Eine Sicherheitslücke ist ein Fehler oder eine Fehlkonfiguration in Software, Hardware oder Abläufen, die sich zum unbefugten Zugriff, zur Manipulation oder zur Störung ausnutzen lässt. Erfasst und benannt werden bekannte Lücken über die international genutzte CVE-Nummerierung, bewertet wird ihre Schwere über den CVSS-Wert auf einer Skala bis 10. Zwischen Bekanntwerden und Behebung liegt ein Zeitfenster, in dem Systeme angreifbar sind; ist die Lücke ausnutzbar, bevor der Hersteller sie kennt, spricht man von einem Zero Day.
Nicht jede Lücke steckt im Programmcode, denn ein Großteil der praktisch relevanten Fälle geht auf Fehlkonfiguration zurück: offene Datenbanken, öffentlich erreichbare Verwaltungsoberflächen, unveränderte Standardpasswörter, zu weit gefasste Berechtigungen.
Für Unternehmen ist deshalb weniger die einzelne Lücke entscheidend als der Prozess, der sie findet und schließt, also Bestandsverzeichnis, Schwachstellenscan, Patch Management und ein Meldeweg für Hinweise von außen. Rechtlich verpflichtet der Cyber Resilience Act (Verordnung (EU) 2024/2847) Hersteller von Produkten mit digitalen Elementen künftig, Schwachstellen zu behandeln und aktiv ausgenutzte Fälle zu melden.