Couragiert erklärt: Zero-Days

2020 wurde eine Zero-Day-Schwachstelle in der Videokonferenz-Software Zoom (hier geht es zu freien Videokonferenzsystemen) bekannt. Diese machte es möglich, Windows-Systeme von Nutzer.innen über die Zoom-Desktop-Anwendung anzugreifen und dort beliebige Schadsoftware auszuführen. Das Problem wurde von einer anonymen Person aus der Sicherheitsforschung entdeckt, die den Hersteller informierte. In diesem Fall wurde kein krimineller Missbrauch der Schwachstelle bekannt, bevor die Entwickler.innen eine Korrektur (patch) des Fehlers bereitstellten.

Anders im Fall von Stuxnet: Diese Schadsoftware wurde zwischen 2007 und 2010 auf Steuerungssysteme von Industrieanlagen geschleust, indem unveröffentlichte Windows-Sicherheitslücken ausgenutzt wurden.

Während der sogenannte "Hackerparagraf" (§202 a-c StGB) in Deutschland das "Ausspähen" und "Abfangen" von vertraulichen Daten verbietet und sogar zur Kriminalisierung von Sicherheitsforscher.innen führt, nutzen Polizei und Sicherheitsbehörden Zero-Days zu Ermittlungszwecken. Das bedeutet, dass staatliche Überwachungssoftware (Staatstrojaner) durch Zero-Day-Lücken auf die Geräte von verdächtigen Bürger.innen eingeschleust wird.

Um diese Ermittlungswege weiterhin nutzen zu können, melden Behörden wie der BND ihnen bekannte Sicherheitslücken oftmals nicht den Herstellern oder der Öffentlichkeit. Und dabei bleibt es nicht: Mit Steuergeldern wird Wissen über Zero-Days und Staatstrojaner-Software eingekauft.