Sicherheitslücke

Eine Sicherheitslücke, oft auch Schwachstelle genannt, ist eine Schwachstelle in Soft- oder Hardware, in Sicherheitskonfigurationen oder in kryptographischen Verfahren, die missbräuchlich ausgenutzt werden kann, um Vertraulichkeit, Integrität oder Verfügbarkeit eines Systems zu beeinträchtigen. Sicherheitslücken entstehen durch Fehler in der Softwareentwicklung, fehlerhafte Implementierungen, veraltete Komponenten oder unzureichende Konfigurationen. Sie können von Angreifern genutzt werden, um unbefugten Zugriff, Datenexfiltration, Manipulation oder Denial of Service zu erreichen. Typen umfassen Software-Schwachstellen (beispielsweise Pufferüberläufe, SQL-Injektion, Cross-Site Scripting), unsichere Kryptografie, falsche Authentifizierung oder Autorisierung sowie Lieferkettenlücken in Bibliotheken oder Firmware.

Entdeckung erfolgt durch Sicherheitsprüfungen, Penetrationstests, Fuzzing, Code-Reviews oder Bug-Bounty-Programme. Schwachstellen werden oft mit CVE-Identifikatoren erfasst und anhand des Common Vulnerability Scoring System (CVSS) bewertet. Die Offenlegung kann koordiniert oder verantwortungsvoll erfolgen, um Betroffene rechtzeitig zu informieren.

Behandlung und Risikominderung umfassen das Patchen der betroffenen Software, Konfigurationsänderungen, Workarounds oder das Verschieben von Diensten. Langfristig tragen Patch-Management, Minimierung der Angriffsfläche, Netzsegmentierung und das Prinzip der geringsten Rechte zur Reduktion des Risikos bei. Wiederholte Tests sichern, dass der Patch wirksam ist.

Auswirkungen können Verletzungen der Vertraulichkeit, Integrität oder Verfügbarkeit, Compliance-Risiken oder Kosten durch Ausfallzeiten und Incident-Response sein. Wichtige Organisationen sind CERT/CC, nationale CSIRTs, Normungs- und Herstellerorganisationen. Bekannte Beispiele sind Heartbleed in OpenSSL (2014) und Log4Shell in Apache Log4j (2021).