Was ist eine Sicherheitslücke?

Einfach erklärt

Eine Sicherheitslücke ist ein Fehler in einer Software, durch den jemand etwas tun kann, was er nicht dürfte: Daten lesen, sich ohne Passwort anmelden, fremden Code ausführen. Man kann es sich wie ein Fenster vorstellen, das sich von außen aufdrücken lässt. Solange niemand davon weiß, passiert vielleicht nichts. Sobald die Lücke öffentlich bekannt ist, wird sie für Angreifer interessant.

Wie Lücken bekannt werden

Eine bekannte Lücke bekommt eine weltweit eindeutige Nummer, etwa „CVE-2026-12345“. Dazu kommt eine Einstufung des Schweregrads von 0 bis 10, genannt CVSS. Ab 9 gilt eine Lücke als kritisch. Der Hersteller liefert eine korrigierte Version. Von da an läuft die Zeit: Wer das Update nicht einspielt, bleibt angreifbar. Lücken, die nachweislich schon für Angriffe genutzt werden, führt die US-Behörde CISA in einer eigenen Liste.

Warum sichtbare Versionsnummern helfen

In der Grundeinstellung nennen gängige Webserver in jeder Antwort, welche Software in welcher Version läuft, etwa „Apache/2.4.58“. Für Angreifer ist das ein Wegweiser: Sie gleichen die Nummer mit der Liste bekannter Lücken ab und wissen sofort, ob ein Angriff aussichtsreich ist. Die Angabe abzuschalten schließt keine Lücke, nimmt Angreifern aber diese Abkürzung. Das BSI empfiehlt für Webserver, weder Produktname noch Version preiszugeben.

Was Sie tun können

Fragen Sie die Firma, die Ihre Website betreut, wie sie von neuen Lücken erfährt und wie schnell sie Updates einspielt. Bitten Sie außerdem darum, die Versionsangaben abzuschalten. Und sorgen Sie dafür, dass jemand eine Meldung von außen annehmen kann, etwa über eine security.txt.

Kennungen und Bewertungen

• CVE (Common Vulnerabilities and Exposures): eindeutige Kennung CVE-JJJJ-NNNN…, vergeben von CVE Numbering Authorities, darunter viele Hersteller.
• CVSS (Common Vulnerability Scoring System, FIRST): Punktwert von 0 bis 10. Version 4.0 erschien im November 2023, Datenbanken nennen je nach Eintrag Werte nach 3.1 oder 4.0. Einstufung: 0,1 bis 3,9 niedrig, 4,0 bis 6,9 mittel, 7,0 bis 8,9 hoch, 9,0 bis 10 kritisch.
• KEV (Known Exploited Vulnerabilities): Katalog der US-Behörde CISA mit Lücken, die nachweislich ausgenutzt werden. CISA empfiehlt ihn als Grundlage für die Reihenfolge beim Patchen.
• EPSS (Exploit Prediction Scoring System, FIRST): geschätzte Wahrscheinlichkeit, dass eine Lücke in den nächsten 30 Tagen ausgenutzt wird.
• EUVD: Europäische Schwachstellendatenbank der ENISA, vorgesehen in der NIS-2-Richtlinie, seit Mai 2025 in Betrieb.

CVSS misst die technische Schwere, nicht das Risiko im eigenen Betrieb. Eine aktiv ausgenutzte Lücke mit 7,5 kann dringender sein als eine mit 9,8 in einem Modul, das von außen nicht erreichbar ist.

Versionsangaben abschalten

# nginx
server_tokens off;

# Apache
ServerTokens Prod
ServerSignature Off

# PHP, php.ini
expose_php = Off

server_tokens off und ServerTokens Prod lassen nur den Produktnamen stehen. Das BSI fordert im Baustein APP.3.2 Webserver (A12), dass weder Produktname noch Version aus HTTP-Informationen und Fehlermeldungen ersichtlich sind. Verbergen ersetzt keine Updates: Automatisierte Angriffe können eine Lücke auch ohne Versionsangabe einfach ausprobieren.

Typische Fehler

• Version abgeschaltet, Update vergessen. Die Lücke bleibt.
• Nur nach CVSS sortiert, statt aktiv ausgenutzte Lücken zuerst zu schließen.
• Distributionsversion falsch gelesen. Apache/2.4.x (Ubuntu) kann korrigiert sein, obwohl die Upstream-Version betroffen ist (Support-Ende).
• Versionen an anderer Stelle: X-Powered-By, X-AspNet-Version, Generator-Tag des CMS, Fehlerseiten.

Prüfen

curl -sI https://ihre-firma.de/ | grep -i -E '^(server|x-powered-by|x-aspnet-version|x-generator)'

Einzelne Lücken lassen sich unter cve.org, in der EUVD unter euvd.enisa.europa.eu und im KEV-Katalog der CISA nachschlagen.