Der Begriff stammt vom englischen „to exploit“, ausnutzen. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt einen Exploit als Methode oder Programmcode, mit dem über eine Schwachstelle nicht vorgesehene Befehle oder Funktionen ausgeführt werden. Wichtig ist die Unterscheidung: Die Schwachstelle ist der Fehler, der Exploit das Werkzeug, der Angriff dessen Einsatz. Eine Lücke, für die noch niemand einen Exploit gebaut hat, ist weniger akut als eine, für die fertiger Angriffscode im Umlauf ist.
Welche Arten von Exploits gibt es?
- Remote-Exploit: Er wirkt über das Netzwerk, ohne dass Angreifende vorher Zugang zum System haben. Besonders gefährlich bei Diensten, die aus dem Internet erreichbar sind.
- Lokaler Exploit: Er setzt einen ersten Zugang voraus und dient oft dazu, eingeschränkte Rechte zu Administratorrechten auszuweiten.
- Proof of Concept (PoC): Ein Nachweis, dass sich eine Lücke praktisch ausnutzen lässt. Sicherheitsforschende veröffentlichen solche Nachweise, um Hersteller und Betreiber zu warnen; Angreifende bauen daraus aber auch einsatzfähige Werkzeuge.
- Exploit-Kit: Ein fertiges Softwarepaket, das mehrere Exploits bündelt und Angriffe automatisiert, etwa über präparierte Websites.
- Zero-Day-Exploit: Er nutzt eine Lücke, die dem Hersteller noch unbekannt ist oder für die es kein Update gibt, siehe Zero-Day-Schwachstelle.
Wie Angreifer Exploits einsetzen
Ein häufiger Einstiegsweg ist das Ausnutzen von Systemen, die aus dem Internet erreichbar sind. MITRE ATT&CK führt dafür die Technik T1190 „Exploit Public-Facing Application“: Webserver, Datenbanken, VPN-Gateways oder Verwaltungsoberflächen werden über einen Softwarefehler oder eine Fehlkonfiguration übernommen. Der Bedarf an Aufmerksamkeit ist groß: Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum durchschnittlich 119 neue Schwachstellen pro Tag bekannt. Das BSI betont zugleich, dass diese Zahl nichts darüber aussagt, wie viele davon tatsächlich ausgenutzt werden.
Praxis für KMU und Gemeinden
Ob für eine Lücke ein Exploit existiert oder sie bereits ausgenutzt wird, ist das wichtigste Kriterium für die Reihenfolge von Updates. Der KEV-Katalog der CISA listet nachweislich ausgenutzte Lücken, EPSS schätzt die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen. Für kleinere Organisationen und Gemeinden heißt das: Firewalls, VPN-Zugänge, E-Mail-Server und Webportale zuerst aktualisieren, sobald ein Exploit bekannt wird.
Maßnahmen
- Schnell patchen: Ein geübtes Patch-Management mit Notfallweg für kritische Updates verkürzt das Zeitfenster für Angreifende.
- Angriffsfläche klein halten: Nur notwendige Dienste aus dem Internet erreichbar machen und Systeme konsequent härten, siehe Systemhärtung.
- Übergangsmaßnahmen nutzen: Gibt es noch kein Update, veröffentlichen Hersteller oft Workarounds, etwa das Abschalten einer Funktion.
- Ausnutzung erkennen: Endpoint Detection and Response bemerkt verdächtiges Verhalten auch dann, wenn der Exploit selbst unbekannt ist.
- Nach dem Update prüfen: War ein System verwundbar und erreichbar, klären Sie, ob es bereits angegriffen wurde.
Bezug zu TOMORIS
GRID.patch bringt Updates in abgestimmten Wartungsfenstern und gestaffelt auf die Systeme, GRID.scout zeigt, wo verwundbare Versionen laufen.