Was ist eine IT-Sicherheitslücke?

Eine Schwachstelle ist kein Angriff

Eine Sicherheitslücke oder Schwachstelle ist eine Schwäche, die ausgenutzt werden kann. Sie kann in ungepatchter Software, veralteten Geräten, einer Konfiguration, einem Authentifizierungsverfahren oder einem internen Ablauf liegen. Vulnerability-Lookup des CIRCL zeigt den sichtbarsten Teil des Problems: öffentlich erfasste technische Schwachstellen. Nicht jede Schwäche erhält jedoch eine öffentliche Kennung.

Drei Begriffe sind zu trennen. Die Schwachstelle ist der vorhandene Mangel. Die Bedrohung kann diesen Mangel ausnutzen, etwa durch Angreifer oder Schadsoftware. Erst ein Ereignis, das Vertraulichkeit, Integrität oder Verfügbarkeit tatsächlich beeinträchtigt, ist ein Sicherheitsvorfall. So wird aus einem entdeckten Fehler nicht vorschnell eine angeblich bestätigte Kompromittierung.

Warum haben Schwachstellen unterschiedliche Prioritäten?

Ein technischer Schweregrad allein genügt nicht. Eine kritische Schwachstelle auf einem abgeschalteten, isolierten Server kann weniger dringend sein als eine niedriger bewertete Lücke in einem öffentlich erreichbaren Dienst. Zu berücksichtigen sind bekannte Ausnutzung, Exposition, erreichbare Rechte, verarbeitete Daten und mögliche Betriebsfolgen. Die European Vulnerability Database der ENISA und der CIRCL-Dienst liefern öffentliche Informationen, ersetzen aber nicht die Bewertung des eigenen Unternehmenskontexts.

Wie sollte ein Unternehmen vorgehen?

Zunächst muss bekannt sein, welche Geräte, Anwendungen und Dienste tatsächlich genutzt werden. Ohne Inventar lässt sich nicht feststellen, ob eine Warnung das Unternehmen betrifft. Danach sind Hinweise von Herstellern und Behörden zu verfolgen, Patches bei Bedarf zu testen, nach dokumentierter Priorität einzuspielen und anschließend zu kontrollieren. Der Leitfaden zur IT-Hygiene der ANSSI empfiehlt unter anderem aktuelle Komponenten, beherrschte Benutzerkonten und geschützte Sicherungen.

Kann ein Patch nicht sofort installiert werden, kann eine Ersatzmaßnahme die Exposition verringern: Funktionen deaktivieren, Zugriffe beschränken, Geräte isolieren oder die Überwachung verstärken. Die Maßnahme benötigt eine verantwortliche Person und einen Endtermin. Ein unbegrenzter Aufschub ist keine Behebung.

Was ist nach der Behebung zu kontrollieren?

Mit der Installation eines Patches ist die Prüfung nicht beendet. Kontrollieren Sie die aktive Version, die Funktion des Dienstes und mögliche Spuren einer früheren Ausnutzung. Protokolle können dabei helfen: Die ANSSI erläutert, dass Ereignisprotokolle sowohl zur Erkennung als auch zur nachträglichen Rekonstruktion eines Vorfalls dienen.

Ein Fall: eine Schwachstelle bei einem Dritten, Opfer, die sie nie installiert hatten

Am 31. Mai 2023 veröffentlichte Progress Software einen kritischen Hinweis zu MOVEit Transfer, einer Software für den Dateitransfer in Unternehmen. Die Schwachstelle mit der Kennung CVE-2023-34362 ist eine SQL-Injection: Sie erlaubt einem nicht authentifizierten Angreifer den Zugriff auf die Datenbank des Servers.

Der gemeinsame Hinweis von FBI und CISA vom 7. Juni 2023 hält fest, dass die Gruppe CL0P die Schwachstelle bereits am 27. Mai ausnutzte, vier Tage vor der öffentlichen Bekanntgabe. Die Angreifer installierten eine Komponente namens LEMURLOOT, um die gespeicherten Dateien abzuziehen, und forderten anschließend Zahlungen.

Für ein luxemburgisches KMU ist nicht MOVEit das Thema. Entscheidend ist, dass ein großer Teil der betroffenen Organisationen die Software nie installiert hatte. Sie wurden getroffen, weil ein Dienstleister sie für sie einsetzte: Lohnbüro, Steuerberatung, Versicherer, Fachsoftwareanbieter. Die Personalakte eines Betriebs mit zwanzig Beschäftigten konnte auf einem Server liegen, von dessen Existenz er nichts wusste.

Daraus ergeben sich drei Erkenntnisse, und keine davon setzt technisches Wissen voraus:

• Eine Schwachstelle trifft auch über Dritte. Zu überwachen sind nicht die eigenen Geräte, sondern die anvertrauten Daten.
• Die Frist zur Behebung zählt in Stunden, nicht in Wochen. Zwischen dem Hinweis und der massenhaften Ausnutzung lagen wenige Tage. Der Hinweis von FBI und CISA sagt es deutlich: Rechtzeitiges Einspielen von Sicherheitsupdates sei eine der wirksamsten und kostengünstigsten Maßnahmen, die eine Organisation ergreifen könne.
• Es gibt Schwachstellen, die vor ihrer Veröffentlichung ausgenutzt werden. Das entbindet nicht vom Einspielen des Updates; es erklärt, warum Erkennung und Sicherungen ebenso wichtig sind wie die Korrektur.

Was ein KMU entscheiden muss

Die folgenden Entscheidungen sind nicht technisch. Sie werden auf Leitungsebene getroffen, festgehalten und einer verantwortlichen Person zugewiesen.

• Wer erhält Sicherheitshinweise, und an welche Adresse? Eine Warnung an ein Postfach, das einmal pro Woche geleert wird, ist keine Warnung. In Luxemburg verbreitet CIRCL solche Hinweise kostenlos.
• Welche Frist gilt höchstens zwischen einem kritischen Hinweis und seiner Behebung? „72 Stunden für alles, was im Internet erreichbar ist“ aufzuschreiben ist besser, als nichts aufzuschreiben. Eine nicht gesetzte Frist wird zu einer unendlichen.
• Wer darf entscheiden, einen Dienst für die Behebung anzuhalten? Ohne diese Antwort wartet die Korrektur auf jemanden, der den Betrieb nicht zu unterbrechen wagt.
• Welche Dienstleister halten unsere Daten, und wie warnen sie uns? Diese Frage gehört in den Vertrag, nicht in den Vorfall. Genau sie fehlte den meisten MOVEit-Opfern.
• Was geschieht, wenn ein Update nicht eingespielt werden kann? Die Ersatzmaßnahme braucht eine verantwortliche Person und ein Enddatum. Ohne Frist wird sie zum Dauerzustand.

Quellen

Links geprüft am 28. September 2026.

• FBI und CISA, gemeinsamer Hinweis AA23-158A, 7. Juni 2023, aktualisiert am 16. Juni 2023: cisa.gov.
• Progress Software, Sicherheitshinweis MOVEit Transfer, 31. Mai 2023: community.progress.com.
• CISA, Katalog bekannter ausgenutzter Schwachstellen: cisa.gov.
• ENISA, europäische Schwachstellendatenbank: euvd.enisa.europa.eu.
• CIRCL, Vulnerability-Lookup: vulnerability.circl.lu.
• CIRCL, luxemburgisches Zentrum für Vorfallsreaktion: circl.lu.

Die fortlaufende Erkennung behandelt der Artikel Was ist ein SOC?. Die Möglichkeiten und Grenzen eines Netzwerksensors erläutert Cybersicherheits-Sonde: Definition, Nutzen und Grenzen.