IT-Sicherheitslücke: Wie aus einem bekannten Fehler ein Millionenschaden wird

Das Wichtigste in 30 Sekunden

Eine IT-Sicherheitslücke ist eine Schwachstelle in Software, Hardware oder Konfiguration, durch die Angreifer in Systeme eindringen können. Das klingt abstrakt, hat aber sehr konkrete Folgen: Die größten Cyberangriffe der letzten Jahre, von WannaCry 2017 über Log4Shell 2021 bis zur MOVEit-Sicherheitslücke 2023, nutzten allesamt Lücken aus, die zum Zeitpunkt des Angriffs bekannt waren.

Das ist die unbequeme Kernaussage dieses Artikels: Die meisten erfolgreichen Angriffe setzen keinerlei Genie voraus. Sie funktionieren, weil irgendwo ein längst verfügbarer Patch liegen geblieben ist. Bei WannaCry lag er zwei Monate vor dem Ausbruch bereit; wer ihn in dieser Zeit installiert hatte, kam ungeschoren davon. Auf Hunderttausenden Rechnern in rund 150 Ländern erschien stattdessen ein Erpresser-Bildschirm.

Für dich als KMU-Entscheider ist das eine gute Nachricht, auch wenn sie erst einmal nach Arbeit klingt: In den meisten Betrieben hakt es an der Routine, vorhandenes Wissen auch anzuwenden. Routinen lassen sich einführen.

Was ist eine IT-Sicherheitslücke, und wie entsteht sie?

Eine IT-Sicherheitslücke (im Fachjargon auch Schwachstelle oder englisch Vulnerability) ist eine Stelle in einem System, an der die vorgesehenen Schutzmechanismen versagen. Man kann sie sich wie einen Konstruktionsfehler in einem Schloss vorstellen: Von außen sieht die Tür verschlossen aus, aber wer den Fehler kennt, öffnet sie ohne Schlüssel.

Solche Lücken entstehen auf drei typischen Wegen:

1. Programmierfehler. Software wird von Menschen geschrieben, und Menschen machen Fehler. Manche davon sind harmlos, andere erlauben es Angreifern, eigene Befehle auf fremden Systemen auszuführen. Kein Hersteller ist davor gefeit, auch nicht Microsoft, Apple oder die Entwickler der Open-Source-Bausteine, auf denen fast jede moderne Anwendung aufbaut.

2. Fehlkonfiguration. Die Software selbst kann fehlerfrei sein und trotzdem eine Lücke aufreißen, weil sie falsch betrieben wird: ein Verwaltungszugang, der offen im Internet hängt, ein Standardpasswort, das nie geändert wurde, eine Anwendung, die mit Vollrechten läuft. Wie verheerend gerade der letzte Punkt sein kann, haben wir in unserem Beitrag über die Anatomie einer Server-Übernahme an einem realen Fall gezeigt.

3. Veraltete Software. Der in der Praxis wichtigste Weg. Sobald ein Hersteller eine Lücke entdeckt, veröffentlicht er einen Patch, und ab diesem Moment ist die Lücke öffentlich dokumentiert. Angreifer lesen diese Veröffentlichungen genauso wie Administratoren, nur schneller. Jedes System, das den Patch nicht einspielt, trägt ab jetzt eine bekannte, öffentlich beschriebene Schwachstelle mit Bauanleitung.

Der dritte Punkt verdient einen genaueren Blick, denn er widerspricht der Intuition. Man könnte meinen: Sobald ein Patch existiert, ist die Gefahr gebannt. Tatsächlich ist es umgekehrt. Die Veröffentlichung eines Patches ist für Angreifer ein Startsignal, denn jetzt wissen sie genau, wo sie suchen müssen. Es beginnt ein Wettlauf zwischen denen, die patchen, und denen, die scannen. Geführt wird dieser Wettlauf von Maschinen: Automatisierte Systeme durchkämmen das Internet rund um die Uhr nach verwundbaren Zielen. Für einen Scanner sind deine Branche, deine Größe und dein Bekanntheitsgrad ohne jede Bedeutung; er registriert lediglich, dass unter einer bestimmten Adresse ein Dienst mit einer bekannten Lücke antwortet.

WannaCry 2017: Der Patch war zwei Monate da

Wenn du nur ein einziges Beispiel für die Wirkung einer IT-Sicherheitslücke kennen willst, dann dieses.

Am 14. März 2017 veröffentlichte Microsoft das Sicherheitsupdate MS17-010. Es schloss eine schwerwiegende Lücke im Datei-Freigabeprotokoll SMBv1, einem Uralt-Protokoll, das auf vielen Windows-Systemen noch aktiv war, meist als Rest früherer Installationen und im Tagesbetrieb längst überflüssig. Die Lücke erlaubte es, aus der Ferne und ohne Zutun des Benutzers beliebigen Code auf einem verwundbaren Rechner auszuführen.

Knapp zwei Monate später, am 12. Mai 2017, begann der Ausbruch. Eine Ransomware namens WannaCry nutzte ein Angriffswerkzeug namens EternalBlue, das exakt diese Lücke ausnutzte, und verbreitete sich wie ein Lauffeuer: Jeder infizierte Rechner suchte selbstständig nach weiteren verwundbaren Systemen im Netz und steckte sie an. Innerhalb weniger Tage waren mehr als 200.000 Rechner in rund 150 Ländern betroffen.

Die Folgen bekam die Öffentlichkeit binnen Stunden zu sehen:

• In Großbritannien traf es den staatlichen Gesundheitsdienst NHS massiv. Krankenhäuser mussten Operationen absagen und Patienten abweisen, weil Systeme verschlüsselt waren.
• In Deutschland zeigten Anzeigetafeln der Deutschen Bahn statt Abfahrtszeiten den Erpresser-Bildschirm. Ein Bild, das um die Welt ging.
• Weltweit standen Produktionslinien, Logistikketten und Verwaltungen still.

Gestoppt wurde die Welle übrigens nicht durch die Abwehr der Betroffenen. Ein Sicherheitsforscher entdeckte im Schadcode eine einprogrammierte Internet-Domain, registrierte sie testweise, und stellte fest, dass die Schadsoftware sich daraufhin selbst deaktivierte: ein zufällig gefundener Kill-Switch. Die Welt hatte schlicht Glück.

Die eigentliche Lehre aus WannaCry

Hier lohnt es sich, kurz innezuhalten. WannaCry war keine Zero-Day-Attacke, also kein Angriff über eine unbekannte Lücke, gegen die niemand etwas hätte tun können. Die Schwachstelle war seit dem 14. März dokumentiert, der Patch seit demselben Tag verfügbar, von Microsoft als kritisch eingestuft und über die üblichen Update-Kanäle breit verteilt.

Betroffen waren die Systeme, auf denen der Patch nicht eingespielt war: Rechner ohne funktionierenden Update-Prozess, veraltete Systeme wie Windows XP, für die es regulär gar keinen Support mehr gab, und Umgebungen, in denen SMBv1 aus reiner Gewohnheit aktiviert geblieben war.

Das ist das Muster, das sich durch fast alle großen Vorfälle zieht, und es ist zugleich die Stelle, an der kleine und mittlere Unternehmen am verwundbarsten sind. In aller Regel kommen dabei drei Dinge zusammen:

1. “Läuft ja.” Systeme, die funktionieren, fasst niemand gern an. Updates werden verschoben, weil sie Aufwand bedeuten und etwas kaputtgehen könnte.
2. Kein Patch-Prozess. Es gibt niemanden, der systematisch prüft, welche Updates anstehen, sie testet und einspielt. Updates passieren, wenn zufällig Zeit ist.
3. Altlasten und unnötige Dienste. Alte Systeme, die “noch gebraucht werden”, und Protokolle wie SMBv1, die seit der Erstinstallation mitlaufen und in keiner Dokumentation auftauchen.

Jeder dieser Punkte ist für sich genommen verständlich. Zusammen ergeben sie genau die Angriffsfläche, auf die automatisierte Angriffe zielen.

Log4Shell 2021: Die Lücke im Bauteil, von dem niemand wusste

WannaCry zeigt, was passiert, wenn ein bekannter Patch nicht eingespielt wird. Der zweite große Fall zeigt ein anderes, subtileres Problem: Du kannst nur schützen, was du kennst.

Im Dezember 2021 wurde eine kritische Lücke in Log4j öffentlich, einer Java-Bibliothek für Protokollierung (Kennung CVE-2021-44228, bekannt als Log4Shell). Log4j kauft und installiert niemand als eigenständiges Produkt; es ist ein Bauteil, das Entwickler seit Jahren in unzählige andere Programme einbauen, häufig ohne dass die Endanwender je davon erfahren. Die Lücke erlaubte es Angreifern, über eine präparierte Zeichenkette, etwa in einem harmlosen Eingabefeld, eigenen Code auf dem Server auszuführen.

Das Beunruhigende an Log4Shell war weniger die Lücke selbst als die Frage, die sie weltweit auslöste: Setzen wir Log4j überhaupt ein? Viele Unternehmen konnten sie schlicht nicht beantworten. Die verwundbare Komponente steckte tief in gekaufter Software, in Geräte-Firmware, in Cloud-Diensten. Man kann eine Lücke nicht schließen, von deren Existenz im eigenen Haus man nichts weiß.

Die Lehre daraus: Ein Inventar der eingesetzten Software, bis hinunter zu den einzelnen Komponenten (Fachbegriff: Software-Stückliste oder SBOM), wirkt im Alltag wie lästige Bürokratie und entscheidet im Ernstfall darüber, ob du innerhalb von Stunden oder erst nach Wochen weißt, wo du suchen musst.

MOVEit 2023: Wenn ein einziges Produkt hunderte Organisationen trifft

Ein drittes, jüngeres Beispiel in aller Kürze: Im Mai 2023 wurde die MOVEit-Sicherheitslücke bekannt (CVE-2023-34362), eine SQL-Injection in der verbreiteten Dateitransfer-Software MOVEit Transfer. Die Ransomware-Gruppe Clop nutzte sie massenhaft aus, um Daten aus sehr vielen Organisationen weltweit abzuziehen, darunter Behörden, Konzerne und deren Dienstleister.

Der MOVEit-Fall ergänzt das Bild um einen wichtigen Aspekt: Die Lücke steckte in einem Produkt, das viele Unternehmen gar nicht selbst betrieben, sondern das bei ihren Dienstleistern lief. Betroffen war man trotzdem, denn die eigenen Daten lagen dort. Sicherheitslücken machen an Unternehmensgrenzen nicht halt.

Die drei Fälle im Überblick

Vorfall (Jahr)	Art der Lücke	Patch verfügbar?	Kernlehre
WannaCry (2017)	Lücke im Dateifreigabe-Protokoll SMBv1 (MS17-010)	Ja, seit zwei Monaten	Patches zügig und nach festem Rhythmus einspielen
Log4Shell (2021)	Lücke in der weit verbauten Komponente Log4j (CVE-2021-44228)	Ja, doch viele wussten nicht, dass sie betroffen waren	Inventar bis auf Komponentenebene: Schützen lässt sich nur, was man kennt
MOVEit (2023)	SQL-Injection in der Dateitransfer-Software MOVEit Transfer (CVE-2023-34362)	Ja, ausgenutzt wurde sie oft bei Dienstleistern	Risiko aus Lieferkette und Drittanbietern mitdenken

Bekannt, dokumentiert, offen: Warum Lücken trotzdem nicht geschlossen werden

An dieser Stelle drängt sich eine Frage auf: Wenn die Lücken bekannt sind und Patches existieren, warum werden sie dann nicht einfach eingespielt?

Die Antwort ist selten Faulheit. In den meisten KMU sind es strukturelle Gründe:

• Niemand ist zuständig. IT-Sicherheit gehört “irgendwie” zur IT, die IT ist ein Ein-Personen-Team oder ein externer Dienstleister mit engem Stundenkontingent, und Patchen steht auf keiner Aufgabenliste explizit drauf.
• Angst vor Nebenwirkungen. Ein Update könnte etwas kaputt machen, also wartet man lieber. Das ist nicht irrational, aber ohne Testumgebung und Backup-Konzept führt es dazu, dass gar nicht gepatcht wird.
• Unsichtbare Systeme. Der alte Server im Keller, die Web-Anwendung von 2018, das NAS im Lager. Was nicht auf dem Radar ist, wird nicht aktualisiert.
• Abhängigkeiten. Die Branchensoftware läuft nur mit einer alten Betriebssystem-Version, also bleibt das alte Betriebssystem. Aus einem Provisorium werden fünf Jahre.

Wie aus einer solchen offenen Lücke ein konkreter Cyberangriff auf ein Unternehmen wird und was dann in den ersten Stunden zählt, zeigt unser Praxis-Ratgeber Schritt für Schritt. Wichtig ist dabei eine Unterscheidung, die in der öffentlichen Wahrnehmung oft verrutscht: Zero-Day-Lücken, also Lücken ohne verfügbaren Patch, sind spektakulär, aber selten das eigentliche Problem. Gegen einen echten Zero-Day kannst du dich nur begrenzt wehren. Die große Mehrheit der erfolgreichen Angriffe nutzt jedoch Lücken, die seit Wochen, Monaten oder Jahren bekannt sind. Gegen die kannst du dich sehr wohl wehren, mit den unspektakulärsten Mitteln der Welt: Updates.

IT-Sicherheitslücke erkannt, und jetzt? Der Fahrplan für KMU

Die gute Nachricht zum Schluss der Fallbeispiele: Die Maßnahmen, die gegen dieses Muster helfen, sind bekannt, erprobt und für die meisten Unternehmen gut umsetzbar. Was dafür nötig ist, hat weniger mit Personalstärke zu tun als mit Verbindlichkeit: feste Zuständigkeiten und ein Ablauf, auf den man sich verlassen kann.

1. Inventar aufbauen. Eine simple, gepflegte Liste: Welche Systeme, Anwendungen und Dienste betreiben wir, wo laufen sie, wer ist verantwortlich, und sind sie aus dem Internet erreichbar? Ohne diese Liste ist jede weitere Maßnahme Stochern im Nebel. Log4Shell hat gezeigt, was passiert, wenn sie fehlt.

2. Patch-Prozess etablieren. Nicht “wir machen Updates, wenn Zeit ist”, sondern ein fester Rhythmus: Sicherheitsupdates werden innerhalb einer definierten Frist eingespielt, kritische Updates (wie MS17-010 damals) beschleunigt. Wer das selbst nicht leisten kann oder will, sollte es explizit an einen Dienstleister übergeben, mit klarer Vereinbarung, nicht mit stillschweigender Annahme. Bei unserem Managed Hosting ist genau das der Kern des Pakets: Aktualisieren, Härten und Überwachen sind Teil des Betriebs, keine Zusatzleistung, an die jemand denken muss.

3. Angriffsfläche verkleinern. Alles abschalten, was nicht gebraucht wird: alte Anwendungen, ungenutzte Dienste, vergessene Protokolle. WannaCry verbreitete sich über SMBv1, ein Protokoll, das auf den meisten befallenen Rechnern schlicht mitlief, weil es nie jemand deaktiviert hatte. Jeder abgeschaltete Dienst ist eine Lücke, die du nie patchen musst.

4. Rechte minimieren und segmentieren. Keine Anwendung braucht Vollrechte, kein Bürorechner braucht Zugriff auf alle Server. Wenn ein System kompromittiert wird, entscheiden Rechte und Netzwerksegmentierung darüber, ob es bei einem Ärgernis bleibt oder das ganze Unternehmen steht.

5. Monitoring einrichten. Der Unterschied zwischen einem Vorfall, der in Minuten auffällt, und einem, der tagelang unbemerkt bleibt, ist enorm. Im Fall aus unserem Anatomie-Artikel blieb ein übernommener Server fünf Tage unentdeckt, und die Entdeckung war reiner Zufall.

6. Backups, die den Namen verdienen. Getestet, regelmäßig, und mindestens eine Kopie so abgelegt, dass ein Angreifer mit Zugriff auf deine Systeme sie nicht mitverschlüsseln kann. Gegen Ransomware wie WannaCry ist ein sauberes Backup der Unterschied zwischen Wiederanlauf und Existenzfrage.

7. Extern prüfen lassen. Die eigene Angriffsfläche sieht man von innen schlecht. Ein Security-Audit beantwortet die Fragen, die zählen: Was ist von außen erreichbar? Welche bekannten Lücken sind offen? Und würde ein einzelner Fehler reichen, um alles zu verlieren?

IT-Sicherheitslücke und BSI: Wer warnt, wer hilft?

In Deutschland gibt es für das Thema eine zentrale Anlaufstelle: das Bundesamt für Sicherheit in der Informationstechnik (BSI). Für KMU sind vor allem drei Angebote relevant:

• Warnmeldungen und CERT-Bund: Das BSI veröffentlicht laufend Sicherheitswarnungen zu aktuellen Lücken und Angriffswellen. Diese Meldungen sind kostenlos abonnierbar und in verständlicher Sprache gehalten. Wer sie liest, erfährt früh, wenn eine kritische Lücke die eigene Software betrifft, oft Tage bevor die ersten Angriffswellen rollen.
• IT-Grundschutz: Ein bewährter, frei verfügbarer Rahmen, der beschreibt, wie man Informationssicherheit systematisch aufbaut. Für den Einstieg müssen KMU nicht das gesamte Werk umsetzen; schon die Basis-Empfehlungen decken die häufigsten Versäumnisse ab.
• Lagebilder und Handlungsempfehlungen: Der jährliche Bericht zur Lage der IT-Sicherheit in Deutschland und die begleitenden Empfehlungen geben ein realistisches Bild davon, welche Bedrohungen tatsächlich relevant sind, jenseits von Schlagzeilen.

Das BSI ersetzt keine eigene Sicherheitsarbeit, aber es liefert das, was vielen kleinen Unternehmen fehlt: verlässliche, herstellerunabhängige Information darüber, was gerade wichtig ist.

Fazit: Die Lücke ist nicht das Problem. Das Liegenlassen ist es.

Sicherheitslücken werden nie verschwinden. Software wird von Menschen gebaut, und Menschen machen Fehler; daran hat sich zwischen 2017 und 2026 nichts geändert, und es wird sich auch künftig nichts daran ändern. Die entscheidende Frage ist eine andere: Was passiert zwischen dem Bekanntwerden einer Lücke und ihrem Schließen in deinem Unternehmen?

WannaCry hat diese Frage für die ganze Welt sichtbar beantwortet. Zwei Monate lagen zwischen Patch und Ausbruch. Zwei Monate, in denen jedes betroffene Unternehmen die Chance hatte, mit einem einzigen Update auf der sicheren Seite zu sein. Getroffen wurde, wer diese Chance verstreichen ließ, in aller Regel deshalb, weil es im Betrieb schlicht niemanden gab, dessen Aufgabe das Einspielen gewesen wäre.

Genau darin liegt die eigentlich ermutigende Botschaft: Du musst kein Sicherheitsexperte werden, um dein Unternehmen deutlich sicherer zu machen. Ein Inventar, ein Patch-Prozess, minimale Rechte, Monitoring, Backups und ein regelmäßiger Blick von außen: Das alles ist solide, erlernbare Routinearbeit, wie sie in jedem anderen Betriebsbereich auch selbstverständlich ist. Und sie kostet einen Bruchteil dessen, was der verhinderte Vorfall gekostet hätte.