---
title: "Was ist eine Zero-Day-Schwachstelle? Exploits erklärt"
description: "Eine Zero-Day-Schwachstelle ist eine Lücke, die Angreifer ausnutzen, bevor es ein Update gibt. Wie sie entdeckt und gepatcht wird und wie Sie sich schützen."
url: https://proxynet.io/de/blog/what-is-a-zero-day
date: 2026-11-15
author: "Acar Diveroli"
category: "Proxy 101"
lang: de
---

# Was ist eine Zero-Day-Schwachstelle? Exploits erklärt

Eine Schlagzeile meldet, Ihr Browser habe eine Zero-Day-Lücke, und Sie sollten sofort aktualisieren. Sie öffnen den Browser, nichts sieht anders aus, und das einzige Anzeichen ist ein kleiner Hinweis, der Sie bittet, ihn neu zu starten. Hinter diesem Hinweis steckt ein Fehler, den jemand bereits für echte Angriffe nutzte, bevor irgendwer ihn beheben konnte.

Dieser Beitrag erklärt, was eine Zero-Day-Schwachstelle ist, worin sie sich von einem Exploit und einem Angriff unterscheidet, welchen Weg eine Lücke von der Entdeckung bis zum Patch nimmt, wer solche Lücken findet und was Sie und Ihr Unternehmen tun können. Er ist für die Verteidigerseite geschrieben; Angriffsdetails gibt es hier nicht.

> **Hinweis: Kurzantwort**
>
> Eine Zero-Day-Schwachstelle ist eine Sicherheitslücke in Software oder Hardware, die Angreifer kennen und ausnutzen können, bevor der Hersteller eine Korrektur veröffentlicht hat. Der Name sagt, dass der Hersteller null Tage Zeit hatte, sie zu beheben. Ein Exploit ist der Code, der die Lücke ausnutzt, und ein Zero-Day-Angriff ist der Einsatz dieses Exploits gegen echte Ziele. Eine Lücke ohne Patch können Sie nicht patchen, aber Sie können Korrekturen am Tag ihres Erscheinens installieren, Browser und Gerät neu starten, damit Updates wirksam werden, Apps und Erweiterungen entfernen, die Sie nicht nutzen, Sicherungen anlegen und die Multi-Faktor-Authentifizierung einschalten. Ein Proxy oder VPN repariert weder einen verwundbaren Browser noch ein verwundbares Betriebssystem.

## Was ist eine Zero-Day-Schwachstelle?

Eine Zero-Day-Schwachstelle ist eine Lücke, die Angreifer nutzen können, während die Hersteller der Software entweder nichts von ihr wissen oder noch keine Korrektur ausgeliefert haben. Eine Schwachstelle ist in der Formulierung des CVE-Programms eine Schwäche in einem Produkt, die sich ausnutzen lässt, um die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten oder Systemen zu beeinträchtigen. „Zero-Day“ fügt den Zeitpunkt hinzu: Die Verteidiger hatten keine Zeit, sich vorzubereiten.

Die Definitionen unterscheiden sich leicht. Das US-amerikanische Nationale Institut für Standards und Technologie (NIST) nennt einen Zero-Day-Angriff einen Angriff, der eine bisher unbekannte Schwachstelle in Hardware, Firmware oder Software ausnutzt. Die Google Threat Intelligence Group (GTIG) zählt eine Lücke als Zero-Day, wenn sie böswillig ausgenutzt wurde, bevor ein Patch öffentlich verfügbar war. Beide meinen dasselbe Zeitfenster: Die Lücke ist echt, sie wird genutzt, und die Korrektur gibt es noch nicht.

Der Begriff beschreibt einen Zeitpunkt, keine Fehlerart. Derselbe Programmierfehler ist eine Zero-Day-Lücke, solange Angreifer ihn nutzen und keine Korrektur existiert, und eine gewöhnliche bekannte Schwachstelle, sobald der Patch erschienen ist.

## Schwachstelle, Exploit und Zero-Day-Angriff: Was ist der Unterschied?

Eine Schwachstelle ist die Schwäche, ein Exploit das Werkzeug, das sie nutzt, und ein Zero-Day-Angriff der Einsatz dieses Werkzeugs gegen echte Menschen, bevor es eine Korrektur gibt. Schlagzeilen werfen die Begriffe oft durcheinander:

| Begriff | Was es ist | Gibt es eine Korrektur? |
|---|---|---|
| Schwachstelle | Eine Schwäche in Code oder Hardware | Nicht unbedingt |
| Exploit | Code oder eine Methode, die eine Schwachstelle nutzt | Hängt von der Lücke ab |
| Zero-Day-Schwachstelle | Eine Lücke, die Angreifer vor jeder Korrektur nutzen können | Nein |
| Zero-Day-Angriff | Echte Angriffe mit einer Zero-Day-Lücke | Nein |
| N-Day-Schwachstelle | Eine bekannte Lücke, deren Korrektur erschienen, aber nicht überall installiert ist | Ja, wenn Sie sie installieren |

Die letzte Zeile ist wichtiger, als ihr Name vermuten lässt. Sobald eine Korrektur veröffentlicht ist, wird die Lücke zur „N-Day“-Schwachstelle (manche sagen „One-Day“): Der Hersteller hat sie behoben, aber jedes Gerät, auf dem das Update fehlt, bleibt angreifbar, und der Sicherheitshinweis verrät Angreifern, nach welchen Versionen sie suchen müssen.

## Wie wird aus einer Zero-Day-Lücke ein Patch?

Eine Zero-Day-Lücke durchläuft fünf Schritte vom Fehler im Code bis zur installierten Korrektur, und ein Gerät ist vom ersten bis zum letzten Schritt angreifbar:

1. **Der Fehler wird ausgeliefert.** Ein Programmierfehler oder eine Designschwäche erreicht die Nutzer in einem Browser, einem Betriebssystem, einem Smartphone, einem Router oder einem Serverprodukt. Noch hat ihn niemand bemerkt.
1. **Jemand findet ihn.** Das kann das Sicherheitsteam des Herstellers sein, ein unabhängiger Forscher, ein Teilnehmer an einem Bug-Bounty-Programm oder ein Angreifer.
1. **Er wird gemeldet oder ausgenutzt.** Ein Forscher meldet ihn vertraulich an den Hersteller. Ein Angreifer hält ihn geheim und baut einen Exploit; läuft dieser Exploit auf dem Gerät eines Opfers, installiert er meist Malware, also Software, die das Gerät ausspioniert oder beschädigt, und [Was ist Malware?](/de/blog/what-is-malware) erklärt, wie es danach weitergeht.
1. **Der Hersteller behebt ihn.** Er schreibt und testet einen Patch, veröffentlicht einen Sicherheitshinweis und sagt in der Regel dazu, wenn die Lücke für Angriffe genutzt wurde.
1. **Die Korrektur erreicht die Geräte.** Automatische Updates verteilen den Patch über Tage oder Wochen. Bis ein Gerät ihn installiert, läuft darauf eine N-Day-Lücke.

## Wer findet Zero-Day-Schwachstellen?

Zero-Day-Lücken finden die Sicherheitsteams der Hersteller, unabhängige Forscher, Teilnehmer an Bug-Bounty-Programmen, staatliche Cyberbehörden und Threat-Intelligence-Teams, die einen laufenden Angriff bemerken und ihn bis zu einer unbekannten Lücke zurückverfolgen. Viele Hersteller zahlen Belohnungen für vertraulich gemeldete Lücken; die Versionshinweise von Chrome führen die Sicherheitskorrekturen unter einer eigenen Überschrift auf, die auch die Belohnungen nennt.

Der übliche Weg für Forscher ist die koordinierte Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure): die Lücke vertraulich melden, dem Hersteller Zeit für die Korrektur geben und Details erst veröffentlichen, wenn die Nutzer aktualisieren können. Googles Project Zero etwa gibt Herstellern 90 Tage und nur 7 Tage, wenn eine Lücke bereits bei echten Angriffen ausgenutzt wird. CISA, die US-Behörde für Cybersicherheit, koordiniert ebenfalls Meldungen, die bei ihr eingehen, und kann nach 45 Tagen veröffentlichen, wenn der Hersteller nicht reagiert.

Wird die Lücke offengelegt, erhält sie normalerweise eine CVE-Kennung, eine öffentliche Bezeichnung in der Form CVE-JJJJ-NNNN. Das [CVE-Programm](https://www.cve.org/About/Overview) beschreibt seine Aufgabe so: öffentlich bekannt gewordene Schwachstellen erkennen, definieren und katalogisieren, mit einem CVE-Eintrag pro Schwachstelle, damit Hersteller und Kunden über genau dieselbe Lücke sprechen.

Hersteller halten die technischen Details oft eine Weile zurück. Googles [Versionshinweis zu Chrome vom 9. November 2026](https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html) sagt, der Zugang zu den Fehlerdetails könne eingeschränkt bleiben, bis die Mehrheit der Nutzer die Korrektur installiert hat, denn eine ausführliche Beschreibung hilft Angreifern ebenso wie Verteidigern.

## Wie häufig sind Zero-Day-Angriffe?

Zero-Day-Lücken sind im Vergleich zu gewöhnlichen Schwachstellen selten, aber jedes Jahr werden Dutzende im Einsatz entdeckt. In ihrem im März 2026 veröffentlichten Rückblick [zählte die GTIG 90 Zero-Day-Schwachstellen](https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review), die 2025 bei echten Angriffen ausgenutzt wurden, nach 78 im Jahr 2024 und unter dem Rekord von 100 im Jahr 2023. Von den 90 betrafen 47 Plattformen und Produkte für Endnutzer, etwa Smartphones, Computer und Browser, und 43 Unternehmenssoftware und -geräte. Die GTIG weist darauf hin, dass die Zahl nur erfasst, was sie selbst verfolgt hat.

Zwei Beispiele aus offiziellen Sicherheitshinweisen zeigen, wie das aussieht:

- **Eine Browserlücke.** Am 9. November 2026 veröffentlichte Google ein Chrome-Update und schrieb, dem Unternehmen sei bekannt, dass ein Exploit für CVE-2026-125350 bei echten Angriffen im Umlauf ist. CISA nahm die Lücke am nächsten Tag in ihren Katalog ausgenutzter Schwachstellen auf und wies darauf hin, dass sie auch andere Chromium-basierte Browser betreffen könnte, darunter Microsoft Edge und Opera.
- **Ein Serverprodukt.** Der Sicherheitshinweis AA23-158A von CISA aus dem Juni 2023 beschreibt Angriffe ab Ende Mai 2023 auf Progress MOVEit Transfer, ein Produkt für Dateiübertragungen, über „eine bisher unbekannte SQL-Injection-Schwachstelle“, eine Art Lücke, durch die Eingaben von außen als Datenbankbefehle ausgeführt werden.

## Wie schützen Sie sich vor Zero-Day-Angriffen?

Eine Korrektur, die es noch nicht gibt, können Sie nicht installieren; Schutz zu Hause hat deshalb zwei Ziele: die Korrektur am Tag ihres Erscheinens bekommen und einen erfolgreichen Angriff weniger schädlich machen.

**Schalten Sie automatische Updates ein,** auf jedem Gerät, das Sie nutzen:

- **Windows:** Start > **Einstellungen** > **Windows Update**, und installieren Sie, was angeboten wird.
- **Mac:** Apple-Menü > **Systemeinstellungen** > **Allgemein** > **Softwareupdate**; dort legen Sie auch fest, ob Updates automatisch installiert werden.
- **iPhone und iPad:** **Einstellungen** > **Allgemein** > **Softwareupdate** > **Automatische Updates**, dann **Automatische Installation** aktivieren. Das Gerät installiert Updates über Nacht, während es lädt und mit dem WLAN verbunden ist.
- **Android:** Die meisten Systemupdates und Sicherheitspatches werden automatisch installiert; zur Kontrolle öffnen Sie **Einstellungen** > **System** > **Softwareupdates** (Bezeichnungen beim Pixel; andere Hersteller verwenden ähnliche Namen).

**Starten Sie den Browser neu, wenn er darum bittet.** Chrome lädt Updates im Hintergrund herunter, wendet sie aber erst beim Neustart an. Zur Kontrolle klicken Sie rechts oben auf das Dreipunkt-Menü > **Hilfe** > **Über Google Chrome** und wählen **Neu starten**; laut Googles [Hilfe zum Chrome-Update](https://support.google.com/chrome/answer/95414?hl=de&co=GENIE.Platform%3DDesktop) haben Sie bereits die aktuelle Version, wenn die Option „Neu starten“ fehlt. Edge und Opera, die den Code von Chromium teilen, liefern dieselben Korrekturen über ihre eigenen Updates aus.

**Bieten Sie weniger Angriffsfläche.** Jede App, jedes Plug-in und jede Browsererweiterung ist zusätzlicher Code, der eine Lücke enthalten kann. Entfernen Sie, was Sie nicht mehr nutzen, und ersetzen Sie Software, die keine Sicherheitsupdates mehr bekommt, etwa ein altes Betriebssystem oder einen Browser, der nicht mehr aktualisiert wird.

**Erschweren Sie den nächsten Schritt.** Ein Browser-Exploit braucht trotzdem eine präparierte Webseite, die Sie öffnen, und der Link dazu kommt oft per Nachricht; [Was ist Phishing?](/de/blog/what-is-phishing) zeigt, wie Sie eine solche Nachricht erkennen. Die Multi-Faktor-Authentifizierung (MFA), ein zweiter Schritt zusätzlich zum Passwort, senkt den Wert gestohlener Passwörter.

**Halten Sie eine Sicherung bereit, die sich wiederherstellen lässt.** Manche ausgenutzten Lücken dienen dazu, Ransomware einzuschleusen; CISA markiert 361 Einträge in ihrem Katalog als bekanntermaßen in Ransomware-Kampagnen genutzt. Eine aktuelle Sicherung außerhalb des Geräts macht daraus statt einer Katastrophe eine Neuinstallation, wie [Was ist Ransomware?](/de/blog/what-is-ransomware) erklärt.

## Was tun Unternehmen gegen Zero-Day-Lücken?

Auch Unternehmen können Zero-Day-Lücken nicht verhindern, deshalb arbeiten sie an zwei Fronten: bekannte ausgenutzte Lücken zuerst und schnell patchen und in der Zwischenzeit begrenzen, was ein Angreifer erreichen kann. Die wichtigsten Mittel:

- **Wissen, was läuft.** Eine aktuelle Liste von Software, Versionen und aus dem Internet erreichbaren Systemen beantwortet die Frage „Sind wir betroffen?“ wenige Minuten nach einem Sicherheitshinweis.
- **Nach Ausnutzung priorisieren, nicht nur nach Schweregrad.** Der [Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV)](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) von CISA führte am 13. November 2026 insgesamt 1.781 Lücken, jede mit Belegen für eine Ausnutzung in der Praxis und mit einer veröffentlichten Korrektur oder Schutzmaßnahme. CISA empfiehlt Organisationen, ihn als Grundlage für ihre Patch-Prioritäten zu nutzen, und zivile US-Bundesbehörden müssen gelistete Lücken innerhalb fester Fristen beheben. Die Liste gibt es kostenlos als CSV und JSON.
- **Bis zum Patch die Schutzmaßnahmen des Herstellers anwenden.** Ist ein Patch noch Tage entfernt, empfehlen Sicherheitshinweise oft, eine betroffene Funktion abzuschalten oder den Zugang zu einer Verwaltungsoberfläche einzuschränken.
- **Davon ausgehen, dass eine Schicht versagt.** Minimale Rechte (jedes Konto bekommt nur den Zugriff, den es braucht), Netzwerksegmentierung (getrennte Zonen, damit ein Einbruch nicht alles erreicht), die Überwachung von Computern und Servern sowie getestete Offline-Sicherungen verhindern, dass aus einer ausgenutzten Lücke ein unternehmensweiter Sicherheitsvorfall wird.
- **Die Quellen beobachten.** Sicherheitsteams verfolgen Herstellerhinweise, den KEV-Feed und Warnungen ihres nationalen CERT (Computer Emergency Response Team, ein Notfallteam für IT-Sicherheit).

## Schützt ein VPN oder Proxy vor Zero-Day-Lücken?

Nein. Ein VPN oder Proxy ändert den Netzwerkweg und die IP-Adresse, die Websites sehen, aber die Seite erreicht trotzdem Ihren Browser, und die Lücke steckt im Browser oder im Betriebssystem, das sie verarbeitet. Nur das Update des Herstellers schließt sie.

Proxys haben in der Sicherheitsarbeit durchaus ihren Platz, nur nicht als Schutzschild. Threat-Intelligence-Teams, die Angreifer und ihre Methoden verfolgen, sammeln Informationen aus öffentlichen Quellen und prüfen verdächtige Seiten, die Mitarbeitende melden. Diese Recherche leiten sie oft über einen Residential-Ausgang, also eine IP-Adresse eines privaten Internetanschlusses, damit das eigene Firmennetz aus der Untersuchung herausbleibt. Unsere Seite zur [Datensicherheit](/de/data-security) beschreibt diese Einrichtung, die nur für legitime Recherche in öffentlichen Quellen gedacht ist.

## Wo Ihnen Zero-Day-Lücken begegnen

In Schlagzeilen, die mit „jetzt aktualisieren“ enden. In der Aufforderung des Browsers zum Neustart und in Smartphone-Updates, die zwischen den großen jährlichen Versionen kommen. In Versionshinweisen von Herstellern, nach denen ein Exploit bei echten Angriffen im Umlauf ist (Google) oder eine Lücke möglicherweise ausgenutzt wurde (Apple). Am Arbeitsplatz in Notfall-Wartungsfenstern für Patches und in Mitteilungen der IT, die alle bitten, neu zu starten.

## Häufige Fehler

- **Den Neustart aufschieben.** Ein heruntergeladenes Update bewirkt nichts, bis der Browser oder das Gerät neu startet.
- **Glauben, nur Zero-Day-Lücken zählten.** Jeder Eintrag im KEV-Katalog hat eine veröffentlichte Korrektur oder Schutzmaßnahme und wurde trotzdem ausgenutzt, weil ein Gerät, das die Korrektur nie installiert, offen bleibt.
- **Software ohne Support betreiben.** Ein System, das keine Updates mehr bekommt, behält jede neue Lücke für immer. Chrome etwa setzt inzwischen Windows 10 oder neuer und macOS 13 Ventura oder neuer voraus.
- **„Updates“ aus Pop-ups oder E-Mails installieren.** Echte Updates kommen aus den Einstellungen des Geräts, der Infoseite des Browsers („Über …“) oder dem offiziellen App-Store; eine Webseite, die behauptet, Ihr Browser brauche einen Patch, ist meist ein Köder.
- **Ein Antivirenprogramm für einen Patch halten.** Sicherheitssoftware kann erkennen, was ein Exploit als Nächstes tut; die Lücke entfernt sie nicht.

## Entscheidungshilfe

| Ihre Situation | Was Sie zuerst tun sollten |
|---|---|
| Eine Meldung sagt, Ihr Browser habe eine Zero-Day-Lücke | Die Infoseite des Browsers öffnen und neu starten |
| Ihr Smartphone bietet ein Sicherheitsupdate an | Heute installieren, am Ladekabel und im WLAN |
| Ihr Gerät bekommt keine Updates mehr | Auf ein unterstütztes System oder ein neueres Gerät wechseln |
| Ein Produkt Ihres Unternehmens steht auf der KEV-Liste | Zuerst patchen; bis dahin die Schutzmaßnahme des Herstellers anwenden |
| Sie vermuten einen Angriff auf ein Gerät | Vom Netz trennen, IT oder Hersteller informieren, an das nationale CERT melden |
| Sie recherchieren Bedrohungen für ein Unternehmen | Isolierter Rechner, nur öffentliche Quellen, ein separater Netzwerkausgang |

## Häufige Fragen

### Kann ein Antivirenprogramm Zero-Day-Angriffe stoppen?

Manchmal, aber nicht zuverlässig. Ein Antivirenprogramm, das bekannte schädliche Dateien erkennt, kann einen Exploit nicht erkennen, den noch niemand gesehen hat. Moderne Sicherheitssoftware beobachtet aber auch das Verhalten, etwa wenn ein Browser plötzlich andere Programme startet, und kann blockieren, was ein Exploit als Nächstes versucht. Die einzige echte Lösung bleiben Updates.

### Woran erkenne ich, ob mein Gerät eine Zero-Day-Lücke hat?

Meist gar nicht, denn eine Zero-Day-Lücke ist per Definition unbekannt oder nicht behoben. Prüfen können Sie, ob die Korrektur installiert ist: Die Versionshinweise des Herstellers nennen die Lücke, und der Update-Bildschirm Ihres Geräts zeigt, ob Sie diese Version haben. Unter Android zeigt **Einstellungen** > **Über das Telefon** > **Android-Version** in der Zeile **Android-Sicherheitsupdate** das Datum des letzten Sicherheitsupdates.

### Was ist eine CVE?

Eine CVE ist eine öffentliche Kennung für eine einzelne offengelegte Schwachstelle, geschrieben als CVE, Jahreszahl und Nummer, zum Beispiel CVE-2026-125350. Vergeben werden die Kennungen von CVE-Vergabestellen (CVE Numbering Authorities, CNAs), von denen viele Softwarehersteller sind. Eine Zero-Day-Lücke erhält ihre CVE oft erst, wenn der Hersteller die Korrektur veröffentlicht.

### Ist eine Zero-Day-Lücke dasselbe wie eine kritische Schwachstelle?

Nein. „Kritisch“ beschreibt, wie viel Schaden eine Lücke anrichten könnte; „Zero-Day“ beschreibt den Zeitpunkt, also dass sie genutzt wird, bevor es eine Korrektur gibt. Eine Zero-Day-Lücke kann einen mittleren Schweregrad haben, und eine kritische Lücke, die gepatcht wird, bevor jemand sie nutzt, wird nie zur Zero-Day-Lücke.

### Können Smartphones Ziel von Zero-Day-Angriffen werden?

Ja. Auch Smartphone-Betriebssysteme und die Apps darauf haben Zero-Day-Lücken; die Sicherheitshinweise von Apple vermerken zum Beispiel manchmal, dass eine behobene Lücke möglicherweise gegen bestimmte, gezielt ausgewählte Personen ausgenutzt wurde. Automatische Updates auf iPhone und Android sind für die meisten Menschen der wichtigste Schutz.

### Wie lange dauert es, eine Zero-Day-Lücke zu schließen?

Das reicht von Tagen bis zu Monaten. Browser liefern oft wenige Tage, nachdem sie von einem Angriff erfahren haben, eine Notfallkorrektur aus, während komplexe Produkte länger brauchen können. Googles Project Zero veröffentlicht die Details einer Lücke, die bereits bei echten Angriffen ausgenutzt wird, 7 Tage nach der Meldung, was Hersteller zu schnellem Handeln drängt.

## Fazit

Eine Zero-Day-Lücke ist eine Schwachstelle, die Angreifer nutzen können, bevor es eine Korrektur gibt; sobald der Patch erscheint, verlagert sich die Gefahr auf jedes Gerät, das ihn nicht installiert hat. Das Unbekannte können Sie nicht patchen, aber Sie können dafür sorgen, dass die Korrektur am Tag ihres Erscheinens ankommt: automatische Updates an, Browser neu gestartet, ungenutzte Apps und Erweiterungen entfernt, die Anmeldung mit einem zweiten Schritt geschützt und eine Sicherung bereit. Unternehmen ergänzen eine Bestandsliste, Patchen nach KEV-Priorität und Schutzschichten, die ein einzelnes Versagen eindämmen. Wenn Sie Proxys beruflich nutzen, erklärt unsere [Proxy-Übersicht](/de/proxy), was sie verändern und was sie Ihren Updates überlassen.