Montag, kurz nach Mitternacht. Ein Hersteller meldet eine kritische Sicherheitslücke in seiner Firewall. Einen Patch gibt es noch nicht. Gleichzeitig zeigen Analysen, dass Angreifer die Lücke schon seit Tagen ausnutzen. Genau so sieht ein Zero-Day aus, und solche Meldungen sind längst keine Seltenheit mehr. Das BSI hat allein 2025 und 2026 mehrfach vor aktiv ausgenutzten Zero-Day-Schwachstellen gewarnt, unter anderem in Produkten von Microsoft, Citrix, Fortinet, Ivanti und SonicWall.
Für Unternehmen ist das unangenehm, denn gegen eine Lücke, die noch niemand kennt, hilft das übliche Rezept „Update einspielen“ nicht. In diesem Beitrag erfahren Sie, was ein Zero-Day-Exploit genau ist, warum klassische Schutzprogramme hier oft versagen und mit welchen Maßnahmen Sie das Risiko trotzdem deutlich senken.
Was ist ein Zero-Day-Exploit?
Hinter dem Begriff stecken drei Dinge, die oft durcheinandergeraten:
- Zero-Day-Schwachstelle: eine Sicherheitslücke in Software oder Hardware, die dem Hersteller noch nicht bekannt ist oder für die es noch keinen Patch gibt.
- Zero-Day-Exploit: der Code oder die Methode, mit der Angreifer genau diese Lücke ausnutzen.
- Zero-Day-Angriff: der tatsächliche Angriff auf ein Unternehmen mit Hilfe des Exploits.
Der Name kommt daher, dass der Hersteller „null Tage“ Zeit hatte, die Lücke zu schließen, bevor sie ausgenutzt wurde. Für Angreifer sind solche Lücken besonders wertvoll, weil es noch keine Signatur, keinen Patch und oft nicht einmal eine Warnung gibt.
Warum Zero-Day-Angriffe so gefährlich sind
Das Problem ist der Zeitvorsprung. Zwischen dem ersten Angriff und dem Moment, in dem ein Patch verfügbar und eingespielt ist, können Tage oder Wochen vergehen. In dieser Zeit sind alle Systeme mit der verwundbaren Software angreifbar, egal wie gut sie sonst gepflegt sind.
Besonders häufig treffen Zero-Days Systeme, die direkt aus dem Internet erreichbar sind: Firewalls, VPN-Zugänge, E-Mail-Gateways und Webserver. Das BSI stellt im Lagebericht 2025 fest, dass bekannte Schwachstellen in solchen Perimeter-Systemen ohnehin viel zu oft zu spät geschlossen werden. Kommt eine unbekannte Lücke hinzu, ist der Weg ins Netz kurz.
Ein Beispiel aus dem Sommer 2025 zeigt, wie ernst die Lage werden kann. Bei einer Zero-Day-Lücke in Microsoft SharePoint sprach das BSI von einer massiven Ausnutzung. Das Amt stellte klar, dass nach einem erfolgreichen Angriff das bloße Einspielen des Patches nicht ausreicht. Zusätzlich mussten Schlüssel ausgetauscht und Server neu gestartet werden. Wer nur gepatcht hatte, ließ dem Angreifer unter Umständen weiter die Tür offen.
Dazu kommt ein neuer Beschleuniger. Laut einer aktuellen Warnung des BSI können leistungsstarke KI-Modelle Software-Schwachstellen inzwischen weitgehend und teilweise autonom finden und in konkrete Angriffswege übersetzen. Das BSI rechnet deshalb mit deutlich mehr neu entdeckten Schwachstellen und Exploits.
Warum klassischer Virenschutz hier oft versagt
Ein herkömmlicher Virenscanner arbeitet mit Signaturen, also mit einer Liste bekannter Schadsoftware. Bei einem Zero-Day-Angriff gibt es diese Signatur noch nicht. Der Schadcode ist neu, und häufig wird er zusätzlich so verändert, dass er bei jedem Angriff anders aussieht. Der Scanner hat schlicht nichts, womit er vergleichen könnte.
Wie sich moderne Lösungen davon unterscheiden, haben wir im Beitrag EDR vs. Antivirus ausführlich erklärt. Für Zero-Days sind zwei Ansätze besonders wichtig: die Erkennung am Verhalten und die Vorhersage, ob eine Datei schädlich ist, bevor sie überhaupt ausgeführt wird.
Prävention mit Deep Learning: das Beispiel Deep Instinct
Einen eigenen Weg geht Deep Instinct, mit dem wir als Partner arbeiten. Statt Signaturen nutzt die Lösung ein neuronales Netz, das mit sehr großen Mengen an gutartigen und bösartigen Dateien trainiert wurde. Es hat gelernt, welche Merkmale Schadsoftware typischerweise ausmachen. Eine neue Datei wird direkt beim Eintreffen bewertet, noch bevor sie gestartet wird. So lassen sich auch Varianten stoppen, die es vorher noch nie gab.
Deep Instinct gibt es für drei Bereiche:
| Modul | Schützt | Typischer Einsatz |
|---|---|---|
| Endpoint (DPE) | Laptops, Arbeitsplätze, Server | prüft Dateien lokal auf dem Gerät, auch ohne Cloud-Verbindung |
| Anwendungen (DPA) | Webanwendungen, Upload-Portale, Datenströme | prüft Dateien, die über Anwendungen ins Unternehmen kommen |
| Speicher (DPS) | Netzwerkspeicher und Cloud-Speicher | prüft Dateien schon beim Ablegen, bevor jemand sie öffnet |
Der Vorteil des präventiven Ansatzes: Ein Angriff wird gestoppt, bevor Schaden entsteht, und nicht erst erkannt, wenn er schon läuft. Eine Garantie ist aber auch das nicht. Kein einzelnes Produkt erkennt jeden Angriff. Deshalb gehört präventiver Schutz in ein Gesamtkonzept mit Erkennung und Reaktion, etwa über EDR und XDR.
Sechs Maßnahmen gegen Zero-Day-Angriffe
Einen Zero-Day kann man nicht verhindern. Man kann aber dafür sorgen, dass er weniger Schaden anrichtet. Diese Maßnahmen empfiehlt das BSI in seinen Warnungen immer wieder:
- Angriffsfläche verkleinern. Administrative Zugänge zu Firewalls, VPN und anderen Perimeter-Systemen gehören laut BSI nicht ins offene Internet. Wo es nicht anders geht, wird der Zugriff auf bekannte IP-Adressen beschränkt.
- Schnell patchen, sobald es einen Patch gibt. Das BSI empfiehlt, Perimeter-Systeme stets umgehend zu aktualisieren. Wer Sicherheitswarnungen abonniert, etwa über den Warn- und Informationsdienst des BSI, erfährt früher davon.
- Nach dem Patch prüfen, ob schon jemand drin war. Bei Zero-Days ist es gut möglich, dass Angreifer die Lücke ausgenutzt haben, bevor sie öffentlich wurde. Das BSI rät in solchen Fällen regelmäßig dazu, Systeme auf eine bereits erfolgte Kompromittierung zu untersuchen und Zugangsdaten auszutauschen.
- Präventiven Schutz und Verhaltenserkennung kombinieren. Lösungen mit Deep Learning stoppen unbekannte Dateien vor der Ausführung, EDR erkennt verdächtiges Verhalten danach. Für exponierte Server empfiehlt das BSI ausdrücklich EDR- und SIEM-Lösungen zur frühen Erkennung.
- Netz segmentieren. Wenn ein Angreifer über eine Lücke hereinkommt, sollte er nicht sofort das ganze Netz erreichen. Mit Mikrosegmentierung bleibt der Schaden auf einen kleinen Bereich begrenzt.
- Veraltete Systeme ersetzen. Produkte ohne Sicherheitsupdates bekommen auch nach einem Zero-Day keinen Patch mehr. Das BSI empfiehlt, laufend zu prüfen, ob eingesetzte Systeme noch versorgt werden, und sie bei Supportende auszutauschen.
Was tun, wenn eine Zero-Day-Warnung Sie betrifft?
Das BSI ordnet seine Cybersicherheitswarnungen nach einer Ampel ein. Bei Orange müssen Maßnahmen unverzüglich ergriffen werden, bei Rot sofort. Wenn eine Warnung ein Produkt betrifft, das Sie einsetzen, hat sich diese Reihenfolge bewährt:
- Herstellerempfehlungen sofort umsetzen, auch vorläufige Workarounds, solange es noch keinen Patch gibt
- betroffene Systeme im Zweifel vom Internet trennen, bis sie abgesichert sind
- Patch einspielen, sobald er verfügbar ist
- Protokolle und Systeme auf Spuren eines Angriffs prüfen, am besten mit Unterstützung von Fachleuten
- Passwörter, Schlüssel und Zertifikate tauschen, wenn eine Kompromittierung nicht sicher ausgeschlossen werden kann
Falls sich zeigt, dass Angreifer bereits im Netz waren, zählt jede Stunde. Was dann zu tun ist, lesen Sie in unserem Beitrag zur IT-Notfallhilfe für Unternehmen.
Fazit: Schneller sein als der Patch
Zero-Day-Exploits lassen sich nicht vollständig verhindern. Wer aber die Angriffsfläche klein hält, schnell patcht, nach jeder Warnung auf Spuren prüft und unbekannte Schadsoftware schon vor der Ausführung stoppt, nimmt Angreifern den größten Teil ihres Vorsprungs. Präventive Lösungen wie Deep Instinct und Verhaltenserkennung mit EDR ergänzen sich dabei gegenseitig.
Sie wollen wissen, wie gut Ihr Unternehmen gegen unbekannte Angriffe geschützt ist? Wir prüfen Ihre Systeme und zeigen Ihnen, wo präventiver Schutz bei Ihnen am meisten bringt. Kostenlose Erstberatung buchen
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland 2025
- BSI: Cybersicherheitswarnung Microsoft SharePoint, massive Ausnutzung einer Zero-Day-Schwachstelle (2025)
- BSI: Cybersicherheitswarnung Fortinet, Zero-Day-Schwachstelle bei SAML SSO (2026)
- BSI: Cybersicherheitswarnung Ivanti EPMM, aktive Angriffe über Zero-Day-Schwachstellen (2026)
- BSI: Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich Künstlicher Intelligenz
