Eine Zero-Day-Lücke ist eine Sicherheitslücke, für die es noch kein Update gibt, weil der Hersteller sie gerade erst erfährt. Der Name zählt die Tage, die ihm zum Reagieren blieben: null.
- Zero-Day-Lücke
Eine Sicherheitslücke, für die es noch kein Update gibt, weil der Hersteller sie gerade erst erfährt.
Beispiel: „Die Zero-Day-Lücke wurde schon ausgenutzt, als die Meldung herauskam.“Auch: Der Angriffscode dazu heißt Zero-Day-Exploit. Ist die Lücke bekannt und das Update verfügbar, spricht man von einer N-Day-Lücke.
Abgrenzung zur gewöhnlichen Lücke: Dort gibt es ein Update, und die Frage ist nur, wie schnell es eingespielt wird.
Was eine Zero-Day-Lücke gefährlich macht
Dass die übliche Antwort ausfällt. Ein Update lässt sich nicht einspielen, und Erkennungsregeln gibt es noch nicht, weil niemand das Muster kennt. Wer angegriffen wird, merkt es im besten Fall an den Folgen: neue Konten, ausgehende Verbindungen, veränderte Dateien.
Wertvoll sind solche Lücken deshalb auch finanziell. Für Lücken in verbreiteten Systemen zahlen staatliche Stellen und Gruppen sechsstellige Beträge, was dafür sorgt, dass ein Teil von ihnen gar nicht erst gemeldet wird.
Was gegen eine Zero-Day-Lücke hilft
Schichten, die unabhängig voneinander wirken. Ein Konto mit wenigen Rechten begrenzt, was ein Angreifer anstellen kann, siehe Least Privilege. Eine Web Application Firewall fängt bekannte Muster ab, auch bei unbekannter Lücke. Getrennte Netze halten den Schaden lokal. Und Protokolle, die jemand ansieht, verkürzen die Zeit bis zur Entdeckung.
Was nach der Veröffentlichung passiert
Die Lücke wird zum Massenphänomen. Sobald ein Update erscheint, beginnen Scans nach Systemen, die es noch nicht haben; aus dem gezielten Angriff auf wenige wird ein automatisierter auf alle. Die gefährlichste Phase für eine durchschnittliche Website liegt deshalb nach der Meldung und vor dem eigenen Update.