-Management: einspielen oder den Weg dorthin abschneiden, noch am selben Tag.
Reagieren, wenn Angriffscode kursiert
In vier Schritten. Zuerst prüfen, ob das betroffene Bauteil überhaupt läuft und in welcher Fassung, notfalls über die Liste der Abhängigkeiten. Dann das Update einspielen oder, wenn keines vorliegt, die Funktion abschalten. Danach in den Protokollen rückwärts suchen, ob der bekannte Angriffsweg schon benutzt wurde. Und zum Schluss festhalten, wann wer was getan hat, weil diese Aufzeichnung im Ernstfall die einzige Grundlage für eine Meldung ist.
Mit einem Machbarkeitsnachweis umgehen
Sorgfältig und auf einer Kopie. Fremden Angriffscode auf der Produktionsumgebung auszuprobieren ist keine Prüfung, sondern ein Risiko: Ein Teil der kursierenden Nachweise enthält selbst Schadfunktionen. Wer testen will, nimmt eine Kopie der Umgebung, liest den Code vorher und arbeitet mit einem Netz, das vom Rest getrennt ist. Für fremde Systeme gilt ohnehin: ohne schriftlichen Auftrag ist der Versuch strafbar, siehe Hacker.