Eine Schwachstelle ist ein Fehler oder eine Fehlkonfiguration in Software, Hardware, Prozessen oder Organisation, den ein Angreifer ausnutzen kann, um Schutzziele zu verletzen.
Eine Schwachstelle (Vulnerability) ist eine Eigenschaft eines Systems, einer Anwendung, eines Prozesses oder einer Organisation, die es einem Angreifer ermöglicht, Sicherheitsmaßnahmen zu umgehen oder Schutzziele zu verletzen. Der Begriff ist weiter gefasst, als viele annehmen: Neben Programmierfehlern wie Pufferüberläufen oder SQL Injection zählen auch Fehlkonfigurationen, schwache Passwörter, fehlende Berechtigungskonzepte, veraltete Protokolle und organisatorische Lücken wie fehlende Vertretungsregelungen dazu.
Eine Schwachstelle allein ist noch kein Schaden. Erst wenn ein Angreifer sie findet, einen passenden Exploit hat und die Gelegenheit zur Ausnutzung besteht, entsteht ein Risiko. Diese Unterscheidung zwischen Schwachstelle, Bedrohung und Risiko ist die Grundlage jeder Priorisierung.
Arten und Bewertung
- Software-Schwachstellen: Fehler im Code von Betriebssystemen, Anwendungen oder Bibliotheken. Öffentlich bekannte Fälle erhalten eine CVE-Nummer und eine Schweregradbewertung nach CVSS. Laut BSI-Lagebericht 2025 wurden im Schnitt 119 neue Schwachstellen pro Tag veröffentlicht, ein Plus von 24 Prozent.
- Konfigurationsschwachstellen: Standardpasswörter, offene Freigaben, zu weit gefasste Berechtigungen, deaktivierte Sicherheitsfunktionen. Sie tauchen in keiner CVE-Datenbank auf, sind aber in Active-Directory-Umgebungen der häufigste Weg zum Domain Admin.
- Architekturschwachstellen: fehlende Netzwerksegmentierung, flache Berechtigungsstrukturen, Single Points of Failure.
- Menschliche und organisatorische Schwachstellen: fehlende Awareness, unklare Prozesse, Zeitdruck, der Social Engineering begünstigt.
Eine Sonderstellung nehmen Zero-Days ein, Schwachstellen, für die zum Zeitpunkt der Ausnutzung kein Patch existiert. Sie sind medial präsent, in der Praxis aber selten der entscheidende Faktor: Die meisten erfolgreichen Angriffe nutzen längst bekannte Lücken.
Bedeutung für Unternehmen
Ausgenutzte Schwachstellen sind laut Mandiant M-Trends 2026 mit 32 Prozent der häufigste Erstzugriffsvektor, noch vor Phishing. Der Verizon DBIR 2026 nennt 31 Prozent. Das Problem ist selten mangelndes Wissen, sondern die Menge: Kein Unternehmen kann alle Schwachstellen sofort schließen. Entscheidend ist, die richtigen zuerst zu beheben.
Hier liegt der Unterschied zwischen Scanner und Angreifer. Ein Schwachstellenscan liefert Tausende Funde, bewertet nach generischem CVSS-Wert. Ein Angreifer verkettet dagegen mehrere mittelschwere Schwächen zu einem kritischen Pfad: eine lesbare Freigabe mit einem Konfigurationsskript, darin ein Service-Passwort, damit Zugriff auf einen Server, der Domain-Admin-Anmeldedaten im Speicher hält. Keine dieser Schwachstellen wäre einzeln „kritisch“ gewesen. Penetrationstests und Red Teaming machen genau diese Verkettung sichtbar.
Praxis-Hinweise
- Priorisieren Sie nach Ausnutzbarkeit und Exposition, nicht nur nach CVSS: Was ist aus dem Internet erreichbar, wofür existiert ein öffentlicher Exploit, was wird aktiv ausgenutzt?
- Behandeln Sie Konfigurationsschwachstellen gleichrangig mit Software-Lücken. Sie sind im internen Netz meist der entscheidende Faktor.
- Etablieren Sie Patch-Management mit verbindlichen Fristen nach Kritikalität und messen Sie die Einhaltung.
- Lassen Sie Scanergebnisse regelmäßig durch einen manuellen Test ergänzen, der Angriffspfade statt Einzelfunde zeigt.
- Behandeln Sie jede Schwachstelle bis zum Retest: Behoben ist, was nachweislich nicht mehr ausnutzbar ist.