Softwarelücken bleiben oft ein Jahr ungepatcht

Laut dem Security-Unternehmen Immunity beträgt die Lebensdauer von Zero-Day-Bugs etwa ein Jahr. Demnach dauert es im Durchschnitt 348 Tage, bis eine Sicherheitslücke vom Softwarehersteller bestätigt und geschlossen wird. Den Experten zufolge hat es aber auch schon Lücken gegeben, die bis zu 1080 Tagen unbehandelt blieben.

Unter Zero-Day-Exploits versteht man schädlichen Code, der zeitnah zur Entdeckung der Sicherheitslücke veröffentlicht wird. Gegen die Bedrohung, die von den Computerprogrammen zu diesem Zeitpunkt ausgeht, ist kaum ein Softwarehersteller gewappnet.

Die Fehler in den Applikationen lassen sich in derartig kurzer Zeit nicht umfassend beheben. Die Exploits kommen daher häufig umgehend in groß angelegten Aktionen, so genannten Zero-Day-Attacken, zum Einsatz.
Um die Zeitspanne zwischen Entdeckung und Schließung einer Lücke möglichst klein zu halten, setzen Hersteller Prämien für neu gemeldete Sicherheitslücken aus. Allerdings sind die finanziellen Angebote von der kriminellen Seite meist genauso gut, wenn nicht besser. Erst vor wenigen Tagen startete die Online-Plattform Wabisabilabi, auf der Schadcodes per Auktion verkauft werden.