Zero-Day-Exploit: Definition, Beispiele und Maßnahmen

Was ist ein Zero-Day-Exploit?

Ein Zero-Day-Exploit ist die Technik, mit der Angreifer eine noch unentdeckte Sicherheitslücke in Systemen ausnutzen (engl. „to exploit“). „Zero Day“ bezeichnet dabei die Zeitspanne, die dem Hersteller zum Schließen der Lücke blieb: null Tage. Sobald die Schwachstelle bekannt wird oder Angreifer sie ausnutzen, ist diese Zeit bereits abgelaufen.

Der Exploit gehört in eine Kette von Ereignissen, die aufeinander aufbauen.

• Zero-Day-Schwachstelle: Zunächst existiert eine Zero-Day-Schwachstelle (Zero-Day-Vulnerability). Das kann ein Sicherheitsfehler in Software, Hardware oder Firmware sein. Diese Lücke allein ist erst einmal nur eine theoretische Angriffsfläche.
• Zero-Day-Exploit: Der Exploit ist der Code bzw. die Technik, die genau diesen Fehler gezielt ausnutzt. Cyberkriminelle setzen diese Methode dann gegen ein Ziel ein und kompromittieren das System. Dort können sie etwa Daten sammeln oder weitere Schäden anrichten.
• Zero-Day-Angriff: Dieses aktive Vorgehen wird als Zero-Day-Angriff bezeichnet.

Der Exploit ist also das entscheidende Bindeglied zwischen Schwachstelle und Angriff. Erst durch ihn wird aus einer unentdeckten Lücke eine praktisch ausnutzbare Bedrohung.

Wie funktionieren Zero-Day-Exploits?

Ob eine Schwachstelle mit einem Exploit angegriffen oder ob sie durch einen Patch geschlossen wird, hängt davon ab, wer sie zuerst entdeckt und handelt: Kriminelle oder Softwarehersteller bzw. Sicherheitsforschende.

Finden Angreifer den Fehler zuerst, analysieren sie ihn gezielt darauf, ob er sich technisch nutzen lässt. Das kann etwa mit manipulierten Dateien, einer präparierten Netzwerkanfrage oder einer kompromittierten Webseite gelingen. Aus dieser Analyse entsteht der eigentliche Exploit-Code. Angreifer setzen ihn anschließend gegen ausgewählte Ziele ein.

Entdecken hingegen Hersteller oder Sicherheitsforschende die Schwachstelle zuerst, verläuft der Prozess anders. Sie entdecken Sicherheitslücken beispielsweise im eigenen Entwicklungs- oder Testbetrieb. Dafür setzen sie etwa auf systematische Code-Analysen oder Monitoring auffälliger Aktivitäten in den eigenen Systemen.

In diesen Fällen greift in der IT-Sicherheit im besten Fall eine verantwortungsvolle Offenlegung (Responsible Disclosure): Der Hersteller erhält die Informationen zunächst vertraulich. So kann er einen Patch oder eine andere Gegenmaßnahme vorbereiten, bevor die Schwachstelle öffentlich bekannt wird.

Darum sind Zero-Day-Exploits gefährlich

Ein Zero-Day-Exploit ist vor allem deshalb gefährlich, weil er lange unsichtbar bleiben kann. Er kann längst existieren und im Umlauf sein, bevor Hersteller oder betroffene Unternehmen überhaupt von der ausgenutzten Schwachstelle erfahren. Die Kompromittierung bleibt womöglich lange unentdeckt, während Daten abfließen oder Angreifer sich im Netzwerk bewegen.

Ein erfolgreich eingesetzter Exploit führt zudem nicht zwangsläufig zu sichtbaren Ausfällen. Er kann still im Hintergrund Zugangsdaten stehlen, Schadsoftware (z. B. Spyware oder Trojaner) installieren oder eine Hintertür einrichten. Genau diese Unsichtbarkeit macht den Zero-Day-Exploit zu einem der wirkungsvollsten Werkzeuge in der Angreifer-Praxis.

So hoch ist das Risiko für Unternehmen

Wie real dieses Risiko gerade für Unternehmen ist, zeigen unter anderem aktuelle Zahlen der Google Threat Intelligence Group: 2025 wurden 90 Schwachstellen offengelegt, die aktiv ausgenutzt wurden (Look What You Made Us Patch: 2025 Zero-Days in Review, März 2026).

Über fünf Jahre (einschließlich 2025) lag die Zahl der jährlich erfassten Fälle jeweils zwischen 60 und 100. Mit 39 Schwachstellen bildeten Betriebssysteme die größte Produktkategorie im Jahr 2025 (44 %). Von den 90 erfassten Schwachstellen betrafen 43 Unternehmenssoftware und -geräte (48 %). Die übrigen 47 entfielen auf Endnutzerplattformen und -produkte.

Innerhalb der 43 Fälle aus dem Unternehmensumfeld betrafen 21 Sicherheits- und Netzwerktechnik. Für Unternehmen sind gerade diese Systeme besonders kritisch, denn sie steuern häufig Zugriffe, verbinden Netzwerke oder sind über das Internet erreichbar.

Beispiele für Zero-Day-Exploits

Zero-Day-Exploits sind kein abstraktes Risiko, sondern haben in den vergangenen Jahren wiederholt zu großflächigen Vorfällen in Unternehmen geführt. Die folgenden drei Beispiele gehören zu den bekanntesten Fällen und zeigen, wie unterschiedlich die betroffenen Systeme sein können.

• Log4Shell (2021): Eine kritische Lücke in der weitverbreiteten Java-Bibliothek Log4j ermöglichte Angreifern Remote Code Execution mit minimalem Aufwand. Da Log4j oft als versteckte Abhängigkeit in anderer Software steckte, waren Unternehmen weltweit betroffen, ohne es zunächst zu wissen – darunter Systeme von Apple, Microsoft, Cisco und Cloudflare.
• MOVEit Transfer (2023): Die Ransomware-Gruppe Clop nutzte eine SQL-Injection-Lücke in der Dateiübertragungssoftware MOVEit Transfer aus, um ohne Authentifizierung administrativen Zugriff zu erlangen und Daten zu stehlen. Über 2700 Organisationen waren betroffen, darunter die BBC, British Airways und mehrere US-Behörden.
• Fortra GoAnywhere (2023): Der Zero-Day-Angriff auf Fortra nutzte eine kritische Sicherheitslücke in der Managed-File-Transfer-Software (MFT) GoAnywhere aus. Angreifer konnten Schadcode einschleusen, ohne sich zuvor einloggen zu müssen. Sie installierten Hintertüren, erbeuteten sensible Daten und drohten mit deren Veröffentlichung. Betroffen waren über 130 Organisationen. Auch hinter diesem Angriff steckte die Clop-Gruppe.

Zero-Day-Attacken erkennen und verhindern

Weil sich ein Zero-Day-Exploit per Definition nicht durch einen passenden Patch abwehren lässt, braucht es mehrere ineinandergreifende Ebenen:

• Halten Sie Ihre Angriffsfläche so klein wie möglich.
• Erkennen Sie verdächtige Aktivitäten.
• Reagieren Sie im Ernstfall koordiniert.

So schützen sich Unternehmen vor Zero-Day-Angriffen

Ein Patch kann einen Zero-Day-Exploit nicht verhindern, solange die passende Korrektur noch fehlt. Trotzdem bleibt strukturiertes Patch- und Schwachstellenmanagement wichtig: Es verringert mögliche Angriffspunkte, die Angreifer zusätzlich zu einem Zero-Day-Exploit ausnutzen könnten. Dazu gehören eine Bestandsübersicht aller Systeme, regelmäßige Schwachstellenscans sowie die Priorisierung öffentlich erreichbarer Dienste.

Einige Ressourcen können dabei helfen:

• Der Known Exploited Vulnerabilities Catalog (KEV-Katalog) der US-Behörde CISA (Cybersecurity and Infrastructure Security Agency) listet u. a. Schwachstellen auf, die bereits aktiv ausgenutzt werden. So können Teams einfacher Prioritäten setzen.
• Eine Software Bill of Materials (SBOM) zeigt, ob eingesetzte Produkte eine betroffene Komponente enthalten.
• Netzwerksegmentierung schränkt den Bewegungsraum der Angreifer von einem kompromittierten System aus ein.

Bei neu gemeldeten und aktiv ausgenutzten Schwachstellen hilft ein fester Ablauf:

1. Bestand prüfen: Wird das betroffene Produkt im Unternehmen eingesetzt?
2. Internet-Exponierung prüfen: Ist das System von außen erreichbar? Nicht benötigte Dienste sollten Sie entfernen.
3. Patch oder Gegenmaßnahme anwenden: Aktualisierungen der Hersteller installieren oder Zugriff einschränken. In manchen Notfällen sollten Sie Systeme vorübergehend abschalten, falls möglich.
4. Behebung prüfen: Wirkt die Korrektur? Gibt es Hinweise auf verdächtige Aktivitäten?

So erkennen Sie Zero-Day-Angriffe

Signaturbasierte Schutzlösungen können Aktivitäten mit bekannten Angriffsmustern abgleichen und diese erkennen. Bei einer neuen Sicherheitslücke fehlt diese Signatur aber oft noch. Verhaltensbasierte Verfahren prüfen deshalb auf ungewöhnliche Prozessabläufe, unerwartete Datenübertragungen oder plötzlich erweiterte Benutzerrechte.

Endpoint Detection and Response (EDR) überwacht zudem Endgeräte und User and Entity Behavior Analytics (UEBA) vergleicht das Verhalten von Konten und Systemen mit typischen Mustern. KI-Modelle können solche Datenmengen auswerten und Auffälligkeiten markieren.

Aber: Kein Schutz ist perfekt. Auch fortschrittliche, KI-gestützte Sicherheitslösungen verursachen Fehlalarme und übersehen mitunter echte Angriffe.

Wie Unternehmen im Ernstfall reagieren sollten

Technische Warnungen nützen nur, wenn der Meldeweg feststeht: Bei der effektiven Bekämpfung und Eindämmung von Cybervorfällen hilft ein vorbereiteter Incident-Response-Plan. Er ermöglicht schnelles Handeln, da er Abläufe im Ernstfall strukturiert und Zuständigkeiten klar festlegt.

Prüfen Sie unter anderem auch, ob privilegierte Konten auffällig sind oder Zugangsdaten kompromittiert wurden. Multi-Faktor-Authentifizierung (MFA) erschwert die Nutzung gestohlener Zugangsdaten, ein Zero-Trust-Ansatz mit fortlaufender Zugriffsprüfung begrenzt die Folgen, wenn ein Exploit bereits einen ersten Zugang geöffnet hat.

Häufig gestellte Fragen

Passend zum Thema