Vorbereitung auf Zero Days: Resilienz statt Prävention

Ein Zero Day ist per Definition eine Schwachstelle ohne Patch und ohne Signatur. Wer sich darauf vorbereiten will, muss die Frage umdrehen: nicht "wie verhindere ich den Exploit", sondern "wie begrenze ich den Schaden und wie schnell erkenne ich die Ausnutzung". Die aktuellen Zahlen zeigen, warum diese Verschiebung überfällig ist.

Die Lage 2026: 190 KEV-Einträge, Time-to-Exploit bei minus 7 Tagen

Der CISA-KEV-Katalog listet für 2026 bis zum 24. August bereits 190 neue Einträge mit nachgewiesener aktiver Ausnutzung, im Schnitt fast 6 pro Woche. 118 davon sind frische CVE-2026-Nummern, aber 38 betreffen Schwachstellen, die älter als 2025 sind: Angreifer nutzen parallel brandneue Lücken und liegengebliebene Altlasten. Zwei aktuelle Fälle zeigen das Tempo. Am 29. Juli 2026 kam CVE-2026-20316 im Cisco Secure Firewall Management Center dazu, statische Default-Zugangsdaten, aktiv ausgenutzt, bevor Cisco überhaupt patchen konnte, Behörden-Frist: drei Tage. Am 26. August 2026 folgte CVE-2026-8452 in Citrix NetScaler ADC und Gateway, ein Memory Overflow mit CVSS 8.8, ebenfalls mit Ausnutzungsnachweis und einer Frist von drei Tagen. Beide Fälle treffen genau die Geräteklasse, die am Netzwerkrand steht: Firewalls, VPN-Gateways, Management-Appliances.

Noch deutlicher ist der Trend beim Zeitfenster. Laut M-Trends 2026 liegt die mittlere Time-to-Exploit inzwischen bei geschätzt minus 7 Tagen. 2018 waren es noch 63 Tage zwischen Disclosure und Ausnutzung. Der Mittelwert ist negativ, weil ein erheblicher Teil der Ausnutzung vor der Veröffentlichung eines Patches stattfindet. Eine Verteidigung, die auf dem Patch-Zyklus aufbaut, kommt strukturell zu spät.

Angriffsfläche und Inventar: die Log4Shell-Lektion

Was nicht exponiert ist, kann nicht per Zero Day getroffen werden. Der erste Hebel ist daher die konsequente Reduktion: nicht benötigte Dienste abschalten, Management-Interfaces aus dem Internet nehmen, Egress-Traffic filtern. Der zweite ist das Inventar. Bei Log4Shell bestand die eigentliche Katastrophe für viele Unternehmen darin, wochenlang nicht zu wissen, wo die Bibliothek überall lief. Ein aktuelles Asset-Inventar plus SBOMs (in der EU über den Cyber Resilience Act ohnehin ab Dezember 2027 Pflicht) verkürzt die Frage "sind wir betroffen?" von Wochen auf Minuten.

Segmentierung: ein Host, kein Durchmarsch

Assume Breach ist die realistische Grundhaltung. Netzwerksegmentierung, Least Privilege und die Prinzipien aus NIST SP 800-207 (Zero Trust Architecture) sorgen dafür, dass ein erfolgreicher Exploit einen einzelnen Host kostet und keinen lateralen Durchmarsch durch eine flache Domäne. Besonders wichtig ist die Trennung von DMZ-, Firewall- und VPN-Systemen von kritischen Assets: Genau diese Geräteklasse wird bevorzugt für Erstzugriff und langfristige Persistenz angegriffen, wie die aktuellen KEV-Einträge zu Cisco und Citrix erneut zeigen.

Generische Härtung schlägt spezifische Signaturen

Memory Corruption bleibt eine dominierende Klasse ausgenutzter Zero-Days, der aktuelle NetScaler-Fall CVE-2026-8452 ist ein Memory Overflow. Gegen diese Klasse wirken Mitigationen, die keinen konkreten Bug kennen müssen: ASLR, DEP, CFG/CET, Sandboxing, Kernel-Härtung und memory-safe Sprachen für neue Komponenten. Auf Endgeräten leisten der iOS Lockdown Mode und Android Advanced Protection dasselbe für hochexponierte Personen. Solche Maßnahmen machen ganze Exploit-Klassen teurer statt einzelne Lücken zu stopfen.

Detektion auf Verhaltensebene

Signaturen versagen bei Unbekanntem, Verhalten nicht. EDR/XDR mit Anomalieerkennung, zentrales Logging und eine Baseline normaler Systemprozesse zielen auf die Post-Exploitation-Phase: ungewöhnliche Prozessketten, neue Persistenzmechanismen, unerwarteter C2-Traffic. Canary Tokens machen Lateral Movement sichtbar, selbst wenn der initiale Exploit unbemerkt durchgeht.

Reaktion und Recovery

Für den Tag X braucht es drei eingeübte Dinge. Erstens einen Notfall-Patch-Prozess, der das reguläre Change Management umgehen darf, ausgelöst etwa durch einen neuen KEV-Eintrag; welche Schwachstellen aktuell aktiv ausgenutzt werden, zeigt tagesaktuell unsere CVE-Datenbank. Zweitens Virtual Patching über WAF- oder IPS-Regeln als Brücke, bis der Herstellerpatch existiert, und die Bereitschaft, ungepatchte Systeme notfalls zu isolieren. Drittens getestete, offline oder immutable gehaltene Backups als letzte Rückfallebene. Ob die Kette vom ersten Alarm bis zur Isolation trägt, zeigt keine Richtlinie, sondern eine Tabletop-Übung oder eine realistische Angriffssimulation.

Fazit

Zero-Day-Vorbereitung ist kein Produkt, sondern eine Architektur- und Prozessfrage. Minimierte Angriffsfläche, belastbares Inventar, Segmentierung, generische Exploit-Härtung, Verhaltensdetektion und ein geübter Notfallprozess reduzieren den Schaden einer unbekannten Lücke auf ein beherrschbares Ereignis. Bei einer Time-to-Exploit von minus 7 Tagen ist das keine Kür mehr, sondern die einzige Strategie, die rechnerisch aufgeht.