Zero-Day-Schwachstellen: Wie Sie reagieren wenn kein Patch verfügbar ist

Edouard Jacques

Managing Director, Cyber Culture

Wenn Sie an Log4Shell, MOVEit Transfer oder Citrix Bleed denken, erinnern Sie sich vermutlich an lange Wochenenden. Zero-Day-Schwachstellen werden ohne Vorwarnung publik, oft am Freitagabend, und Ihr Team muss in den nächsten 24 Stunden agieren – ohne dass ein Patch verfügbar ist. Wir haben in den letzten Jahren mit Kunden mehr als ein Dutzend solcher Lagen begleitet. Daraus haben wir ein 5-Stufen-Playbook entwickelt.

Stufe 1: Betroffenheit klären – binnen 2 Stunden

Welche Systeme nutzen die betroffene Software? Ohne aktuelles Asset-Inventory verlieren Sie hier den ersten halben Tag. Wir empfehlen, das Asset-Inventory mindestens monatlich zu validieren – im Zero-Day-Fall haben Sie keine Zeit, es nachzuholen.

Stufe 2: Exposition bewerten

Sind die betroffenen Systeme aus dem Internet erreichbar? Liegen sie in einem Netzwerk-Segment mit hoher Sensibilität? Wer hat Zugriff? Ohne diese Klassifikation priorisieren Sie blind.

Stufe 3: Workaround anwenden

In 80 % der Zero-Day-Fälle gibt es einen Workaround – Deaktivierung eines Moduls, Konfigurationsänderung, Network-ACL. Diese Workarounds müssen dokumentiert und nachverfolgt werden, weil sie oft nach dem Patch nicht zurückgenommen werden.

Stufe 4: Detection schärfen

Während Sie auf den Patch warten, ist das SIEM Ihr Frühwarnsystem. Hersteller-IOCs (Indicators of Compromise) und Vendor-Detection-Rules sollten innerhalb von 4 Stunden im SIEM aktiv sein.

Stufe 5: Patch und Verifikation

Sobald der Patch verfügbar ist: ausrollen, Re-Scan, Workaround zurückrollen. Diese Reihenfolge wird oft vergessen – ein Workaround, der dauerhaft bleibt, kann Performance- oder Funktionalitäts-Probleme verursachen.

Bereiten Sie das Playbook vor, bevor Sie es brauchen

Wir entwickeln Zero-Day-Response-Playbooks im Workshop-Format. Mit klaren Verantwortlichkeiten, Tool-Integrationen und einer Tabletop-Übung. Sprechen Sie uns an, wenn Sie das nächste Log4Shell nicht aus dem Stand managen wollen.