Was ist ein Zero-Day-Exploit?

Ein Zero-Day-Exploit ist Angriffscode für eine Sicherheitslücke, von der der Softwarehersteller noch nichts weiß. Der Name ist Buchhaltung, keine Poesie: Die Entwickler hatten null Tage Zeit, einen Fix zu bauen, im Moment des Angriffs existiert also weder ein Patch noch oft eine Erkennungssignatur. Drei verwandte Begriffe sollte man auseinanderhalten. Die Zero-Day-Schwachstelle ist die unbekannte Lücke selbst, der Zero-Day-Exploit ist der funktionierende Angriffscode dafür, und ein Zero-Day-Angriff ist der Einsatz dieses Codes gegen reale Ziele. Echte Zero-Days sind selten und teuer: Die Google Threat Intelligence Group zählte 2024 insgesamt 75 in freier Wildbahn ausgenutzte Zero-Day-Schwachstellen, nach 98 im Jahr zuvor, die meisten davon verbrannt in gezielten Angriffen staatlich unterstützter Gruppen und kommerzieller Spyware-Anbieter. Für eine normale Website ist statistisch gar nicht der Zero-Day die dominierende Gefahr, sondern der n-day: das Zeitfenster nach der Veröffentlichung eines Patches, in dem Angreifer massenhaft alle abgrasen, die noch nicht aktualisiert haben.

Was bedeutet Zero-Day? Schwachstelle, Exploit und Angriff

Der Begriff wird sehr locker verwendet, etwas Präzision hilft also:

• Zero-Day-Schwachstelle: eine Sicherheitslücke, die in ausgelieferter Software steckt, dem Hersteller aber unbekannt ist. Sie kann jahrelang unentdeckt schlummern, und Untersuchungen ausgenutzter Zero-Days finden regelmäßig Lücken, die lange im Code saßen.
• Zero-Day-Exploit: funktionierender Code, der aus der Lücke eine tatsächliche Fähigkeit macht, etwa Remote Code Execution oder Rechteausweitung. Einen zuverlässigen Exploit zu schreiben, ist oft weit schwerer, als den Bug zu finden.
• Zero-Day-Angriff: der Einsatz des Exploits gegen reale Ziele, während der Hersteller noch im Dunkeln tappt.

Die Null zählt die Tage, die der Verteidiger zum Reagieren hatte. In dem Moment, in dem der Hersteller von der Lücke erfährt, läuft die Uhr, und sobald ein Patch erscheint, degradiert derselbe Exploit zum n-day: weiterhin gefährlich, aber nur noch gegen alle, die nicht aktualisiert haben.

Wie läuft ein Zero-Day-Angriff ab? Der Lebenszyklus einer Schwachstelle

1. Die Lücke entsteht: Ein Fehler landet in Produktivcode, von allen unbemerkt.
2. Jemand findet sie: Und hier gabelt sich der Weg. Ein Sicherheitsforscher meldet sie dem Hersteller, idealerweise über einen koordinierten Disclosure-Prozess oder ein Bug-Bounty-Programm. Ein Krimineller oder staatlicher Akteur behält sie für sich und macht eine Waffe daraus.
3. Ausnutzung in freier Wildbahn: Im schlechten Zweig wird der Exploit still gegen ausgewählte Ziele eingesetzt. Diese Phase kann Monate dauern und endet typischerweise erst, wenn Verteidiger die Auffälligkeit bemerken.
4. Offenlegung und Patch: Der Hersteller entwickelt einen Fix und veröffentlicht ein Advisory, meist mit einer CVE-ID.
5. Die n-day-Phase: Jetzt ist die Lücke öffentlich, der Patch lässt sich zurückentwickeln, und die Ausnutzung wechselt von gezielt zu industriell. Angreifer scannen das gesamte Internet nach ungepatchten Systemen, und die Zeit zwischen Patch-Veröffentlichung und Massenausnutzung ist auf Tage geschrumpft, manchmal auf Stunden.

Dieser letzte Schritt überrascht viele: Die Veröffentlichung eines Patches macht die Lage vorübergehend gefährlicher, nicht sicherer, und zwar für jeden, der ihn nicht einspielt. Der Patch ist die Landkarte zur Schwachstelle.

Zero-Day oder n-day: Wovor sollten Sie tatsächlich Respekt haben?

Eine ehrliche Risikoeinschätzung für Website-Betreiber: Dass ein echter Zero-Day gegen Sie eingesetzt wird, ist unwahrscheinlich, solange Sie keine Behörde, kein Großkonzern, kein Journalist oder sonst ein besonders lohnendes Ziel sind. Zero-Days kosten echtes Geld und verlieren mit jedem Einsatz an Wert, Angreifer geben sie also mit Bedacht aus. Was gewöhnliche Websites jeden einzelnen Tag trifft, ist der n-day. Die Schwachstelle ist öffentlich, Exploit-Code liegt auf GitHub, und Bots suchen rund um die Uhr nach der betroffenen Softwareversion. Die Verteidigung gegen n-days ist unglamourös und außerordentlich wirksam: schnell aktualisieren. Eine Website, die Sicherheitsupdates innerhalb eines Tages einspielt, ist immun gegen genau die Phase, in der die überwiegende Mehrheit realer Kompromittierungen passiert.

Berühmte Zero-Day-Angriffe

• Stuxnet (2010): Der Sabotage-Wurm gegen das iranische Nuklearprogramm nutzte vier Windows-Zero-Days in einer einzigen Operation, damals unerhört, und machte den Begriff einer breiten Öffentlichkeit bekannt.
• Sony Pictures und die Spyware-Ära: Kommerzielle Anbieter wie die NSO Group industrialisierten ganze Zero-Day-Ketten, wobei FORCEDENTRY (CVE-2021-30860) vollständig gepatchte iPhones über einen Zero-Click-Exploit in iMessage infizierte.
• MOVEit Transfer (2023): Die Ransomware-Gruppe Cl0p nutzte einen SQL-Injection-Zero-Day (CVE-2023-34362) in einem Produkt für verwalteten Dateitransfer und stahl in einer einzigen Kampagne Daten von weit über 2.000 Organisationen, einer der größten Vorfälle dieser Art überhaupt.
• Edge-Geräte in Unternehmen (2023 bis 2025): Der jüngste Trend sind Zero-Days in der Sicherheitsinfrastruktur selbst, in VPN-Gateways, Firewalls und Dateitransfer-Appliances, denn eine ausgenutzte Appliance öffnet hunderte Firmennetze.

Wie viele Zero-Days werden pro Jahr ausgenutzt?

Die besten öffentlichen Zahlen stammen von der Google Threat Intelligence Group, die branchenweit die Ausnutzung von Zero-Days in freier Wildbahn verfolgt: 75 ausgenutzte Zero-Days im Jahr 2024, 98 im Jahr 2023, 63 im Jahr 2022. Zwei Trends innerhalb dieser Zahlen sind relevant. Erstens zielt ein wachsender Anteil auf Unternehmensprodukte, besonders auf Sicherheits- und Netzwerk-Appliances, statt auf Endanwendersoftware. Zweitens lässt sich ein erheblicher Teil auf kommerzielle Überwachungsanbieter zurückführen, die Regierungen Angriffsfähigkeiten verkaufen. Browser und mobile Betriebssysteme bleiben beliebte Ziele, sind aber auch dramatisch schwerer auszunutzen geworden, und genau deshalb steigen die Preise weiter.

Der Zero-Day-Markt: Bug Bounties und Exploit-Broker

Was nach der Entdeckung passiert, hängt davon ab, wer die Lücke gefunden hat, und für jede Antwort gibt es einen Markt. Im weißen Markt melden Forscher an Hersteller und kassieren Bug Bounties, wobei Programme wie die Zero Day Initiative und Wettbewerbe wie Pwn2Own fünf- und sechsstellige Prämien zahlen und Google Project Zero seine bekannte 90-Tage-Frist zur Offenlegung gegenüber Herstellern durchsetzt. Im grauen Markt kaufen Broker Exploits und verkaufen sie an staatliche Kunden weiter, mit veröffentlichten Preislisten, die für Zero-Click-Ketten auf Smartphones siebenstellig werden. Und im schwarzen Markt wechselt dieselbe Warengattung zwischen Kriminellen den Besitzer. Die Ökonomie erklärt die Verteidigungsstrategie: Jede zusätzliche Schicht an Exploit-Härtung erhöht die Entwicklungskosten einer funktionierenden Kette, und jeder schnelle Patch-Zyklus verkürzt die Haltbarkeit des Produkts.

Zero-Day-Exploits in WordPress

Der WordPress-Kern hat seit Jahren keine nennenswerte Zero-Day-Kompromittierungswelle erlebt, und sein Sicherheitsteam ist schnell. Das Plugin-Ökosystem ist eine andere Geschichte und hat Lehrbuchfälle geliefert. Im September 2020 nutzten Angreifer eine Datei-Upload-Lücke in WP File Manager (CVE-2020-25213) als Zero-Day aus, gegen ein Plugin, das auf rund 700.000 Websites aktiv war, mit hunderttausenden erfassten Angriffsversuchen, bevor die meisten Websites aktualisieren konnten. 2021 wurde das Plugin Fancy Product Designer über CVE-2021-24370 angegriffen, während es noch keinen Patch gab. Das Muster ist stets dasselbe: Angreifer beobachten populäre Plugins, und eine Lücke in einem davon skaliert sofort auf jede Website, die es einsetzt. Ihre praktische Erkenntnis daraus ist unmissverständlich: Jedes installierte Plugin ist Angriffsfläche, und ein Plugin, das Sie nicht betreiben, kann Ihnen mit seinem Zero-Day auch nicht schaden.

Wie kann ich meine Website gegen Zero-Day-Exploits schützen?

Das Unbekannte lässt sich nicht patchen, das Ziel verschiebt sich also von Verhinderung hin zu einem begrenzten Schadensradius und schneller Reaktion. Die Maßnahmen, die wirklich etwas bewegen:

• Angriffsfläche verkleinern: Deinstallieren Sie Plugins und Themes, die Sie nicht nutzen. Deaktiviert reicht nicht, löschen Sie sie.
• Gut gepflegte Plugins bevorzugen: Ein aktiver Entwickler bedeutet, dass der Patch am Ende in Stunden kommt statt in Wochen oder nie.
• Eine Web Application Firewall einsetzen: WAF-Anbieter liefern virtuelle Patches, die Angriffsmuster blockieren, bevor der offizielle Fix existiert, und das ist das Nächste an einer echten Zero-Day-Abwehr, was ein Website-Betreiber bekommt.
• Geringste Rechte durchsetzen: weniger Admin-Konten, 2FA, keine gemeinsam genutzten Zugänge. Ein Exploit, der in einem Kontext mit wenigen Rechten landet, richtet weniger Schaden an.
• Die Plattform härten: DISALLOW_FILE_EDIT, korrekte Dateiberechtigungen, keine Debug-Ausgaben im Produktivbetrieb. Härtung stoppt den Exploit nicht, sie legt die Post-Exploitation trocken.
• Externe Backups vorhalten und Dateiintegrität überwachen: Gehen Sie davon aus, dass eine Kompromittierung möglich ist, und machen Sie die Wiederherstellung langweilig.
• Schnell aktualisieren, sobald Patches erscheinen: Im n-day-Fenster gewinnen oder verlieren Sie, und dieses Fenster haben Sie vollständig selbst in der Hand.

Wie hilft InspectWP gegen Zero-Days?

InspectWP kann eine nicht offengelegte Schwachstelle nicht sehen, und jedes Werkzeug, das etwas anderes behauptet, will Ihnen etwas verkaufen. Was InspectWP abdeckt, ist alles rundherum: Es inventarisiert die Plugins und Themes, die eine Website tatsächlich betreibt, meldet Komponenten mit bekannten Schwachstellen in dem Moment, in dem diese veröffentlicht werden, und prüft die Härtungsmaßnahmen, die begrenzen, was ein Exploit anrichten kann, von Sicherheitsheadern bis zu offen zugänglichen sensiblen Dateien. Genau diese Inventarliste brauchen Sie an dem Tag, an dem ein Plugin-Zero-Day durch die Nachrichten geht, denn die erste Frage lautet immer gleich: Betreiben wir das irgendwo? Mit geplanten Berichten über alle Ihre Projekte beantworten Sie sie in Sekunden, statt sich durch ein Dutzend wp-admin-Dashboards zu klicken.