Was ist eine Sicherheitslücke? Schwachstellen einfach erklärt

WindowsMaciPhoneAndroidAktualisiert 2026-10-24

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt Sicherheitslücken als Schwachstellen in einer Software, die es Angreifern beispielsweise ermöglichen, bösartige Programme einzuschleusen und die Kontrolle über fremde Systeme zu übernehmen. Hersteller schließen sie mit Updates, und diese Updates zu installieren ist das, was du selbst tun kannst. Dieser Ratgeber hat den Stand vom 23. Oktober 2026.

Kurze Antwort

Eine Sicherheitslücke ist laut BSI eine Schwachstelle in Software, die Angreifer ausnutzen können, etwa um Schadprogramme einzuschleusen oder ein System zu übernehmen. Lücken werden von Forschenden und Herstellern gefunden, dem Hersteller gemeldet, geschlossen und mit einem Sicherheitshinweis veröffentlicht. Updates zeitnah zu installieren bringt die Korrektur auf deine eigenen Geräte.

Was bedeutet Schwachstelle in der IT-Sicherheit?

Einfach gesagt: eine Lücke, die es nicht geben sollte. Das Glossar des IT-Grundschutz-Kompendiums des BSI definiert eine Schwachstelle, englisch „vulnerability“, als „sicherheitsrelevanten Fehler eines IT-Systems oder einer Institution“. Die Ursachen können laut BSI in der Konzeption, den verwendeten Algorithmen, der Implementation, der Konfiguration, dem Betrieb oder der Organisation liegen. Durch eine Schwachstelle wird ein System anfällig für Bedrohungen.

Im Alltag sagt man meist Sicherheitslücke. Das BSI verwendet beide Wörter: Auf seiner Verbraucherseite zu Updates versteht es unter Sicherheitslücken Schwachstellen in einer Software.

Zwei verwandte Begriffe tauchen oft auf. Das britische National Cyber Security Centre (NCSC) beschreibt einen Exploit als Werkzeug, das entwickelt wird, um eine Schwachstelle auszunutzen und sich unbefugt Zugang zu verschaffen oder unerwünschte Wirkungen zu erzielen. Die Schwachstelle ist also der Fehler, der Exploit das Mittel, ihn zu nutzen. Eine Zero-Day-Lücke ist laut NCSC eine kürzlich entdeckte Schwachstelle, für die es noch keine öffentlich verfügbare Korrektur gibt.

Eine Schwachstelle allein ist noch kein Angriff. Das BSI-Glossar formuliert es so: Erst wenn eine Bedrohung auf eine Schwachstelle trifft, entsteht eine Gefährdung.

Wie werden Sicherheitslücken gefunden und gemeldet?

Meist von Sicherheitsforschenden oder den Herstellern selbst. Für das geordnete Melden gibt es ein Verfahren namens Coordinated Vulnerability Disclosure, kurz CVD. Das BSI erklärt dazu: Wer eine Schwachstelle in einem Produkt außerhalb der Bundesverwaltung findet, meldet sie zuerst dem Hersteller. Reagiert der Hersteller nicht oder droht das Verfahren zu scheitern, können sich Forschende an das BSI wenden, das dann vermitteln und Kontakte herstellen kann. Schwachstellen in Produkten oder Webanwendungen des Bundes sollen direkt dem BSI gemeldet werden, über ein Onlineformular.

Wer meldet, hat nach der Richtlinie des BSI auch Pflichten: die Schwachstelle nicht missbräuchlich ausnutzen, keine Angriffe auf Systeme durchführen und keine Daten Dritter verändern.

Wie lange haben Hersteller Zeit für eine Korrektur?

Sicherheitsforschende können laut BSI selbst eine angemessene Frist setzen, bis wann ein Hersteller die Lücke behoben haben sollte. Diese Frist solle sich innerhalb der international üblichen 45 bis 90 Tage bewegen. Je nach Kritikalität und Komplexität könne sie in Absprache verkürzt oder verlängert werden, bei Hardware-Schwachstellen auch deutlich abweichen.

Die US-Behörde CISA beschreibt ihren eigenen Ablauf ähnlich: Meldung, Prüfung, Abstimmung mit dem Hersteller, Entscheidung über eine CVE-Nummer, ein gemeinsam abgestimmter Sicherheitshinweis und dann die Veröffentlichung. Reagiert ein Hersteller nicht, kann CISA eine Lücke nach eigenen Angaben schon 45 Tage nach dem ersten Kontaktversuch veröffentlichen, auch wenn es noch keinen Patch gibt.

Wie bekommt eine Lücke einen Namen?

Viele bekommen eine CVE-Nummer. CVE steht für Common Vulnerabilities and Exposures, laut CISA ein weltweit anerkanntes System, um Schwachstellen zu benennen und zu katalogisieren. Deshalb stehen in Sicherheitshinweisen Kennungen wie CVE-2026-109618. Was die Nummern und die Schweregrade bedeuten, erklärt Was ist eine CVE?

Manche Lücken bekommen zusätzlich einen Spitznamen. Laut BSI werden die beiden PHP-Lücken vom Oktober 2026 als „PHP2Shell“ bezeichnet, um die Ähnlichkeit mit der Schwachstelle „Log4Shell“ aufzuzeigen.

Warum sind Updates so wichtig?

Weil ein Update der Weg ist, auf dem die Korrektur zu dir kommt. Das BSI erklärt, hinter Update, Patch, Aktualisierung oder Bugfix verberge sich derselbe Vorgang: Hersteller beseitigen Fehler, schließen Sicherheitslücken oder fügen Funktionen hinzu. Es nennt Patches eines der wirksamsten Mittel gegen Angriffe aus dem Internet.

Der Zeitpunkt zählt. Laut BSI wissen Cyber-Kriminelle, dass meist bald nach Bekanntwerden einer Lücke Updates verfügbar sind, und versuchen deshalb, die Schwachstellen gleich in den ersten Tagen auszunutzen. Das BSI rät:

Installiere Updates möglichst rasch, sobald sie verfügbar sind.
Prüf, für welche Programme du automatische Updates erhältst, und schalte sie ein.
Klick Update-Hinweise nicht einfach weg, aber installiere Updates nur, wenn der Hinweis in vertrauter Weise erscheint. Gefälschte Warnmails und Pop-ups gibt es auch.
Achte auf Mitteilungen über das Ende des Supports. Bekommt ein Produkt keine Updates mehr, prüf, ob du auf ein anderes wechseln kannst.

Was zeigt PHP2Shell über Sicherheitslücken?

PHP2Shell ist ein aktuelles Beispiel für den ganzen Ablauf. Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken, CVE-2026-109618 und CVE-2026-109619, bekannt gemacht und am selben Tag korrigierte Versionen veröffentlicht. Laut BSI könnten Angreifer damit aus der Ferne Code auf Webservern mit PHP-Anwendungen ausführen, was man Remote Code Execution nennt. Der PHP-Hinweis sagt, Linux-Distributionen und Anbieter mit Langzeitunterstützung hätten die Patches vorab erhalten. BSI, CISA und andere Stellen riefen danach zum Update auf. Die ganze Geschichte steht in unserer Erklärung zur PHP-Sicherheitslücke.

Weitere Fragen

Ist Schwachstelle dasselbe wie Sicherheitslücke?

Im Alltag ja. Das BSI erklärt Sicherheitslücken auf seiner Update-Seite als Schwachstellen in einer Software. Das Glossar des IT-Grundschutz-Kompendiums fasst Schwachstelle weiter: Sie kann auch in der Organisation oder im Betrieb liegen, nicht nur im Code.

Ist eine Sicherheitslücke ein Virus?

Nein. Die Lücke ist der Fehler, ein Virus ist ein Schadprogramm. Laut BSI ermöglichen Sicherheitslücken Angreifern unter anderem, bösartige Programme einzuschleusen. Deshalb gilt der Rat, die Lücke zu schließen, bevor jemand sie nutzt.

Wird jede Lücke geschlossen?

Nicht immer schnell, und nicht immer überhaupt. Laut BSI stellen Softwareanbieter Aktualisierungen oft nur für einen gewissen Zeitraum bereit. PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Wie das bei PHP-Versionen funktioniert, steht in Ist PHP sicher?

Was passiert, wenn mein Gerät keine Updates mehr bekommt?

Dann werden neue Lücken auf diesem Gerät nicht mehr geschlossen. Das BSI rät, auf Mitteilungen über das Supportende zu achten und zu prüfen, ob du auf ein alternatives Produkt wechseln kannst.

Ich habe eine Lücke in einer Website gefunden. Wem melde ich sie?

Zuerst dem Betreiber oder Hersteller. Betrifft sie eine Website oder ein Produkt des Bundes, oder reagiert ein Hersteller nicht, nimmt das BSI Meldungen über sein Onlineformular für Schwachstellen entgegen.