Arten von Sicherheitslücken
| Art | Beispiel |
|---|---|
| Softwarefehler | Fehler im VPN-Gateway erlaubt Anmeldung ohne Passwort |
| Konfigurationsfehler | Verwaltungsoberfläche aus dem Internet erreichbar |
| Schwache Zugänge | Standardpasswort, kein zweiter Faktor |
| Veraltete Systeme | Betriebssystem ohne Herstellerunterstützung |
| Hardware | Fehler in Prozessoren oder Firmware |
Begriffe
| Begriff | Bedeutung |
|---|---|
| CVE | eindeutige Kennung einer veröffentlichten Schwachstelle |
| CVSS | Bewertung der Schwere von 0 bis 10 |
| Exploit | Programm oder Methode, die eine Lücke ausnutzt |
| Zero-Day | Lücke, die ausgenutzt wird, bevor ein Update verfügbar ist |
| Patch | Update, das die Lücke schließt |
Warum Geschwindigkeit entscheidet
Besonders gefährdet sind Systeme, die direkt aus dem Internet erreichbar sind. NSA und CISA weisen darauf hin, dass bekannte Schwachstellen in VPN-Geräten teils sehr schnell nach Bekanntwerden ausgenutzt werden, und empfehlen, Updates zeitnah einzuspielen.[1] Für Unternehmen unter NIS2 gehören Management und Offenlegung von Schwachstellen ausdrücklich zu den Pflichtmaßnahmen.[2]
Schwachstellenmanagement
- Inventar: Welche Systeme und Programme gibt es?
- Informieren: Herstellerhinweise und Warnungen verfolgen.
- Priorisieren: aus dem Internet erreichbare Systeme und aktiv ausgenutzte Lücken zuerst.
- Patchen: nach festem Rhythmus, kritische Lücken sofort.
- Prüfen: Schwachstellenscans und Penetrationstests.
- Ersetzen: Systeme ohne Updates ablösen.
Beispiel aus der Praxis
Ein Hersteller seiner Firewall veröffentlicht an einem Donnerstag eine Warnung zu einer kritischen Lücke im VPN. Der Dienstleister eines Ingenieurbüros spielt das Update noch am selben Abend ein. Am Wochenende melden Sicherheitsforscher massenhafte Angriffe auf ungepatchte Geräte dieses Typs. Das Ingenieurbüro ist nicht betroffen.
Kurz gesagt
Eine Sicherheitslücke ist ein ausnutzbarer Fehler in Software, Hardware oder Konfiguration. Entscheidend ist, bekannte Lücken schnell zu schließen, besonders bei Systemen, die aus dem Internet erreichbar sind, und Schwachstellen systematisch zu managen.
Weiterlesen: Top IT-Sicherheitsmaßnahmen für Unternehmen, Cyberangriff auf die Firma verhindern