Ein Zero-Day ist eine Schwachstelle, die dem Hersteller noch unbekannt ist und für die es keinen Patch gibt – Angreifer können sie ausnutzen, bevor eine Abwehr existiert.
Ein Zero-Day ist eine Sicherheitslücke, die dem Hersteller der betroffenen Software noch nicht bekannt ist – oder für die zumindest noch kein Patch bereitsteht. Der Name rührt daher, dass dem Hersteller „null Tage“ bleiben, um zu reagieren, bevor die Lücke ausgenutzt wird. Solange niemand die Schwachstelle kennt und schließt, gibt es keine herstellerseitige Abwehr: keinen Patch, oft keine Signatur, keine offizielle Warnung. Ein funktionierender Angriffscode für eine solche Lücke heißt Zero-Day-Exploit.
Wichtig ist die Abgrenzung: Eine Schwachstelle ist nur so lange ein Zero-Day, bis sie öffentlich bekannt und behebbar wird. Danach erhält sie in der Regel eine CVE-Kennung und wird zur „bekannten“ Schwachstelle – gefährlich bleibt sie trotzdem, solange sie nicht gepatcht ist. Tatsächlich werden weit mehr Unternehmen über längst bekannte, aber ungepatchte Lücken kompromittiert als über echte Zero-Days.
So funktioniert es
Der Lebenszyklus einer Schwachstelle macht den Begriff greifbar:
- Entdeckung: Jemand findet die Lücke – ein Sicherheitsforscher, der Hersteller selbst oder ein Angreifer. Nur im letzten Fall wird daraus ein für Verteidiger gefährlicher Zero-Day.
- Verwertung oder Meldung: Wird die Lücke verantwortungsvoll gemeldet, kann der Hersteller sie schließen, bevor sie Schaden anrichtet. Wird sie gehortet oder gehandelt, nutzen Angreifer sie verdeckt.
- Ausnutzung: Als Zero-Day-Exploit dient sie dem Erstzugriff oder der Rechteausweitung – besonders wertvoll gegen internetseitige Systeme ohne Nutzerinteraktion.
- Bekanntwerden und Patch: Mit Veröffentlichung und Patch endet der Zero-Day-Status. Jetzt beginnt der Wettlauf zwischen flächigem Ausnutzen und flächigem Patchen.
Echte Zero-Days sind teuer und werden gezielt eingesetzt – von staatsnahen Gruppen und finanzstarken kriminellen Akteuren. Für die meisten Unternehmen ist die realistischere Gefahr der kurze, aber kritische Zeitraum zwischen Veröffentlichung einer Lücke und dem eigenen Patch.
Bedeutung für Unternehmen
Zero-Days lassen sich nicht wegpatchen – per Definition gibt es im Moment des Angriffs keinen Patch. Das verleitet manche Entscheider zu Fatalismus, andere zu übertriebener Angst. Beides führt in die Irre. Die richtige Konsequenz ist, die Verteidigung nicht allein auf das Verhindern des Erstzugriffs zu stützen. Laut Mandiant M-Trends 2026 waren ausgenutzte Schwachstellen mit 32 Prozent der häufigste Erstzugriff – ein Teil davon über Zero-Days, der größere Teil über bekannte, aber ungepatchte Lücken.
In unseren Red-Team-Einsätzen steht nicht das Finden eines spektakulären Zero-Days im Vordergrund, sondern die realistische Frage: Was passiert, wenn der Angreifer trotz aller Prävention hineinkommt? Erkennung, Eindämmung und Reaktion entscheiden dann über den Schaden.
Schutz und Prüfung
- Angriffsfläche minimieren: Jeder nicht erreichbare Dienst ist gegen den zugehörigen Zero-Day immun; internetseitige Systeme konsequent reduzieren (Attack Surface Management).
- Schnell patchen, wenn es so weit ist: Ein geübter Notfall-Patch-Prozess verkürzt das kritische Fenster nach Bekanntwerden einer Lücke (Patch-Management).
- Tiefenverteidigung: Segmentierung, Least Privilege und EDR begrenzen den Schaden, auch wenn der erste Schritt nicht verhindert wurde.
- Erkennung stärken: Da Signaturen fehlen, zählt Verhaltenserkennung – ungewöhnliche Prozesse und Verbindungen nach einem erfolgreichen Exploit.
- Annahme der Kompromittierung: Ein Assumed-Breach-Einsatz prüft genau das Szenario, das ein Zero-Day erzeugt – den Angreifer, der bereits drin ist.