2021 – Das Jahr der Zero-Day-Sicherheitslücken

Zuletzt aktualisiert am 1. Juni 2026

Die Sicherheitsforscher des „Project Zero“ von Google haben ihre Statistik zu den aktiv ausgenutzten Zero-Day-Sicherheitslücken fertiggestellt. Das Fazit: Im Jahr 2021 gab es einen massiven Anstieg an bekannten Zero Days. Das läge nicht nur am Anstieg der Angriffe, sondern auch an der inzwischen besseren Erkennbarkeit.

Zero-Day-Sicherheitslücken

Der Begriff „Zero Day“ bezeichnet Sicherheitslücken, zwischen deren Entdeckung und dem ersten Angriff „null Tage“ liegen.

Wird eine Sicherheitslücke von Nutzern oder von Sicherheitsforschern entdeckt, teilen diese das normalerweise zunächst dem Softwareanbieter mit. Dieser hat dann etwas Zeit, einen Patch oder ein Update zu entwerfen. Diese Zeit wird meist abgewartet, bevor die Sicherheitslücke der Öffentlichkeit mitgeteilt wird. Viele Sicherheitsforscher arbeiten direkt mit Softwareanbietern zusammen und geben diesen dann nach der Entdeckung einer Sicherheitslücke einen vorher festgelegten Zeitraum Zeit, um die nötigen Maßnahmen zu treffen. Erst danach treten sie an die Öffentlichkeit.

Daneben gibt es die Möglichkeit, dass Angreifer solche Sicherheitslücken als erstes entdecken. Diese nutzen die Lücke selbstverständlich sofort im Rahmen eines „Zero-Day-Angriff“ aus. Diese Angriffe sind besonders schwer zu bekämpfen, da sie schwer erkennbar sind.

Project Zero

Das „Project Zero“ ist eine Gruppe von Sicherheitsforschern von Google, die unter anderem mit Unternehmen zusammenarbeiten und diese auf mögliche Zero-Day-Sicherheitslücken hinweisen. Außerdem wertet das „Project Zero“ seit 2014 jährlich die aktiv ausgenutzten Sicherheitslücken aus. Das Ziel ist es, mit dieser Auswertung Trends der IT-Industrie sowie der Angreifer zu erkennen und daraus zu schlussfolgern, wie die IT-Sicherheit zu schützen ist.

Zero Days im Jahr 2021

Für das Jahr 2021 verzeichnete das Project Zero einen Rekordwert an bekannten und aktiv ausgenutzten Zero Days. Der Wert lag für das Jahr 2021 bei 58, während er die letzten Jahre meist knapp über 20 lag.

Das „Project Zero“ setzte sich auch mit möglichen Ursachen für diese Entwicklung auseinander. Es läge nicht bloß ein Anstieg der Zero-Day-Angriffe vor, so die Forscher. Vielmehr würde das Ausnutzen solcher Sicherheitslücken inzwischen besser von Sicherheitsforschern erkannt. Außerdem würden die betroffenen Hersteller nun mehr der ausgenutzten Zero Days öffentlich machen.

Hervorgehoben haben die Forscher des Teams außerdem, dass die meisten Zero-Day-Angriffe überraschend simpel waren. Da es sich bei Zero Days um die fortschrittlichste aller Angriffsmethoden handele, habe man anderes erwartet. Vielmehr basierten etwa zwei Drittel schlicht auf Speicherfehlern (Kategorien wie Use-After-Free, Out-of-Bounds-Zugriffe, Buffer- und Integer-Overflows). Diese sind schon lange als problematisch bekannt.

Ein „beeindruckendes Kunstwerk“ stellten dagegen die Forcedentry genannten Lücken dar, die benutzt wurden für einen Pegasus-Trojaner vom Hersteller NSO. Dies stelle allerdings eine seltene Ausnahme dar. Im Durchschnitt betrachtet mache die IT-Industrie es den Angreifern immer noch zu einfach.

Arten von Zero-Day-Sicherheitslücken

Zero-Day-Sicherheitslücken lassen sich in verschiedene Kategorien einteilen. Die häufigsten Typen sind Speicherfehler wie Buffer Overflows, bei denen ein Programm über die Grenzen eines reservierten Speicherbereichs hinausschreibt. Use-After-Free-Fehler entstehen, wenn ein Programm auf Speicher zugreift, der bereits freigegeben wurde. Integer Overflows treten auf, wenn arithmetische Operationen zu Werten führen, die den vorgesehenen Speicherbereich überschreiten.

Neben den klassischen Speicherfehlern gibt es auch Logikfehler in der Software. Diese sind besonders schwer zu erkennen, da sie nicht auf technischen Programmierfehlern beruhen, sondern auf falschen Annahmen der Entwickler über den Programmablauf. Ein Angreifer nutzt dabei die korrekt funktionierende Software auf eine vom Entwickler nicht vorgesehene Weise aus.

Betroffene Plattformen und Software

Die Analyse des Project Zero zeigte, dass die Zero-Day-Angriffe im Jahr 2021 vor allem bestimmte Plattformen und Softwareprodukte betrafen. An der Spitze stand Google Chrome mit 14 Zero Days, gefolgt von Windows mit 10 und iOS mit 7 Sicherheitslücken. Auch Safari und Microsoft Exchange Server waren mehrfach betroffen. Besonders bemerkenswert war, dass erstmals auch Angriffe auf die Firmware von Mobilgeräten dokumentiert wurden.

Die Verteilung zeigt deutlich, dass weit verbreitete Software besonders im Fokus der Angreifer steht. Je mehr Nutzer eine Anwendung hat, desto attraktiver wird sie als Angriffsziel. Unternehmen sollten daher gerade bei populärer Standardsoftware besonders wachsam sein und technisch-organisatorische Maßnahmen konsequent umsetzen.

Schutzmaßnahmen gegen Zero-Day-Angriffe

Auch wenn Zero-Day-Angriffe per Definition schwer vorhersehbar sind, gibt es wirksame Strategien zur Risikominimierung. Ein mehrschichtiger Sicherheitsansatz, oft als „Defense in Depth“ bezeichnet, sorgt dafür, dass ein einzelner erfolgreicher Angriff nicht sofort das gesamte System kompromittiert. Dazu gehören Netzwerksegmentierung, strenge Zugriffskontrollen und regelmäßige Sicherheitsaudits.

Patch-Management spielt eine zentrale Rolle beim Schutz vor bekannten Sicherheitslücken. Unternehmen sollten Sicherheitsupdates zeitnah einspielen, sobald diese verfügbar sind. Automatisierte Update-Prozesse können hier die Reaktionszeit erheblich verkürzen. Außerdem empfiehlt sich der Einsatz von Endpoint Detection and Response (EDR) Lösungen, die verdächtiges Verhalten auf Endgeräten erkennen und automatisch Gegenmaßnahmen einleiten können.

Die Schulung der Mitarbeiter ist ein weiterer wesentlicher Baustein. Viele Zero-Day-Angriffe beginnen mit Social Engineering oder Phishing-E-Mails. Sensibilisierte Mitarbeiter können verdächtige Aktivitäten frühzeitig erkennen und melden, bevor ein Angriff erfolgreich ist.

Datenschutzrechtliche Bedeutung von Zero-Day-Angriffen

Für Unternehmen haben Zero-Day-Angriffe auch erhebliche datenschutzrechtliche Relevanz. Nach Art. 32 DSGVO sind Verantwortliche verpflichtet, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehört ausdrücklich die Fähigkeit, die Vertraulichkeit, Integrität und Verfügbarkeit der Systeme sicherzustellen.

Kommt es durch einen Zero-Day-Angriff zu einer Verletzung des Schutzes personenbezogener Daten, greift die Meldepflicht nach Art. 33 DSGVO. Der Verantwortliche muss die zuständige Aufsichtsbehörde unverzüglich, möglichst innerhalb von 72 Stunden, über den Vorfall informieren. Bei einem hohen Risiko für die betroffenen Personen müssen auch diese nach Art. 34 DSGVO benachrichtigt werden.

Ein professionelles Datenschutzmanagement umfasst daher immer auch einen Incident-Response-Plan, der die notwendigen Schritte im Falle eines Sicherheitsvorfalls klar definiert. Unternehmen, die hier vorsorgen, können im Ernstfall schneller und rechtssicherer reagieren.

Ausblick und Entwicklung

Der Trend zu mehr entdeckten Zero-Day-Sicherheitslücken hat sich auch nach 2021 fortgesetzt. Die zunehmende Digitalisierung und die wachsende Komplexität von Softwaresystemen bieten Angreifern immer mehr Angriffsfläche. Gleichzeitig verbessern sich aber auch die Erkennungsmethoden der Sicherheitsforscher kontinuierlich.

Für Unternehmen bedeutet dies, dass IT-Sicherheit kein einmaliges Projekt, sondern ein fortlaufender Prozess ist. Regelmäßige Überprüfungen der eigenen Sicherheitsmaßnahmen, kontinuierliche Weiterbildung der Mitarbeiter und die Zusammenarbeit mit erfahrenen Sicherheitsexperten sind wichtig, um den wachsenden Bedrohungen wirksam zu begegnen.

Zero-Day-Markt und staatliche Akteure

Neben kriminellen Akteuren sind auch staatliche Organisationen bedeutende Käufer und Nutzer von Zero-Day-Exploits. Geheimdienste und Strafverfolgungsbehörden verschiedener Länder erwerben Zero-Day-Sicherheitslücken auf einem wachsenden Markt, um sie für Überwachung und Spionage einzusetzen. Unternehmen wie die israelische NSO Group, deren Pegasus-Trojaner 2021 für weltweite Schlagzeilen sorgte, entwickeln und vertreiben solche Werkzeuge gezielt an staatliche Auftraggeber.

Dieser kommerzielle Handel mit Sicherheitslücken wirft erhebliche ethische und datenschutzrechtliche Fragen auf. Die Europäische Union diskutiert daher seit einiger Zeit über eine strengere Regulierung des Handels mit Überwachungstechnologie. Für Unternehmen, die sensible Daten verarbeiten, bedeutet dies, dass sie nicht nur mit kriminellen Angreifern rechnen müssen, sondern auch mit hochprofessionellen staatlichen Akteuren, die über erhebliche Ressourcen verfügen.

Die Zusammenarbeit mit einem erfahrenen IT-Sicherheitsberater und einem externen Datenschutzbeauftragten hilft Unternehmen, ihre Sicherheitsmaßnahmen regelmäßig zu überprüfen und an die aktuelle Bedrohungslage anzupassen. Nur wer die Risiken kennt und vorausschauend handelt, kann den Schutz personenbezogener Daten langfristig gewährleisten.

Bedeutung für kleine und mittelständische Unternehmen

Kleine und mittelständische Unternehmen (KMU) sind von Zero-Day-Angriffen besonders bedroht, da sie häufig nicht über die Ressourcen für umfangreiche IT-Sicherheitsabteilungen verfügen. Gleichzeitig verarbeiten auch KMU sensible personenbezogene Daten ihrer Kunden und Mitarbeiter, die es zu schützen gilt. Die DSGVO unterscheidet bei ihren Anforderungen nicht nach Unternehmensgröße. Auch ein kleines Unternehmen muss angemessene Sicherheitsmaßnahmen treffen und kann bei Verstößen mit empfindlichen Bußgeldern belegt werden. Eine professionelle Beratung durch einen erfahrenen Datenschutzexperten hilft KMU dabei, die richtigen Prioritäten bei der IT-Sicherheit zu setzen und die gesetzlichen Anforderungen kosteneffizient zu erfüllen.

Letztlich zeigt die Statistik zu den Zero-Day-Sicherheitslücken des Jahres 2021, dass kein Unternehmen vor solchen Angriffen sicher ist. Eine Kombination aus technischen Schutzmaßnahmen, organisatorischen Prozessen und regelmäßiger Mitarbeitersensibilisierung bildet die beste Verteidigungsstrategie. Wer heute in IT-Sicherheit und Datenschutz investiert, schützt nicht nur seine Daten, sondern auch seine Reputation und seine wirtschaftliche Zukunft.

Sie wollen sich zum Thema Datensicherheit und Datenschutz beraten lassen? Unser Team an Experten hilft Ihnen gerne weiter!