Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um unerlaubte Aktionen auszulösen – etwa Codeausführung, Rechteausweitung oder einen Absturz.
Ein Exploit ist das Werkzeug, das eine Schwachstelle in eine tatsächliche Wirkung übersetzt. Die Schwachstelle ist der Fehler in Software, Konfiguration oder Protokoll; der Exploit ist der Code oder die Abfolge von Schritten, die diesen Fehler gezielt ausnutzt, um etwas zu erreichen, das eigentlich nicht möglich sein sollte – fremden Code ausführen, Rechte ausweiten, Schutzmechanismen umgehen oder ein System zum Absturz bringen. Ohne Exploit bleibt eine Schwachstelle theoretisch; mit Exploit wird sie zum Angriff.
Man unterscheidet nach Reifegrad und Verfügbarkeit: Ein Proof-of-Concept belegt nur, dass die Ausnutzung grundsätzlich möglich ist; ein „weaponized“ Exploit ist für den zuverlässigen Einsatz ausgereift; ein Zero-Day-Exploit nutzt eine noch unbekannte Lücke (Zero-Day). In MITRE ATT&CK taucht die Ausnutzung in mehreren Taktiken auf, etwa als „Exploit Public-Facing Application“ (T1190) beim Erstzugriff oder als „Exploitation for Privilege Escalation“ (T1068).
So funktioniert es
Ob ein Exploit für Verteidiger dringlich ist, hängt von mehreren Faktoren ab, die über die reine CVSS-Bewertung hinausgehen:
- Erreichbarkeit: Ist das verwundbare System aus dem Internet erreichbar oder nur intern? Ein Exploit gegen ein internetseitiges Gateway ist ungleich kritischer.
- Interaktion: Funktioniert der Exploit ohne Zutun eines Nutzers? Exploits, die ohne Interaktion auskommen, eignen sich für automatisierte Massenangriffe.
- Verfügbarkeit: Existiert öffentlicher Exploit-Code? Sobald ein zuverlässiger Exploit kursiert, steigt die Zahl der Angriffe sprunghaft.
- Aktive Ausnutzung: Wird die Lücke bereits angegriffen? Behörden wie die CISA führen dazu einen Katalog bekannter ausgenutzter Schwachstellen (KEV).
Für die Priorisierung ist die Kombination aus „öffentlich erreichbar“, „kein Nutzerzutun nötig“ und „Exploit verfügbar“ das Alarmsignal. Genau solche Lücken werden nach Bekanntwerden oft innerhalb von Stunden flächig ausgenutzt.
Bedeutung für Unternehmen
Die Existenz einer Schwachstelle in einer Schwachstellenliste sagt für sich genommen wenig. Entscheidend ist, ob ein praktikabler Exploit existiert und ob das betroffene System in Ihrer Umgebung erreichbar ist. Laut Mandiant M-Trends 2026 waren ausgenutzte Schwachstellen mit 32 Prozent der häufigste Erstzugriffsweg – der BSI-Lagebericht 2025 nennt durchschnittlich 119 neue Schwachstellen pro Tag. Ohne Priorisierung ertrinkt jedes Patch-Management in dieser Menge.
In unseren Penetrationstests nutzen wir Exploits kontrolliert, um zu belegen, dass eine Schwachstelle in Ihrer konkreten Umgebung tatsächlich ausnutzbar ist – nicht nur theoretisch vorhanden. Das verwandelt eine abstrakte Scan-Liste in eine belastbare Risikoaussage.
Schutz und Prüfung
- Risikobasiert patchen: Nicht stur nach CVSS, sondern nach Erreichbarkeit, Exploit-Verfügbarkeit und aktiver Ausnutzung priorisieren (Patch-Management).
- KEV-Katalog nutzen: Den Katalog bekannter ausgenutzter Schwachstellen der CISA als Priorisierungshilfe heranziehen.
- Angriffsfläche verkleinern: Nicht erreichbare Systeme sind gegen den zugehörigen Exploit immun (Attack Surface Management).
- Tiefenverteidigung: Härtung, Segmentierung und Verhaltenserkennung begrenzen die Wirkung eines gelungenen Exploits.
- Ausnutzbarkeit belegen lassen: Ein Penetrationstest zeigt, welche der vielen gemeldeten Schwachstellen in Ihrer Umgebung real ausnutzbar sind – und welche nachrangig bleiben können.