Zero-Day-Schwachstellen in Drittanbieter-Software: Die Lieferkette

Das stille Risiko in Ihrer Software-Lieferkette verstehen

Im Mai 2023 sahen sich Cybersicherheitsteams weltweit ihrem schlimmsten Albtraum gegenüber: Eine Schwachstelle, von der niemand wusste, dass sie existiert, wurde bereits in großem Maßstab ausgenutzt. Der MOVEit Transfer-Breach kompromittierte über 2.700 Organisationen und enthüllte die persönlichen Daten von etwa 93,3 Millionen Menschen – alles durch einen einzigen unbekannten Fehler in weit verbreiteter Dateiübertragungssoftware. Dieser Vorfall war nicht nur eine weitere Datenpanne – er war eine deutliche Erinnerung daran, wie Zero-Day-Schwachstellen in Drittanbieter-Software zu einer der gefährlichsten Bedrohungen für die moderne Cybersicherheit geworden sind.

Zero-Day-Schwachstellen sind Sicherheitslücken, von denen die Anbieter noch nichts wissen, was den Verteidigern buchstäblich null Tage Zeit lässt, sich vorzubereiten oder zu patchen, bevor Angreifer zuschlagen. Wenn diese Schwachstellen in beliebter Drittanbieter-Software existieren, wirkt sich das auf ganze Branchen aus, verwandelt vertrauenswürdige Tools in Waffen der digitalen Zerstörung.

Warum sind Zero-Day-Schwachstellen so verheerend?

Zero-Day-Schwachstellen sind besonders gefährlich, weil sie das grundlegende Vertrauen ausnutzen, das Organisationen in ihre Softwareanbieter setzen. Anders als bei anderen Exploits basieren Zero-Day-Angriffe nicht auf veralteten Systemen oder gestohlenen Passwörtern – sie nutzen unbekannte Schwachstellen, was Angreifern mehrere Vorteile verschafft. Diese Angriffe können traditionelle Verteidigungsmaßnahmen wie Firewalls und Antiviren-Tools umgehen, weil Sicherheitssoftware keine Signaturen oder Muster hat, um sie zu erkennen.

Der Begriff „Zero-Day“ stammt aus Piratensoftware-Kreisen, hat sich aber weiterentwickelt, um das kritische Zeitfenster zwischen Entdeckung der Schwachstelle und Deployment des Patches zu beschreiben. Während dieses Zeitraums bleiben Organisationen vollständig exponiert, oft ohne überhaupt zu wissen, dass eine Angriffsfläche besteht. Laut Forschungen der RAND Corporation bleiben Zero-Day-Exploits im Durchschnitt 6,9 Jahre nutzbar, wobei solche, die von Dritten gekauft werden, nur etwa 1,4 Jahre einsatzfähig sind.

Der Lebenszyklus eines Zero-Day-Angriffs

Das Verständnis, wie Zero-Day-Angriffe ablaufen, zeigt, warum sie so schwer zu bekämpfen sind:

Schwachstellen-Entwicklung: Während der Softwareentwicklung wird unbemerkt eine Schwachstelle in das Programm eingebaut
Entdeckung: Ein bösartiger Akteur, Forscher oder automatisiertes Tool erkennt die Schwachstelle
Exploit-Entwicklung: Angreifer erstellen Code, um die Schwachstelle zu weaponisieren
Stilles Ausnutzen: Angriffe beginnen, bevor der Anbieter es bemerkt
Öffentliche Offenlegung: Die Schwachstelle wird schließlich den Verteidigern bekannt
Patch-Entwicklung: Anbieter eilen, um Fixes zu erstellen und zu testen
Patch-Rollout: Organisationen wenden Updates an, doch viele hinken gefährlich hinterher

Der kritischste Zeitraum liegt zwischen Entdeckung und Offenlegung. Hacker können Exploits oft schneller entwickeln, als Sicherheitsteams Patches erstellen können – Exploits sind meist innerhalb von 14 Tagen nach Offenlegung verfügbar. Sobald Zero-Day-Angriffe jedoch starten, reagieren Anbieter in der Regel schnell und veröffentlichen Patches innerhalb von Tagen.

Die MOVEit Transfer-Katastrophe: Ein Fallbeispiel für Lieferketten-Desaster

Der MOVEit Transfer-Breach zählt zu den bedeutendsten Angriffen auf die Lieferkette in der Geschichte und zeigt, wie eine einzelne Zero-Day-Schwachstelle eine Kettenreaktion von beispiellosem Ausmaß auslösen kann. Am 27. Mai 2023 begann die berüchtigte russischsprachige Cybercrime-Bande Cl0p, eine SQL-Injection-Zero-Day-Schwachstelle in MOVEit-Software auszunutzen, wobei Hinweise darauf hindeuten, dass sie die Schwachstelle und den Zugriff auf MOVEit-Datenbanken seit Juli 2021 getestet hatten.

Der Angriffsmechanismus

MOVEit Transfer, eine Lösung für Managed File Transfer, entwickelt von Progress Software, wird branchenübergreifend für die sichere Übertragung sensibler Daten genutzt. Die Schwachstelle ermöglichte es Angreifern, öffentlich zugängliche Server via SQL-Injection anzugreifen, wobei infizierte MOVEit-Webanwendungen mit einem Webshell namens LEMURLOOT versehen wurden, das dann zum Stehlen von Daten aus zugrunde liegenden Datenbanken genutzt wurde.

Was diesen Angriff besonders hinterhältig machte, war die Vorbereitung der Angreifer und die weite Verbreitung der Software. Innerhalb weniger Tage nach der ersten Ausnutzung am 27. Mai 2023 wurden weltweit Tausende Organisationen kompromittiert, wobei CISA schätzt, dass mehr als 3.000 US-Organisationen und 8.000 weltweit betroffen waren.

Die Wellenwirkung: Verstärkung durch Lieferkette

Die wahre Zerstörung des MOVEit-Breaches zeigte sich durch seine Natur als Lieferkettenangriff. Daten der Colorado State University wurden sechsmal durch sechs verschiedene Anbieter exponiert, obwohl diese das MOVEit-Tool selbst nicht direkt nutzten. Dieser Multiplikator verwandelte eine einzelne Schwachstelle in eine globale Krise, die Branchen von Gesundheitswesen und Finanzen bis hin zu Regierung und Bildung betrifft.

MOVEit-Zero-Day-Exploits kompromittierten direkt mindestens 100 Kunden, doch bei Betrachtung der nachgelagerten Folgen wurden letztlich mindestens 354 weitere Organisationen durch die MOVEit-Umgebung der PBI kompromittiert. Der Angriff schuf eine „Hydra-ähnliche“ Sicherheitslücke, bei der die Kompromittierung einer Organisation zu Dutzenden oder sogar Hunderten sekundärer Opfer führte.

Die finanziellen und menschlichen Kosten

Die wirtschaftlichen Folgen des MOVEit-Breaches sind enorm und entwickeln sich ständig weiter. Laut IBM-Daten, die zeigen, dass Datenpannen im Durchschnitt 165 USD pro Datensatz kosten, könnte der potenzielle Schaden des MOVEit-Vorfalls 15,8 Milliarden USD übersteigen. Neben direkten finanziellen Verlusten stehen Organisationen vor laufenden Kosten für Kreditüberwachung, Rechtsstreitigkeiten, regulatorische Strafen und Sanierungsmaßnahmen, die Jahre über den ursprünglichen Vorfall hinausgehen.

In einem Beispiel entdeckte die Wisconsin Physicians Service im Mai 2024 – ein Jahr nach dem ersten Patch – dass Cl0p Dateien mit Namen, Sozialversicherungsnummern, Geburtsdaten und Medicare-Benutzer-IDs von fast 947.000 Personen exfiltriert hatte. Diese verzögerte Entdeckung zeigt, wie Zero-Day-Angriffe langanhaltende Folgen haben können, die lange nach dem ursprünglichen Vorfall sichtbar werden.

Der steigende Trend: Zero-Day-Exploitation in der Entwicklung

Der MOVEit-Angriff war kein Einzelfall, sondern Teil eines alarmierenden Trends. Im Jahr 2023 verzeichnete das Identity Theft Resource Center einen dramatischen Anstieg der Zero-Day-Angriffe von nur acht im Jahr 2022 auf 110 im Jahr 2023, was eine fundamentale Veränderung der Bedrohungslage darstellt. Dieses exponentielle Wachstum spiegelt die zunehmende Raffinesse der Angreifer und die erweiterte Angriffsfläche durch komplexe Software-Lieferketten wider.

Warum explodieren Zero-Days in der Häufigkeit?

Mehrere Faktoren treiben den Anstieg der Zero-Day-Exploits:

Zunehmende Software-Komplexität: Netzwerke sind komplexer geworden, mit einer Mischung aus Cloud- und On-Premises-Apps, firmeneigenen und von Mitarbeitern genutzten Geräten sowie IoT- und OT-Geräten. Jedes zusätzliche Element schafft potenzielle Schwachstellen, die Angreifer entdecken und ausnutzen können.

Open-Source-Abhängigkeiten: Moderne Software basiert stark auf Open-Source-Komponenten. Über 80 % aller Codebasen enthalten mindestens eine Drittanbieter-Komponente, was die Entwicklung effizient macht, aber auch Türen für Zero-Day-Angriffe öffnet, da diese Komponenten für jeden zugänglich und in kontrollierten Umgebungen ausgiebig testbar sind.

Organisierte Kriminalität im Wandel: Ransomware-Gruppen haben sich von opportunistischen Angreifern zu hochentwickelten Organisationen entwickelt, die gezielt Zero-Day-Schwachstellen ausnutzen. Die Cl0p-Ransomware-Gruppe, aktiv seit mindestens 2019, hat wiederholt Zero-Day-Schwachstellen in Managed File Transfer-Plattformen ausgenutzt, darunter Accellions File Transfer Appliance in 2020-2021 und Fortras GoAnywhere MFT im Jahr 2023.

Zielauswahl: Warum MFT- und Lieferketten-Tools?

Angreifer zielen zunehmend auf Managed File Transfer-Lösungen und andere Lieferketten-Infrastrukturen, weil diese an kritischen Punkten im Geschäftsablauf sitzen. Diese Tools verwalten sensible Datenflüsse zwischen Organisationen. Im Jahr 2024 wurden zwei kritische Schwachstellen bei der Authentifizierung in Cleo-Software entdeckt, was Befürchtungen schürte, dass eine neue Welle der Ausnutzung kommen könnte, zumal Ransomware-Gruppen zuvor MFT-Produkte ins Visier genommen hatten.

Im Jahr 2024 war die Cl0p-Gruppe für 41,5 % der attribuierten Drittanbieter-Kompromentierungen verantwortlich, was zeigt, wie effektiv diese Angriffe im Vergleich zu traditionellen gezielten Angriffen sind.

Über MOVEit hinaus: Aktuelle Zero-Day-Angriffe in der Lieferkette

Das Bedrohungsbild geht weit über einen einzelnen Vorfall hinaus. In den letzten Jahren gab es mehrere verheerende Angriffe auf die Lieferkette:

VeraCore Warehouse Management System (2020-2024)

Die XE Group nutzte Schwachstellen in VeraCore – bereits seit 2020 ausgenutzt –, um Lieferketten im Fertigungs- und Vertriebssektor zu kompromittieren, wobei Cyberkriminelle über vier Jahre Zugriff auf eine Opferorganisation behielten. Dieser Vorfall zeigt, wie Zero-Day-Schwachstellen langfristigen Zugang ermöglichen, den Angreifer wiederholt monetarisieren.

Ziel: CI/CD-Pipelines

Angreifer suchen nach Schwachstellen in CI/CD-Tools, weil diese nicht nur Einstiegspunkte in Unternehmensnetzwerke bieten, wenn sie öffentlich zugänglich sind, sondern auch das Potenzial haben, Software-Entwicklungspipelines zu kompromittieren, was zu Software-Lieferketten-Angriffen führt. Dies markiert einen Wandel hin zum Angriff auf den Software-Erstellungsprozess selbst, mit potenziell tausenden nachgelagerten Nutzern.

Das Beschleunigungsmuster

Im Jahr 2024 erfolgten Angriffe auf die Software-Lieferkette mindestens alle zwei Tage, wobei US-Unternehmen und IT-Anbieter ein Drittel aller Angriffe ausmachten. Die Häufigkeit und Raffinesse dieser Angriffe zeigen, dass die Ausnutzung der Lieferkette zum primären Angriffsvektor geworden ist.

Warum schafft Drittanbieter-Software einen perfekten Sturm?

Schwachstellen in Drittanbieter-Software stellen einzigartige Herausforderungen dar, die ihre Gefahr verstärken:

Vertrauen als Schwachstelle

Organisationen vertrauen Drittanbietern, kritische Operationen zu steuern, von Dateiübertragungen bis hin zu Authentifizierung. Dieses Vertrauen schafft eine blinde Stelle, bei der Sicherheitsteams annehmen, dass Anbieter angemessene Sicherheitspraktiken einhalten. Wenn Systeme gehärtet sind, aber ein Lieferant leichter zu kompromittieren ist, werden Lieferketten-Angriffe für Angreifer attraktiver.

Eingeschränkte Sichtbarkeit

Die meisten Organisationen haben keine umfassende Sicht auf die Sicherheitslage ihrer Anbieter. Sie können verdächtige Aktivitäten in Drittanbietersystemen erst erkennen, wenn eine Breach-Benachrichtigung eintrifft – oft Wochen oder Monate nach Beginn der Ausnutzung. Der MOVEit-Breach ist ein Beispiel dafür, bei dem viele Organisationen erst erfuhren, dass sie kompromittiert wurden, als Cl0p Opferlisten auf Dark-Web-Leak-Seiten veröffentlichte.

Update-Abhängigkeiten

Selbst wenn Anbieter Patches schnell veröffentlichen, müssen Organisationen auf Updates warten und diese in komplexen Umgebungen ausrollen. Das schafft verlängerte Schwachstellenfenster, in denen Systeme trotz vorhandener Patches weiterhin exponiert bleiben. Progress Software veröffentlichte Patches für mehrere Schwachstellen zwischen dem 31. Mai und dem 6. Juli 2023, wobei die Zeit zwischen Entdeckung und Behebung stark variierte, abhängig von Faktoren wie der Komplexität der Schwachstelle und der Reaktionsfähigkeit der Organisation.

Multiplikation der Auswirkungen

Lieferkettenangriffe nutzen die multiplikative Natur von Lieferantenbeziehungen. Ein kompromittierter Anbieter kann Dutzende oder Hunderte von Kundenorganisationen exponieren, die wiederum eigene Kunden und Partner haben. Dies schafft eine Kaskade an Exposition, die kaum vollständig abzubilden oder zu kontrollieren ist, sobald die Ausnutzung beginnt.

Wirtschaftliche und strategische Implikationen

Zero-Day-Lieferkettenangriffe haben weitreichende Folgen, die über einzelne Vorfälle hinausgehen:

Markt für Exploits

Ein florierender Schwarzmarkt für Zero-Day-Schwachstellen existiert. Remote Zero-Click-Exploits erzielen die höchsten Preise, während solche, die lokalen Gerätezugang erfordern, deutlich günstiger sind. Schwachstellen in weit verbreiteter Software erzielen Premiumpreise. Diese Kommerzialisierung motiviert kontinuierliche Schwachstellenforschung durch bösartige Akteure.

Beteiligung von Nationen

Zero-Day-Schwachstellen dienen strategischen Interessen jenseits finanziellen Verbrechens. Nationen und hochentwickelte kriminelle Gruppen nutzen Zero-Day-Schwachstellen, weil sie konstant Ergebnisse liefern. Gruppen wie Volt Typhoon und Salt Typhoon zielen gezielt auf operative Technologien durch ungepatchte Schwachstellen.

Versicherung und Haftung

Die enormen Kosten von Lieferketten-Breaches verändern den Markt für Cybersicherheitsversicherungen. Versicherer prüfen zunehmend das Risikomanagement der Anbieter und schließen möglicherweise Deckung für Lieferketten-Vorfälle aus, wenn Organisationen keine angemessene Due Diligence nachweisen.

Erkennung und Abwehr: Gegen einen unsichtbaren Feind

Der Schutz vor Zero-Day-Schwachstellen in Drittanbieter-Software erfordert grundlegend andere Ansätze als herkömmliche Sicherheit:

Verhaltensanalyse statt Signaturen

Da Zero-Day-Exploits keine bekannten Signaturen haben, muss die Erkennung auf der Identifikation anomaler Verhaltensweisen basieren. Moderne Sicherheitslösungen nutzen maschinelles Lernen und Verhaltensanalyse, um Aktivitäten zu erkennen, die vom Normalmuster abweichen, und so Zero-Day-Ausnutzung vor großflächigem Schaden zu verhindern.

Sichtbarkeit in der Lieferkette

Organisationen müssen die Überwachung über ihre eigenen Netzwerke hinaus auf das Lieferanten-Ökosystem ausdehnen. SecurityScorecard’s Supply Chain Detection and Response (SCDR) bietet Frühwarnungen bei Anzeichen von Ausnutzung in den Lieferantenumgebungen, um schneller auf aufkommende Bedrohungen reagieren zu können.

Schnelle Reaktionsprotokolle

Wenn Zero-Day-Schwachstellen auftreten, ist Geschwindigkeit entscheidend. Organisationen brauchen etablierte Verfahren für: - Schnelle Einschätzung der Exposition gegenüber angekündigten Schwachstellen - Implementierung von Workarounds, wenn Patches nicht sofort verfügbar sind - Isolierung betroffener Systeme, um seitliche Bewegungen zu verhindern - Zusammenarbeit mit Anbietern und Sicherheitspartnern für Bedrohungsinformationen

Zero Trust-Architektur

Die Umsetzung von Zero Trust-Prinzipien reduziert die Auswirkungen von Zero-Day-Exploits, indem sie einschränkt, was kompromittierte Systeme zugreifen können. Selbst wenn Angreifer eine Schwachstelle ausnutzen, begrenzen starke Zugriffskontrollen und Netzwerksegmentierung den Schaden und bieten Erkennungsmöglichkeiten.

Anbieter-Risikomanagement: Die erste Verteidigungslinie

Die Verhinderung von Lieferketten-Zero-Day-Desastern beginnt vor der Softwarebereitstellung:

Strenge Anbieterbewertung

Organisationen müssen die Sicherheitspraktiken ihrer Anbieter umfassend bewerten: - Wie verfolgt und verwaltet der Anbieter Schwachstellen? - Was sind ihre Reaktionsfähigkeiten bei Zero-Day-Vorfällen? - Haben sie Bug-Bounty-Programme? - Wie schnell haben sie auf frühere Sicherheitsvorfälle reagiert?

Vertragliche Sicherheitsanforderungen

Verträge sollten spezifische Sicherheitsstandards vorschreiben, inklusive Benachrichtigungsfristen bei Schwachstellen, Unterstützung bei Sicherheitsüberprüfungen und klare Verantwortlichkeiten im Incident-Management. Service Level Agreements sollten Zero-Day-Szenarien explizit abdecken.

Kontinuierliche Überwachung

Die Risikobewertung von Anbietern darf kein jährliches Kontrollkästchen sein. Viele Organisationen glauben fälschlicherweise, dass jährliche Bewertungen ausreichen, doch Angreifer agieren schneller. Zero-Day-Erkennung muss in Echtzeit in der Lieferkette erfolgen.

Lektionen von der Front

Der MOVEit-Breach und ähnliche Vorfälle liefern wichtige Erkenntnisse:

Früherkennung zählt

Progress Software wurde am 28. Mai 2023 erstmals auf verdächtige Aktivitäten in ihrer Softwareumgebung aufmerksam, und bis zum 31. Mai 2023 wurde eine bisher unbekannte Schwachstelle identifiziert und schnell Kunden gemeldet sowie gepatcht. Doch die Angreifer hatten bereits Tage zuvor mit der Ausnutzung begonnen – was die Bedeutung kontinuierlicher Überwachung unterstreicht.

Mehrere Schwachstellen sind üblich

Analysen des MOVEit-Codes ergaben, dass fünf weitere Zero-Day-Schwachstellen entdeckt und bis zum 6. Juli 2023 gepatcht wurden. Dieses Muster, bei dem eine entdeckte Schwachstelle zur Entdeckung weiterer führt, zeigt, wie wichtig gründliche Sicherheitsüberprüfungen nach jeder Zero-Day-Entdeckung sind.

Daten zirkulieren weiter

Im November 2024, mehr als ein Jahr nach den ersten MOVEit-Angriffen, wurden Daten mit über 2,8 Millionen Mitarbeiteraufzeichnungen von großen Unternehmen in Foren im Untergrund veröffentlicht – von Akteuren, die nicht Teil des ursprünglichen Angriffs waren, aber die gestohlenen Daten erlangt hatten. Zero-Day-Breaches haben langfristige Folgen, da gestohlene Daten weiterhin in kriminellen Ökosystemen zirkulieren.

Der Weg nach vorn: Resilienz aufbauen

Die Bewältigung der Zero-Day-Lieferkettenbedrohung erfordert eine branchenweite Transformation:

Transparenz in der Software-Lieferkette

Die Implementierung von Software Bills of Materials (SBOMs) schafft Sichtbarkeit in Software-Komponenten und Abhängigkeiten. Bei Schwachstellen können Organisationen schnell betroffene Systeme identifizieren, anstatt im Blindflug zu agieren.

Sichere Entwicklungspraxis

Die Exploits bei Ivanti und andere kritische Schwachstellen im Jahr 2024 unterstreichen die Notwendigkeit sicherer Programmierpraktiken und Sicherheitslösungen, die Angreifern die Ausnutzung von Softwarefehlern erschweren. Anbieter müssen Sicherheit während des gesamten Entwicklungsprozesses priorisieren, nicht nur nachträglich.

Informationsaustausch

Schneller Austausch von Bedrohungsinformationen zwischen Anbietern, Sicherheitsforschern und Endnutzern kann die Expositionsfenster erheblich verkürzen. Wenn eine Organisation Zero-Day-Ausnutzung erkennt, sollte sie andere, die dieselbe Software nutzen, sofort informieren, um präventiv zu handeln.

Regulatorischer Druck

Neue Vorschriften weltweit erhöhen den Druck auf Softwareanbieter, für Sicherheit zu sorgen. Das schafft Anreize für bessere Sicherheitspraktiken und transparentere Schwachstellenoffenlegung.

Fazit: Für eine anhaltende Bedrohung gewappnet sein

Zero-Day-Schwachstellen in Drittanbieter-Software sind eine dauerhafte Herausforderung, die nicht verschwindet. Zum zweiten Mal in drei Jahren gab es einen Anstieg bei Massenkompromittierungen, wobei mehr als die Hälfte der neuen, breit angelegten CVEs bis Anfang 2024 vor der Behebung durch Anbieter ausgenutzt wurde. Dieser Trend zeigt keine Umkehr.

Der MOVEit Transfer-Breach hat gezeigt, dass weit verbreitete Software katastrophale Schwachstellen bergen kann, die nur darauf warten, entdeckt und ausgenutzt zu werden. Mit 75 Zero-Day-Schwachstellen, die 2024 in freier Wildbahn ausgenutzt wurden, und 44 % davon Enterprise-Systeme betreffen, müssen Organisationen akzeptieren, dass Zero-Day-Exploitation nun eine Routinebedrohung ist, die ständige Wachsamkeit erfordert.

Erfolg in diesem Umfeld erfordert den Übergang von herkömmlicher Perimetersicherheit zu umfassenden Defense-in-Depth-Strategien. Organisationen müssen davon ausgehen, dass Breaches passieren, sich auf schnelle Erkennung und Eindämmung konzentrieren und Resilienz durch Anbieter-Management, kontinuierliche Überwachung und Incident-Response-Fähigkeiten aufbauen.

Die Zeitbombe in der Lieferkette tickt weiter. Die Frage ist nicht, ob ein weiterer großer Zero-Day-Angriff passieren wird, sondern wann – und ob Ihre Organisation bereit ist, den Knall zu überstehen. Durch das Verständnis der Bedrohung, die Implementierung eines robusten Anbieter-Risikomanagements, die Aufrechterhaltung vigilanten Monitorings und die Entwicklung schneller Reaktionsfähigkeiten können Organisationen ihre Exposition gegenüber diesen verheerenden Angriffen, die die Werkzeuge ausnutzen, auf die wir uns verlassen, erheblich reduzieren.

Hinweis: Dieser Artikel wurde im November 2025 recherchiert und geschrieben und spiegelt die aktuellsten verfügbaren Informationen zu Zero-Day-Schwachstellen und Bedrohungen in der Lieferkette wider.