Updates und Treiber: Diese neuen Einfallstore, die Cyberkriminelle in Informationssystemen ausnutzen

Die Systeme auf dem neuesten Stand zu halten, gehört nach wie vor zu den wichtigsten Regeln der Cybersicherheit. Doch gerade die Mechanismen, die zur Behebung von Sicherheitslücken entwickelt wurden, können selbst missbraucht werden. Gefälschte Patches, kompromittierte Vertriebskanäle, legitime, aber anfällige Treiber: Cyberkriminelle nutzen mittlerweile Komponenten aus, denen Systeme ein hohes Maß an Vertrauen entgegenbringen. Für IT-Leiter muss das Patch-Management daher mehr Kontrollen integrieren, ohne dabei die Behebung von Schwachstellen zu verlangsamen. 

Wenn Updates selbst zu Vektoren für Cyberangriffe werden

Angriffe auf die Software-Lieferkette (Supply Chain) nutzen genau dieses Vertrauensverhältnis aus. Indem sie einen Hersteller, einen Dienstleister oder eine Vertriebsinfrastruktur kompromittieren, können Angreifer versuchen, bösartigen Code in eine Software oder ein Update einzuschleusen. Die Datei wird dann möglicherweise über einen Kanal verbreitet, den das Unternehmen normalerweise als legitim ansieht.

Andere Angriffe basieren auf direkteren Mechanismen. Eine gefälschte Sicherheitsmeldung, eine Seite, die die Website eines Herstellers imitiert, oder ein angebliches Update-Tool können einen Nutzer dazu verleiten, ein Schadprogramm zu installieren.

Das Vertrauen in eine Softwarekomponente hat jedoch noch eine weitere Grenze: Selbst wenn sie authentisch und ordnungsgemäß signiert ist, kann sie eine ausnutzbare Sicherheitslücke enthalten.

Anfällige Treiber: eine oft unterschätzte Bedrohung

Treiber gewährleisten die Kommunikation zwischen dem Betriebssystem und den Hardwarekomponenten. Einige verfügen über erweiterte Berechtigungen, die bis in den Windows-Kernel reichen: Eine Sicherheitslücke kann es dann ermöglichen, die Schutzmechanismen des Computers zu umgehen.

Dies ist das Prinzip der „Bring Your Own Vulnerable Driver“ (BYOVD)-Angriffe. Anstatt einen bösartigen Treiber zu entwickeln, der möglicherweise blockiert wird, schleust der Angreifer einen legitimen Treiber mit einer bekannten Sicherheitslücke ein oder nutzt diesen. Diese Art von Angriff verdeutlicht die Risiken, die mit Softwarekomponenten verbunden sind, denen das System hohe Berechtigungen gewährt. Sie verdeutlicht zudem die Bedeutung einer das gesamte Informationssystem abdeckenden Risikoanalyse, ganz im Sinne des Ansatzes, den das Beratungsunternehmen Fidens by TVH Consulting im Rahmen seiner Audits, Risikoanalysen und Maßnahmen zur Sicherheits-Governance vertritt.

Im August 2025 dokumentierte das CERT Santé diese Technik im Rahmen der Operationen der Ransomware-Gruppe Qilin. Die Angreifer nutzten insbesondere TPwSav.sys, einen signierten und anfälligen Toshiba-Treiber, um auf Ebene des Windows-Kernels einzugreifen und Sicherheitsvorkehrungen zu umgehen.

Die zunehmende Anzahl von Angriffsflächen und Cyberkriminellen erschwert das Risikomanagement

Treiber stellen nur einen Teil des Problems dar. Auf einem einzelnen Arbeitsplatzrechner sind ein Betriebssystem, Fachanwendungen, Sicherheitssoftware, Gerätetreiber und Firmware nebeneinander vorhanden. Jedes dieser Elemente hat seinen eigenen Wartungszyklus und kann spezifische Schwachstellen aufweisen.

Angreifer nutzen diese Unterschiede aus, aber auch den Mangel an Transparenz hinsichtlich der installierten Komponenten. Eine bekannte Schwachstelle in einem veralteten Treiber kann auf einigen Rechnern weiterhin bestehen, während der Großteil des Bestands bereits aktualisiert wurde.

Diese Komplexität trifft auf eine zunehmend organisierte Cyberkriminalität. „Cyberkriminelle Gruppen sind heute wie echte Unternehmen strukturiert, mit Tools, Prozessen und Spezialisierungen“,erklärt Laurent Galvani, Cybersicherheitsexperte bei Fidens by TVH Consulting.

Das Modell „Ransomware-as-a-Service“ (RaaS) veranschaulicht diese Organisation: Einige Akteure entwickeln oder warten die Tools, während andere für die Einbrüche und deren Ausnutzung zuständig sind.

Für Unternehmen besteht die Herausforderung daher darin, genau zu wissen, welche Komponenten auf ihren Geräten vorhanden sind, welche Versionen diese haben, welche Abhängigkeiten bestehen und welchen Schwachstellen sie ausgesetzt sind. Ohne eine zuverlässige Bestandsaufnahme bleibt das Patch-Management zwangsläufig unvollständig.

Patch-Management neu denken: nicht mehr nur aktualisieren, sondern kontinuierlich überwachen

Das Installieren eines Patches, sobald er verfügbar ist, mag als bester Schutz erscheinen. In der Praxis erfordert das Update-Management jedoch einen Kompromiss zwischen Risikominderung und Geschäftskontinuität.

Ein fehlerhafter Netzwerktreiber kann einen Rechner unzugänglich machen. Eine neue Firmware-Version kann das Verhalten eines Geräts verändern. Umgekehrt lässt eine zu lange Verzögerung bei der Installation eines kritischen Patches eine ausnutzbare Sicherheitslücke offen.

Vor jeder Bereitstellung müssen Herkunft und Integrität der Dateien mithilfe der von den Herstellern angebotenen Mechanismen überprüft werden. Die sensibelsten Patches können anschließend in einem repräsentativen Umfeld getestet werden, um mögliche Inkompatibilitäten zu identifizieren.

Eine schrittweise Bereitstellung ermöglicht es, die Folgen eines Vorfalls zu begrenzen: zunächst einige Pilotrechner, dann eine größere Gruppe, bevor die allgemeine Einführung erfolgt. Dieser Ansatz setzt auch voraus, dass die Bedingungen für ein Rollback vorgesehen werden, falls eine Änderung zu einer Fehlfunktion führt.

Die Automatisierung trägt dazu bei, diese Vorgänge reproduzierbar zu machen und gleichzeitig Kontrollpunkte beizubehalten. Die Bedeutung der Infrastrukturüberwachung, der Abweichungsprüfung und der Automatisierung von Korrekturen wird auch in einer Analyse in „Le Monde Informatique“ behandelt.

Automatisierung und Überwachung: Auf dem Weg zu einem proaktiven Schwachstellenmanagement

Eine effektive Überwachung verbindet die Bestandsaufnahme der Komponenten, die Überwachung von Schwachstellen und die Bereitstellung von Korrekturen.

Ein aktuelles Bestandsverzeichnis ermöglicht es, die auf den Geräten vorhandenen Versionen zu identifizieren. Die von Herstellern und Cybersicherheitsorganisationen veröffentlichten Informationen können anschließend mit diesem Bestandsverzeichnis abgeglichen werden, um die von einer Schwachstelle betroffenen Rechner zu ermitteln.

Diese Transparenz erleichtert die Priorisierung. Eine aktiv ausgenutzte Schwachstelle auf einem dem Internet ausgesetzten Server erfordert in der Regel eine schnellere Reaktion als eine Schwachstelle mit derselben theoretischen Schwere, die eine isolierte und ungenutzte Komponente betrifft.

Tools zur Überwachung und Verwaltung des IT-Bestands können einen Teil der Arbeit automatisieren: Erkennung veralteter Versionen, Nachverfolgung von Bereitstellungen, Fehlermeldung und Erstellung von Konformitätsberichten. Dies gehört seit einigen Jahren zu den vorrangigen Herausforderungen im IT-Bereich, wie die Website Cloudlist.fr regelmäßig hervorhebt. Doch die Einleitung eines Updates bedeutet nicht, dass dieses auch installiert wurde. Ein ausgeschalteter Rechner, ein verzögerter Neustart oder ein stiller Fehler können dazu führen, dass die Sicherheitslücke bestehen bleibt. Die Überwachung muss sich daher auf den tatsächlichen Zustand der Geräte nach dem Eingriff beziehen.

Bei sensiblen Treibern kann diese Überwachung durch Mechanismen zur Anwendungskontrolle und zur Sperrung anfälliger Treiber ergänzt werden, wobei deren mögliche Auswirkungen auf die Hardwarekompatibilität zu berücksichtigen sind.

Das Patch-Management zu einer tragenden Säule der Cybersicherheit machen

Ein gutes Update-Management beruht nicht allein auf den Tools. Es erfordert eine gemeinsame Richtlinie zwischen den Betriebsteams, den Sicherheitsverantwortlichen und den Fachabteilungen. Diese Richtlinie muss insbesondere die je nach Kritikalität erwarteten Behebungsfristen, die Validierungsverfahren, die Verantwortlichkeiten sowie die Bedingungen für die Verschiebung eines Updates festlegen. Wenn ein Patch nicht sofort angewendet werden kann, müssen Ausgleichsmaßnahmen geprüft und das Restrisiko dokumentiert werden.

Das NIST (National Institute of Standards and Technology) ordnet das Patch-Management übrigens in einen Ansatz der vorbeugenden Wartung ein, der die Identifizierung, Priorisierung, Installation und Überprüfung von Patches umfasst. Dieser Ansatz bezieht nicht nur die technischen Verantwortlichen ein, sondern auch die Fachabteilungen, wenn die Maßnahmen die Verfügbarkeit der Dienste beeinträchtigen können.

Einige Kennzahlen ermöglichen die Steuerung der Ergebnisse: Anteil der auf dem neuesten Stand befindlichen Geräte, Anzahl der nicht behobenen kritischen Schwachstellen, durchschnittliche Behebungszeit, fehlgeschlagene Bereitstellungen oder noch zu bearbeitende Ausnahmen.

Updates sind nach wie vor unverzichtbar für die Sicherheit von Informationssystemen. Angriffe, die das Vertrauen in die Treiber und die Verteilungsmechanismen ausnutzen, machen jedoch deutlich, dass diese Prozesse streng geregelt werden müssen. Die Risikokontrolle beruht nun auf der Fähigkeit, anfällige Komponenten zu identifizieren, geeignete Korrekturen zu implementieren und deren Wirksamkeit nachhaltig zu überprüfen.