Sicherheitslücken in Software und Hardware werden laufend bekannt. Kritisch wird es in dem Moment, in dem jemand eine solche Lücke gezielt ausnutzt. Das Werkzeug dafür ist ein Exploit. Dieser Beitrag erklärt, was sich hinter dem Begriff verbirgt, wie ein Angriff abläuft, welche Arten es gibt und welche Schutzmaßnahmen sich in der Praxis bewähren.
Ein Exploit nutzt eine Schwachstelle aus
Ein Exploit ist ein Programm, ein Skript oder eine Abfolge von Befehlen, die eine Schwachstelle in Software, Hardware oder einer Netzwerkkomponente ausnutzt. Der Begriff wird auch für die reine Beschreibung einer Schwachstelle verwendet, also für den dokumentierten Nachweis, dass sich eine Lücke in der Praxis ausnutzen lässt.
Ein Exploit ist noch keine Schadsoftware. Er verschafft Angreifern zunächst nur den Zugang oder die erweiterten Rechte, die für den eigentlichen Angriff nötig sind. Was danach folgt, etwa das Nachladen von Ransomware oder das Abgreifen von Daten, ist ein zweiter Schritt.
Exploits werden auch legitim eingesetzt. In Penetrationstests und bei Schwachstellenscans prüfen Sicherheitsteams damit, ob ein System für eine bekannte Lücke anfällig ist und ob ein eingespielter Patch greift.
Exploits erreichen Systeme auf mehreren Wegen
Für die Zustellung nutzen Angreifer mehrere Wege. Diese fünf begegnen Ihnen im Unternehmensalltag am häufigsten:
Präparierte Webseiten: Beim Besuch einer manipulierten Seite läuft im Hintergrund Code, der den Browser oder ein Plug-in angreift. Dieses Muster ist als Drive-by-Download bekannt.
Exploit-Kits: Fertige Baukästen bündeln Exploits für verschiedene Ziele, etwa Browser, PDF-Reader oder Laufzeitumgebungen, und wählen automatisch den passenden aus.
E-Mail-Anhänge: Dokumente mit eingebettetem Code nutzen Lücken in Office-Anwendungen oder PDF-Readern. Diese Variante zielt auf einzelne Empfänger oder Abteilungen.
Wechseldatenträger: USB-Sticks und externe Festplatten transportieren Schadcode an Netzwerkgrenzen und Perimeterschutz vorbei.
Direkt erreichbare Dienste: Von außen zugängliche Systeme wie VPN-Gateways, Fernwartungszugänge, Firewalls oder Webserver werden automatisiert nach bekannten Lücken abgesucht.
Der letzte Punkt verdient besondere Aufmerksamkeit. Automatisierte Scans durchsuchen das Internet fortlaufend nach verwundbaren Systemen. Nach der Veröffentlichung einer Schwachstelle bleibt deshalb häufig nur wenig Zeit bis zu den ersten Angriffsversuchen.
Ein Angriff mit einem Exploit folgt einem festen Muster
Meist läuft ein solcher Angriff in fünf Schritten ab:
Schwachstelle finden: Angreifer suchen nach Systemen mit einer bekannten, noch nicht geschlossenen Lücke. Das geschieht in der Regel automatisiert.
Exploit ausliefern: Der Code erreicht das Zielsystem, etwa über eine präparierte Webseite, einen Anhang oder einen offen erreichbaren Dienst.
Code zur Ausführung bringen: Der Exploit lenkt den normalen Programmablauf auf eigenen Code um und erhält damit die Rechte der angegriffenen Anwendung.
Schadfunktion nachladen: Erst jetzt folgt die eigentliche Schadsoftware, etwa Ransomware, ein Trojaner oder ein Werkzeug für dauerhaften Fernzugriff.
Im Netzwerk ausbreiten: Angreifer weiten ihre Rechte aus und bewegen sich zu weiteren Systemen, häufig über längere Zeit unbemerkt.
Für die Abwehr heißt das, dass sich jeder dieser Schritte unterbrechen lässt. Ein Angriff scheitert bereits, wenn die Lücke geschlossen ist, der nachgeladene Code blockiert wird oder die Ausbreitung an einer Netzwerkgrenze endet.
Exploits unterscheiden sich nach Angriffsart und Zeitpunkt
Diese Begriffe finden Sie regelmäßig in Sicherheitsmeldungen:
Zero-Day-Exploit: Die ausgenutzte Lücke ist dem Hersteller noch nicht bekannt, ein Patch existiert also nicht. Bis eine Korrektur bereitsteht, helfen nur begleitende Maßnahmen.
Remote-Exploit: Der Angriff läuft über das Netzwerk, ohne dass jemand am Gerät angemeldet sein muss. Betroffen sind vor allem Dienste, die von außen erreichbar sind.
Lokaler Exploit: Der Angreifer hat bereits Zugriff auf das System und nutzt eine Lücke, um seine Rechte auszuweiten, etwa bis auf Administratorebene.
Denial-of-Service-Exploit: Statt Code auszuführen, bringt der Exploit eine Anwendung zum Absturz oder überlastet sie. Ziel ist die Störung des Betriebs.
SQL-Injection: Über Eingabefelder einer Webanwendung werden Datenbankbefehle eingeschleust. Das ermöglicht Zugriff auf Daten, die eigentlich geschützt sein sollten.
Remote Code Execution: Der Angreifer bringt eigenen Code mit den Rechten der betroffenen Anwendung zur Ausführung. Diese Klasse gilt als besonders folgenreich, weil sie oft die vollständige Übernahme eines Systems erlaubt.
Verlässliches Patch-Management schützt am wirksamsten
Der wirksamste Hebel ist unspektakulär, denn viele erfolgreiche Angriffe nutzen Lücken aus, für die längst ein Update bereitsteht. Die folgenden Maßnahmen ergänzen sich und greifen an unterschiedlichen Stellen der Angriffskette.
Patch-Management mit festen Fristen: Legen Sie verbindlich fest, innerhalb welcher Zeit kritische Updates eingespielt werden, und dokumentieren Sie begründete Ausnahmen.
Vollständige Inventarisierung: Erfassen Sie Server, Clients, Netzwerkgeräte, Fernwartungszugänge und Software von Drittanbietern. Was in keiner Liste steht, bekommt auch keine Updates.
Angriffsfläche verkleinern: Deaktivieren Sie nicht benötigte Dienste und prüfen Sie regelmäßig, welche Systeme direkt aus dem Internet erreichbar sind.
Rechte begrenzen: Alltagskonten ohne lokale Administratorrechte begrenzen den Schaden erheblich. Privilegierte Konten sollten getrennt verwaltet werden.
Verhaltensbasierte Erkennung: Lösungen wie Microsoft Defender für Endpunkt erkennen auffälliges Verhalten auch dann, wenn der konkrete Exploit noch unbekannt ist.
Netzwerksegmentierung: Getrennte Netzbereiche verhindern, dass ein kompromittiertes System als Sprungbrett in die gesamte Infrastruktur dient.
Schwachstellenmanagement: Regelmäßige Scans zeigen den aktuellen Stand. Priorisieren Sie nach realer Ausnutzbarkeit, die Bewertungspunkte allein reichen dafür nicht.
Getestete Backups: Sicherungen, die von den Produktivsystemen getrennt liegen, sind der letzte Rückhalt. Die Wiederherstellung sollte regelmäßig geprobt werden.
Der Überblick über die eigenen Systeme kommt zuerst
Mit Exploits müssen Sie im normalen IT-Betrieb rechnen. Der Aufwand für einen belastbaren Schutz bleibt überschaubar, wenn Sie in der richtigen Reihenfolge vorgehen.
Ich würde mir zuerst einen Überblick über die Systeme und deren Patch-Stand verschaffen. Danach schließen Sie die Lücken auf allen von außen erreichbaren Systemen, denn dort ist das Risiko am größten. Erst im dritten Schritt lohnt es sich, in zusätzliche Erkennungswerkzeuge zu investieren.
Fehlen Ihnen dafür die internen Kapazitäten, lässt sich der laufende Betrieb auslagern. Wir bei aconitas übernehmen Patch- und Schwachstellenmanagement als Managed Service und begleiten Unternehmen, Behörden und IT-Dienstleister bei der Absicherung ihrer Systeme. Sprechen Sie uns an, wenn Sie Ihren aktuellen Stand einordnen möchten.
Schwachstellen finden, bevor andere es tun
Ein Pentest nach BSI-Standard zeigt, welche Lücken sich in Ihrer Umgebung ausnutzen lassen. Sie erhalten jede Schwachstelle dokumentiert, bewertet und mit einer Empfehlung zur Behebung.
Häufige Fragen
Ein Exploit nutzt eine Schwachstelle aus und verschafft Angreifern Zugang oder erweiterte Rechte. Malware ist die Schadsoftware, die anschließend ausgeführt wird, etwa Ransomware oder ein Trojaner. Der Exploit ist also der Türöffner, die Malware richtet den eigentlichen Schaden an. Beide treten häufig gemeinsam auf, sind technisch aber getrennt zu betrachten.
Bei einem Zero-Day ist die Lücke dem Hersteller noch nicht bekannt. Es gibt also keinen Patch, den Sie einspielen könnten. Schutz entsteht hier nur indirekt, etwa durch eingeschränkte Benutzerrechte, Netzwerksegmentierung und Erkennungslösungen, die verdächtiges Verhalten melden, statt bekannte Signaturen abzugleichen.
Für kritische Lücken in Systemen, die aus dem Internet erreichbar sind, sollten Sie sehr kurze Fristen setzen, idealerweise wenige Tage. Für interne Systeme sind längere Zyklen vertretbar, sofern sie verbindlich festgelegt und dokumentiert sind. Entscheidend ist weniger die exakte Frist als die Verlässlichkeit des Prozesses.
