Zero-Day-Exploits sind eine der beunruhigendsten Bedrohungen in der modernen Cybersicherheit: Laut dem IBM Cost of a Data Breach Report 2024 dauert es im Durchschnitt 212 Tage, bis eine Zero-Day-Schwachstelle entdeckt wird — und weitere 75 Tage, bis ein Patch eingespielt ist. In dieser Zeit haben Angreifer freien Zugang zu den betroffenen Systemen. Für Schweizer KMU, die oft nicht über spezialisierte Sicherheitsteams verfügen, können Zero-Day-Angriffe besonders verheerende Folgen haben.

Was ist ein Zero-Day Exploit?

Der Begriff “Zero-Day” bezieht sich auf die Anzahl der Tage, die einem Softwareanbieter zur Verfügung stehen, um eine neu entdeckte Schwachstelle zu beheben: null. Eine Zero-Day-Schwachstelle ist eine Sicherheitslücke in Software, Hardware oder Firmware, die dem Hersteller noch nicht bekannt ist — und für die daher noch kein Sicherheitspatch existiert.

Ein Zero-Day-Exploit ist der Angriffscode oder die Angriffsmethode, mit der diese Schwachstelle ausgenutzt wird. Wenn Angreifer eine solche Schwachstelle kennen, bevor der Hersteller sie kennt, haben sie einen asymmetrischen Vorteil: Sie können angreifen, ohne dass Verteidiger schützen können.

Der Lebenszyklus einer Zero-Day-Schwachstelle

Phase 1 — Entdeckung: Ein Forscher, ein krimineller Hacker oder ein staatlicher Geheimdienst entdeckt eine Schwachstelle in einer Software. Ab diesem Moment ist sie ein “Zero-Day”.

Phase 2 — Ausnutzung (Exploitation): Wenn ein böswilliger Akteur die Schwachstelle findet, wird ein Exploit entwickelt. Diese Phase kann Tage bis Monate dauern, je nach Komplexität der Schwachstelle.

Phase 3 — Entdeckung durch Defender: Sicherheitsforscher oder Hersteller entdecken die Schwachstelle — entweder durch eigene Analyse, durch Beobachtung von Angriffen oder durch Responsible Disclosure von Forschern. Ab diesem Moment ist die Schwachstelle kein “Zero-Day” mehr — aber noch kein Patch vorhanden.

Phase 4 — Patch-Entwicklung: Der Hersteller entwickelt und testet einen Sicherheitspatch. Dies dauert typischerweise Wochen bis Monate.

Phase 5 — Patch-Veröffentlichung und -Installation: Der Patch wird veröffentlicht und Kunden müssen ihn installieren. Dies ist oft der kritischste Schritt — viele Organisationen installieren Patches verzögert oder gar nicht.

Phase 6 — “N-Day”-Phase: Nach Veröffentlichung des Patches sind Systeme, die ihn noch nicht installiert haben, besonders gefährdet. Angreifer kennen nun die genaue Schwachstelle und können einfachen Exploit-Code verwenden.

Berühmte Zero-Day-Exploits und ihre Auswirkungen

Log4Shell (CVE-2021-44228): Der “schlimmste Exploit aller Zeiten”

Im Dezember 2021 wurde eine kritische Zero-Day-Schwachstelle in Log4j entdeckt, einer weit verbreiteten Java-Logging-Bibliothek. Log4j ist in Millionen von Anwendungen weltweit eingebettet — von Unternehmensanwendungen bis hin zu Minecraft-Servern.

Die Schwachstelle ermöglichte Remote Code Execution (RCE): Ein Angreifer musste lediglich eine speziell gestaltete Zeichenfolge in ein Textfeld eingeben, das von einer Log4j-Anwendung protokolliert wurde. Der Rest geschah automatisch.

Innerhalb von 72 Stunden nach Bekanntgabe wurden über 1,8 Millionen Angriffsversuche weltweit registriert. Die Schwachstelle betraf Systeme von Apple, Amazon, Google, Microsoft und unzähligen weiteren Unternehmen. In der Schweiz warnte das damalige NCSC dringend zur sofortigen Aktualisierung.

Das Besondere an Log4Shell: Die Schwachstelle lag nicht in einer Kernkomponente, sondern in einer Bibliothek, die Entwickler in ihre eigene Software eingebaut hatten. Viele Unternehmen wussten gar nicht, dass sie Log4j verwendeten — ein klassisches Supply-Chain-Problem. Details zu solchen Supply Chain Angriffen finden Sie in unserem entsprechenden Beitrag.

Microsoft Exchange ProxyLogon (CVE-2021-26855 und weitere)

Im März 2021 wurden vier kritische Zero-Day-Schwachstellen in Microsoft Exchange Server bekannt. Zusammen ermöglichten sie Angreifern, sich Administratorzugang zu Exchange-Servern zu verschaffen — ohne Passwort.

Noch am Tag der Veröffentlichung begannen Angreifer weltweit, die Schwachstellen automatisiert auszunutzen. Mehr als 250’000 Exchange-Server wurden kompromittiert, darunter viele schweizerische KMU und Behörden. Die Angreifer installierten Web Shells — versteckte Backdoors — die sie Monate später für Ransomware-Angriffe nutzten.

EternalBlue und WannaCry (2017)

EternalBlue ist ein von der NSA entwickelter Exploit für eine Windows-Schwachstelle. Nach dem Leak durch die Shadow Brokers wurde der Exploit für den WannaCry-Ransomware-Angriff genutzt, der 2017 mehr als 200’000 Computer in 150 Ländern traf — darunter den britischen National Health Service und zahlreiche Industriebetriebe.

Stuxnet (2010): Der erste bekannte staatliche Cyber-Weaponized Zero-Day

Stuxnet nutzte gleich vier Zero-Day-Schwachstellen gleichzeitig — ein historisch einmaliger Aufwand, der auf staatliche Ressourcen (vermutlich USA und Israel) hindeutet. Das Ziel war das iranische Atomprogramm. Stuxnet zeigte, dass Zero-Day-Exploits als geopolitische Waffe eingesetzt werden können.

“Zero-Day-Schwachstellen sind das Herzstück moderner Cyberkriegsführung und organisierter Cyberkriminalität. Für KMU bedeutet das: Wer nur auf Patches wartet, ist immer einen Schritt hinter den Angreifern.”

— SWITCH-CERT Jahresbericht 2024

Warum Patching allein nicht ausreicht

Die instinktive Reaktion auf Zero-Day-Berichte ist: “Wir spielen sofort alle Patches ein.” Das ist richtig — aber nicht genug. Hier ist warum:

Das Patch-Lag-Problem

  • 212 Tage: Durchschnittliche Zeit von der Entstehung bis zur Entdeckung einer Zero-Day-Schwachstelle (IBM 2024)
  • 75 Tage: Durchschnittliche Zeit von der Entdeckung bis zum vollständigen Patching durch Unternehmen
  • Viele KMU brauchen länger — weil IT-Ressourcen fehlen, Patches getestet werden müssen oder Legacy-Systeme inkompatibel sind

In dieser Zeit kann ein Angreifer alle notwendigen Backdoors installiert und Daten exfiltriert haben — auch wenn Sie danach sofort patchen.

Zero-Days in eingebetteten Systemen

Software, die von Drittanbietern entwickelt wird und in Ihre Produkte oder Prozesse eingebettet ist, erhält oft keine rechtzeitigen Patches — oder die Patches müssen durch den Drittanbieter eingespielt werden. Veraltete Bibliotheken, End-of-Life-Betriebssysteme (Windows 7, Windows Server 2012) und ungepatchte IoT-Geräte sind in vielen KMU Realität.

N-Day-Angriffe: Bekannte Schwachstellen, ungepatchte Systeme

Besonders gefährlich: Viele erfolgreiche Angriffe nutzen keine echten Zero-Days, sondern bekannte Schwachstellen aus, für die bereits Patches existieren — die aber nie installiert wurden. Laut Verizon DBIR 2024 wurden 68% der bekannten ausgenutzten Schwachstellen mehr als ein Jahr nach Veröffentlichung des Patches ausgenutzt.

Das bedeutet: Konsequentes Patch-Management ist absolut notwendig — aber es eliminiert nur einen Teil des Risikos.

Defense-in-Depth: Der richtige Schutz gegen Zero-Days

Da Patching allein nicht ausreicht, brauchen KMU eine mehrschichtige Sicherheitsarchitektur (Defense in Depth). Das Ziel: Selbst wenn ein Angreifer eine Schwachstelle ausnutzt, soll er nicht weit kommen.

Schicht 1: Netzwerksicherheit

Netzwerksegmentierung: Teilen Sie Ihr Netzwerk in Zonen auf. Systeme, die nicht miteinander kommunizieren müssen, sollen es auch nicht können. Ein kompromittiertes System in der DMZ darf nicht auf das Buchhaltungssystem zugreifen.

Next-Generation Firewalls (NGFW): Moderne Firewalls erkennen und blockieren anomalen Traffic, selbst wenn die Schwachstelle unbekannt ist. Sie analysieren das Verhalten des Traffics, nicht nur Signaturen.

Intrusion Detection/Prevention Systems (IDS/IPS): Diese Systeme erkennen Angriffsmuster im Netzwerktraffic — auch für neue Angriffstechniken, sofern das Verhalten bekannten Mustern entspricht.

Schicht 2: Endpunkt-Sicherheit

EDR (Endpoint Detection and Response): Moderne EDR-Lösungen wie CrowdStrike Falcon, Microsoft Defender for Endpoint oder SentinelOne überwachen das Verhalten von Prozessen auf Endgeräten. Anstatt nach bekannten Signaturen zu suchen, erkennen sie anomales Verhalten — auch bei neuen, unbekannten Exploits.

Application Whitelisting: Nur vorab genehmigte Anwendungen dürfen ausgeführt werden. Exploit-Code, der versucht, unbekannte Prozesse zu starten, wird geblockt.

Browser-Isolation: Webbrowser werden in einer isolierten Sandbox-Umgebung ausgeführt. Zero-Day-Exploits im Browser können so nicht auf das restliche System zugreifen.

Schicht 3: Identität und Zugriffsmanagement

Least Privilege Principle: Jeder Nutzer und jeder Prozess hat nur die Rechte, die er tatsächlich benötigt. Ein Exploit, der einen normalen Nutzeraccount kompromittiert, hat so keinen Zugang zu administrativen Funktionen.

Multi-Faktor-Authentifizierung (MFA): Selbst wenn ein Angreifer über einen Zero-Day-Exploit Zugangsdaten stiehlt, kann er sich ohne das zweite Faktor nicht einloggen. Details zu Passwort- und MFA-Strategien finden Sie in unserem Beitrag zur Passwort-Sicherheit für Unternehmen.

Privileged Access Management (PAM): Administrative Zugänge werden streng kontrolliert, protokolliert und zeitlich begrenzt.

Schicht 4: Datensicherheit

Encryption at Rest and in Transit: Selbst wenn Angreifer Daten stehlen, sind sie ohne Entschlüsselungsschlüssel wertlos.

Data Loss Prevention (DLP): DLP-Systeme erkennen und blockieren ungewöhnliche Datenexfiltration — ein Warnsignal für laufende Angriffe.

Immutable Backups: Regelmässige, unveränderliche Backups sind die letzte Verteidigungslinie. Auch wenn ein Angriff erfolgreich war, kann der Schaden begrenzt werden.

Schicht 5: Threat Intelligence und Monitoring

SIEM (Security Information and Event Management): Zentrale Protokollierung und Analyse aller Sicherheitsereignisse ermöglicht die frühzeitige Erkennung von Angriffen — auch wenn einzelne Warnzeichen zunächst unverdächtig wirken.

Threat Intelligence Feeds: Abonnieren Sie Informationen über aktuelle Bedrohungen und Zero-Day-Schwachstellen von Quellen wie dem BACS, SWITCH-CERT oder kommerziellen Anbietern. Schnelle Information bedeutet schnellere Reaktion.

Vulnerability Management: Regelmässige automatisierte Scans Ihrer Systeme auf bekannte Schwachstellen sind die Grundlage eines effektiven Patch-Managements.

Schicht 6: Mitarbeitende und Prozesse

Security Awareness Training: Ein erheblicher Teil der Zero-Day-Angriffe beginnt mit Phishing, das dann einen Zero-Day-Exploit aktiviert. Gut geschulte Mitarbeitende sind die erste Verteidigungslinie.

Incident Response Plan: Wenn ein Zero-Day-Angriff stattfindet, zählt jede Minute. Ein vorbereiteter, getesteter Incident Response Plan reduziert die Schadensdauer erheblich.

Regelmässige Sicherheitsüberprüfungen: Eine Cybersecurity-Checkliste für KMU hilft, den aktuellen Sicherheitsstatus systematisch zu überprüfen.

Zero-Days und Cloud-Sicherheit

Die zunehmende Nutzung von Cloud-Diensten verändert das Zero-Day-Risiko: Einerseits profitieren KMU von der schnelleren Patch-Geschwindigkeit grosser Cloud-Anbieter wie Microsoft, AWS oder Google. Andererseits entstehen neue Angriffsflächen durch Cloud-APIs und Fehlkonfigurationen. Details dazu in unserem Beitrag über Cloud Security Risiken für KMU.

Regulatorische Anforderungen und Zero-Days

Das Schweizer Datenschutzgesetz (nDSG) und internationale Regulierungen wie DORA (für den Finanzsektor) verlangen von Unternehmen, angemessene technische und organisatorische Massnahmen zum Schutz personenbezogener Daten zu implementieren. Ein Zero-Day-Angriff, der zu einer Datenpanne führt, kann trotzdem regulatorische Konsequenzen haben — wenn das Unternehmen nachweislich keine adäquaten Schutzmassnahmen implementiert hatte.

Details zu den regulatorischen Anforderungen in der Schweiz finden Sie in unserer nDSG-Checkliste für KMU. Für Finanzunternehmen gelten zusätzliche FINMA-Anforderungen — mehr dazu in unserem Beitrag zur Cybersecurity im Finanzsektor Schweiz.

Zero-Day Exploits und der Markt für Schwachstellen

Ein wenig bekannter, aber wichtiger Aspekt: Es gibt einen aktiven Markt für Zero-Day-Exploits. Regierungen, Sicherheitsfirmen und Kriminelle zahlen enorme Summen für bisher unbekannte Schwachstellen in weit verbreiteter Software:

  • Staatliche Akteure kaufen Zero-Days für Spionage und Cyberkriegsführung (Preise: bis zu mehrere Millionen USD für besonders wertvolle Exploits)
  • Bug-Bounty-Programme belohnen Forscher, die Schwachstellen verantwortungsbewusst melden (Preise: USD 1’000 bis 1 Million je nach Schwere und Anbieter)
  • Darknet-Marktplätze verkaufen Zero-Days an Kriminelle

Für KMU bedeutet das: Sobald ein Zero-Day im Umlauf ist — ob durch ein Leak oder eine öffentliche Entdeckung — kann davon ausgegangen werden, dass viele Akteure ihn gleichzeitig ausnutzen.

“Kein System ist zu komplex oder zu unbedeutend für Zero-Day-Angriffe. Was zählt, ist nicht die Grösse des Unternehmens — es ist der Wert der Daten und die Qualität der Verteidigung.”

— Cybersecurity-Forscher, ETH Zürich Information Security Group

Red Teaming: Schwachstellen entdecken, bevor Angreifer es tun

Das grundlegende Problem mit Zero-Days ist, dass man sie per Definition nicht kennt. Was man aber wissen kann, ist: Wie gut würde das eigene Unternehmen einem Zero-Day-Angriff standhalten?

Hier kommt Red Teaming ins Spiel. Red-Team-Experten denken und handeln wie echte Angreifer — sie suchen nach Schwachstellen, die bisher niemand entdeckt hat.

Vulnerability Research: Erfahrene Red-Team-Experten analysieren die eingesetzte Software und Infrastruktur aktiv nach unbekannten Schwachstellen — mit denselben Methoden wie professionelle Angreifer. Dabei werden manchmal echte Zero-Days entdeckt, die dem Hersteller dann verantwortungsbewusst gemeldet werden.

Defense-in-Depth-Validierung: Das Red Team testet, ob Ihre mehrschichtige Sicherheitsarchitektur tatsächlich funktioniert. Selbst wenn eine Schwachstelle ausgenutzt wird — kann der Angreifer sich fortbewegen? Daten stehlen? Ransomware deployen?

Assumed Breach Scenarios: Das Red Team startet mit der Annahme, dass ein Zero-Day bereits ausgenutzt wurde, und testet, welchen Schaden ein Angreifer in Ihrem Netzwerk anrichten könnte. Die Ergebnisse sind oft ernüchternd — und hochwertvoll.

Patch-Management-Prüfung: Das Red Team prüft, welche bekannten Schwachstellen (N-Days) in Ihrer Infrastruktur noch nicht gepatcht sind. Oft findet sich hier die grösste unmittelbare Gefahr.

Den detaillierten Überblick über Red Teaming als Sicherheitsmethodik bietet unser Leitfaden Was ist Red Teaming?. Den Unterschied zu klassischen Penetrationstests — und wann welcher Ansatz sinnvoll ist — erklärt unser Vergleich Red Teaming vs. Penetrationstest.

Fazit

Zero-Day Exploits sind eine ernste, aber keine unüberwindliche Bedrohung. Der Schlüssel liegt im Verständnis: Patching ist notwendig, aber nicht hinreichend. Eine mehrschichtige Defense-in-Depth-Architektur, die Netzwerksegmentierung, modernes Endpoint-Monitoring, konsequentes Identitätsmanagement und regelmässige Sicherheitstests kombiniert, reduziert das Risiko erheblich.

Kein KMU kann Zero-Day-Angriffe vollständig ausschliessen — aber jedes KMU kann sicherstellen, dass ein Angriff so früh wie möglich erkannt wird und so wenig Schaden wie möglich anrichtet.

Wissen Sie, wie weit ein Zero-Day-Angriff in Ihrer Infrastruktur vordringen könnte? Professionelles Red Teaming gibt Ihnen die Antwort — und zeigt konkrete Wege auf, wie Sie Ihre Resilienz verbessern können. Fordern Sie jetzt eine unverbindliche Erstberatung an.