Was ist ein Zero-Day?

Zero-Day einfach erklärt

Der Begriff beschreibt die Zeit, die den Verteidigern bleibt: null Tage. Normalerweise läuft es so: Eine Schwachstelle wird entdeckt, der Hersteller entwickelt ein Update – auch Patch genannt –, und die Anwender spielen es ein. Bei einem Zero-Day ist diese Reihenfolge durchbrochen. Angreifer kennen und nutzen die Lücke bereits, während der Hersteller noch nichts davon weiß oder noch an einer Lösung arbeitet.

Ein Vergleich: Ein Türschloss hat einen Konstruktionsfehler, durch den es sich mit einem einfachen Trick öffnen lässt. Der Hersteller weiß nichts davon, also gibt es auch keine Nachrüstung. Nur ein Einbrecher kennt den Trick. Solange er ihn für sich behält, hilft auch das sorgfältigste Abschließen nicht.

Genau genommen unterscheidet man die Zero-Day-Schwachstelle, also die Lücke selbst, und den Zero-Day-Exploit – das Programm, das sie ausnutzt (siehe Exploit).

So funktioniert ein Zero-Day-Angriff

1. Entdeckung: Jemand findet eine bislang unbekannte Schwachstelle – Kriminelle, staatliche Stellen oder Sicherheitsforschende.
2. Ausnutzung: Wer angreifen will, entwickelt einen Exploit. Solche Exploits sind sehr wertvoll; sie werden für gezielte Angriffe eingesetzt oder teuer gehandelt.
3. Bekanntwerden: Irgendwann fallen die Angriffe auf, oder die Lücke wird dem Hersteller gemeldet. In der Regel erhält sie eine weltweit eindeutige Kennung, die sogenannte CVE-Nummer.
4. Update: Der Hersteller veröffentlicht einen Patch. Ab jetzt ist die Lücke kein Zero-Day mehr. Gefährlich bleibt sie aber für alle, die das Update nicht zeitnah einspielen – Fachleute sprechen dann von einer „N-Day“-Lücke.

Seriöse Sicherheitsforschende melden gefundene Lücken vertraulich an den Hersteller. So kann er ein Update bereitstellen, bevor Details öffentlich werden (Coordinated Vulnerability Disclosure).

Ein Beispiel aus der Praxis

Ein Ingenieurbüro betreibt ein Portal, über das Kunden große Planungsdateien austauschen. Kriminelle entdecken in der Portalsoftware eine bislang unbekannte Lücke und nutzen sie aus, bevor der Hersteller davon weiß.

Das Büro hat jedoch vorgesorgt: Das Portal steht in einem abgeschotteten Netzbereich (DMZ), läuft mit minimalen Rechten und hat keinen direkten Zugang zu den internen Servern. Eine Überwachung bemerkt ungewöhnlich große Datenabflüsse und schlägt Alarm. Die IT nimmt das Portal vom Netz und sichert die Spuren für eine forensische Analyse.

Wenige Tage später veröffentlicht der Hersteller ein Update. Das Büro spielt es sofort ein. Der Schaden bleibt auf das Portal begrenzt.

Warum ist das für Unternehmen wichtig?

Gegen einen Zero-Day hilft kein Update, weil es noch keines gibt. Viele Sicherheitskonzepte verlassen sich aber genau darauf. Besonders begehrt sind Lücken in Systemen, die direkt aus dem Internet erreichbar sind – etwa VPN-Gateways, Firewalls, Mailserver oder Dateiaustausch-Portale. Werden solche Lücken bekannt, nutzen Angreifer sie oft massenhaft aus.

Auch regulatorisch ist das Thema relevant: Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen – also vernetzten Geräten und Software – seit dem 11. September 2026, aktiv ausgenutzte Schwachstellen in ihren Produkten zu melden. Für Anwender gilt: Je schneller Sie nach Bekanntwerden reagieren, desto kleiner ist das Zeitfenster für Angreifer.

So schützen Sie sich

• Angriffsfläche verkleinern: Machen Sie nur das aus dem Internet erreichbar, was wirklich nötig ist, und deaktivieren Sie Überflüssiges (Härtung).
• Netz trennen: Segmentieren Sie Ihr Netz, damit ein kompromittiertes System nicht zum Sprungbrett wird.
• Rechte begrenzen: Dienste und Konten erhalten nur die Rechte, die sie für ihre Aufgabe brauchen.
• Verhalten überwachen: Setzen Sie auf eine Angriffserkennung, die auffälliges Verhalten erkennt und nicht nur bekannte Muster – etwa mit EDR/XDR, also Software, die Rechner und Server laufend auf verdächtige Aktivitäten überwacht.
• Schnell patchen: Sobald ein Update erscheint, spielen Sie es ein – Systeme mit Internetzugang und kritische Systeme zuerst.
• Notfall vorbereiten: Halten Sie einen Notfallplan und getestete, vom Netz getrennte Backups bereit.

Wie Rootsektor unterstützt

Einen unbekannten Zero-Day in fremder Standardsoftware kann kein Test vorhersagen. Ein Penetrationstest zeigt aber, wie weit ein Angreifer nach einem erfolgreichen Einbruch käme und ob Segmentierung, Rechtevergabe und Erkennung den Schaden begrenzen – mehr dazu unter Penetration Testing. In selbst entwickelter Software kann ein Test oder Code Review zudem bislang unbekannte Schwachstellen aufdecken. Besteht der Verdacht, dass eine Lücke bei Ihnen bereits ausgenutzt wurde, klärt ein Compromise Assessment, ob Angreifer Spuren in Ihren Systemen hinterlassen haben. Bei einem akuten Vorfall erreichen Sie uns unter +49 2932 465265-0, außerhalb der Geschäftszeiten über unsere 24/7-Notfall-Hotline.