Eine Sicherheitslücke ist eine Schwäche in Software, Hardware, Konfiguration oder einem Prozess, über die ein Angreifer ein Schutzziel verletzen kann. Mögliche Folgen sind unbefugter Datenzugriff, Manipulation, Rechteausweitung oder der Ausfall eines Dienstes. Nicht jeder Bug ist eine Sicherheitslücke, und nicht jede Sicherheitslücke besitzt für jedes Unternehmen dasselbe Risiko.
Wann wird ein Fehler zur Sicherheitslücke?
Ein gewöhnlicher Softwarefehler kann beispielsweise eine falsche Farbe anzeigen, ohne die Sicherheit zu berühren. Erlaubt derselbe Fehler einem Benutzer, fremde Rechnungen abzurufen, entsteht eine Sicherheitslücke. Praktisch relevant wird sie, wenn eine Bedrohung die Schwäche erreichen und daraus eine bedeutsame Auswirkung erzeugen kann. Ein isoliertes Testsystem wird daher anders bewertet als ein öffentliches Kundenportal mit sensiblen Daten.
| Begriff | Bedeutung |
|---|---|
| Bug | Abweichung vom erwarteten Verhalten; muss keine Sicherheitsfolge besitzen. |
| Weakness | Fehlerart oder Bedingung, aus der eine ausnutzbare Lücke entstehen kann. |
| Vulnerability | Konkrete ausnutzbare Sicherheitslücke in System, Produkt oder Prozess. |
| Exploit | Code oder Vorgehen, das eine Sicherheitslücke praktisch ausnutzt. |
| Risiko | Kombination aus möglichem Eintritt, Auswirkung und konkretem Unternehmenskontext. |
Wie entstehen Sicherheitslücken?
- Unsicheres Design:
Eine notwendige Schutzmaßnahme fehlt bereits im Konzept, etwa eine Autorisierungsgrenze. - Implementierungsfehler:
Code verarbeitet Eingaben, Speicher, Dateien oder Sitzungen fehlerhaft. - Fehlkonfiguration:
Standardpasswörter, öffentliche Speicher oder zu breite Berechtigungen öffnen einen Angriffspfad. - Veraltete Komponenten:
Bekannte Schwachstellen bleiben wegen fehlender Updates oder nicht gepflegter Abhängigkeiten bestehen. - Prozess- und Bedienfehler:
Unsichere Freigaben, unklare Verantwortlichkeiten oder unzureichende Kontrollen ermöglichen Missbrauch. - Verkettung:
Mehrere kleinere Schwächen ergeben zusammen einen weitreichenden Angriff.
Welche Arten von Sicherheitslücken gibt es?
Sicherheitslücken lassen sich nach Ursache und betroffener Vertrauensgrenze gruppieren. Die Gruppen überschneiden sich: Eine unsichere Deserialisierung kann beispielsweise zu Remote Code Execution führen, während eine API gleichzeitig Fehler in Autorisierung und Geschäftslogik enthalten kann.
| Familie | Typische Schwachstellen |
|---|---|
| Zugriffskontrolle | Broken Access Control, IDOR, Mass Assignment und Privilege Escalation. |
| Injection | SQL Injection, NoSQL-, LDAP- und Command Injection. |
| Browser und Sitzungen | Cross-Site Scripting, CSRF, Clickjacking, CORS-Fehlkonfiguration, Session Fixation und Session Hijacking. |
| Serverseitige Verarbeitung | SSRF, XXE, SSTI, unsichere Deserialisierung und Prototype Pollution. |
| Dateien und Pfade | Path Traversal, Local/Remote File Inclusion und unsichere Datei-Uploads. |
| HTTP und Caches | HTTP Request Smuggling, Host Header Injection, Web Cache Poisoning und Open Redirect. |
| Geschäftslogik und Ressourcen | Business-Logic-Schwachstellen, Race Conditions, fehlendes Rate Limiting und DoS. |
| Identität und Protokolle | Account Enumeration, unsichere Token, SAML/XML Signature Wrapping sowie fehlerhafte OAuth-Flows. |
| Software-Lieferkette | Dependency Confusion, offengelegte Secrets sowie manipulierte Builds und Updates. |
In Netzen treten zusätzlich offene Dienste, unsichere Protokolle und mangelnde Segmentierung auf. Betriebssysteme und systemnahe Software können Speicherfehler oder lokale Rechteausweitungen enthalten. Cloud-Umgebungen leiden häufig unter öffentlichen Ressourcen und zu breiten Identitäten. Auch physische und organisatorische Schutzmaßnahmen können Schwachstellen besitzen.
Wie werden Sicherheitslücken gefunden?
| Methode | Typische Stärke |
|---|---|
| Threat Modeling und Design Review | Fehlende Kontrollen erkennen, bevor Code entsteht. |
| Code Review und SAST | Fehler direkt in Eigenentwicklungen und Datenflüssen finden. |
| Vulnerability Scanner | Bekannte Probleme und Fehlkonfigurationen breit und wiederholbar prüfen. |
| Penetrationstest | Manuelle, logische und verkettete Angriffspfade kontrolliert nachweisen. |
| Responsible Disclosure und Bug Bounty | Externe Forscher melden Fehler in produktiven Angeboten nach festgelegten Regeln. |
| Monitoring und Incident Response | Bislang unbekannte Schwächen durch reale Auffälligkeiten und Vorfälle erkennen. |
Wie werden Sicherheitslücken beschrieben und bewertet?
Konkrete öffentlich bekannte Produktlücken erhalten häufig eine CVE-Kennung. Die zugrunde liegende Fehlerklasse lässt sich mit CWE benennen; CVSS beschreibt technische Eigenschaften und Schwere. Diese Standards verbessern die Vergleichbarkeit, ergeben aber allein noch keine interne Priorität.
Für das reale Risiko zählen außerdem Asset-Wert, Exposition, notwendige Rechte, betroffene Daten, verfügbare Exploits, bekannte Ausnutzung und vorhandene Kontrollen. Ein verständliches Finding nennt Ursache, betroffene Komponente, reproduzierbaren Nachweis, realistische Auswirkung und eine konkrete Behebung.
Wie wird eine Sicherheitslücke behandelt?
- Betroffenheit und technische Voraussetzungen verifizieren.
- Risiko im Kontext des Systems priorisieren und einen Verantwortlichen benennen.
- Ursache durch Patch, Codeänderung, sichere Konfiguration oder Architekturmaßnahme beheben.
- Falls eine sofortige Behebung unmöglich ist, Exposition mit einer Ersatzkontrolle zeitweise reduzieren.
- Fix nachtesten und ähnliche Komponenten auf denselben Fehler prüfen.
- Aus der Ursache Verbesserungen für Entwicklung und Betrieb ableiten.
Was sind Zero-Day-Schwachstellen?
Als Zero-Day wird üblicherweise eine Schwachstelle bezeichnet, für die dem Hersteller oder den Verteidigern bei Bekanntwerden noch keine allgemein verfügbare Korrektur zur Verfügung steht. Ein Zero-Day-Exploit nutzt eine solche Lücke praktisch aus. Signaturbasierte Scanner können unbekannte Fehler nicht zuverlässig erkennen. Segmentierung, minimale Rechte, sichere Standardkonfiguration, Verhaltensüberwachung und schnelle Reaktionsprozesse begrenzen deshalb auch Risiken, für die noch kein konkreter Patch existiert.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.
Hast du Feedback zum Thema Sicherheitslücke? Schreib uns!
Weitere Dienstleistungen
Zusätzliche IT-Sicherheitslösungen für umfassenden Schutz
Red Teaming
Simulation echter Angriffe auf Ihr Unternehmen inklusive Personen, Infrastruktur und Prozesse. Ein umfassender Ansatz zur Überprüfung Ihrer gesamten Sicherheitsstrategie.
Mehr erfahren
Phishing-Übungen
Praxisnahe Phishing-Simulationen zur Sensibilisierung Ihrer Mitarbeiter. Erhöhen Sie die Awareness und reduzieren Sie das Risiko erfolgreicher E-Mail-basierter Angriffe.
Mehr erfahren