--- id: CP-088 slug: rowhammer-bitflips-dram-speicher lang: de title: Rowhammer, der Angriff, der Bits im Speicher kippt description: Rowhammer verändert den DRAM-Speicher eines Geräts, ohne ihn direkt anzutasten. Was Beschäftigte sehen, wie es funktioniert und was zu tun ist. canonical_url: https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/ markdown_url: https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Rowhammer, der Angriff, der Bits im Speicher kippt“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-055 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/ fr: https://startbrain.io/cyberpedia/fr/articles/rowhammer-inversion-bits-memoire-dram/ en: https://startbrain.io/cyberpedia/en/articles/rowhammer-dram-bit-flips/ es: https://startbrain.io/cyberpedia/es/articles/rowhammer-inversion-bits-memoria-dram/ sources: - "n": 1 title: "Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript" publisher: arXiv url: https://arxiv.org/abs/1507.06955 published: "2015-07-24" accessed: "2026-11-03" - "n": 2 title: "Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript" publisher: arXiv url: https://arxiv.org/abs/1507.06955v2 published: "2015-08-27" accessed: "2026-11-03" - "n": 3 title: Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1068/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1211/ accessed: "2026-11-03" --- # Rowhammer, der Angriff, der Bits im Speicher kippt Eine Grundregel der IT-Sicherheit lautet, dass eine Speicherstelle nur von Programmen verändert werden darf, die dort schreiben dürfen. Rowhammer umgeht diese Regel: Wenn ein Programm bestimmte Bereiche des DRAM-Speichers sehr oft ausliest, kann es den Inhalt benachbarter Zellen ändern, ohne auf sie zuzugreifen [1]. Für Beschäftigte ist vor allem wichtig, dass schon eine Website mit JavaScript genügt, um diesen Angriff durchzuführen [1]. Er zielt auf die Hardware selbst, und nach Angaben der Autoren blockierten die 2015 vorhandenen Gegenmaßnahmen ihn nicht [1]. ## In 30 Sekunden - Wo es passiert: im DRAM-Speicher von Computern und Geräten, auch dann, wenn eine Website im Browser JavaScript ausführt [1]. - Was der Angreifer will: Bits ändern, die sein Programm nicht verändern darf, zum Beispiel um Administratorrechte zu erhalten [1][3]. - Der Reflex: System, Browser und Software aktuell halten, denn regelmäßige Software-Updates sind eine von MITRE ATT&CK genannte Schutzmaßnahme gegen das Ausnutzen von Schwachstellen [3][4]. - Wenn es schon passiert ist: Ungewöhnliches Verhalten des Geräts dem Sicherheitsteam melden, zum Beispiel den plötzlichen Ausfall eines Virenschutzes, den MITRE ATT&CK zu den Anzeichen einer ausgenutzten Schwachstelle zählt [4]. ## Direkte Fragen ### Was ist Rowhammer? Es ist ein Defekt des DRAM-Speichers. Die Autoren von Rowhammer.js erklären, dass Störeffekte im DRAM den Inhalt einer Speicherzelle verändern können, ohne auf sie zuzugreifen, indem man mit hoher Frequenz auf andere Stellen zugreift [1]. Sie geben an, dass dieser Defekt bei den meisten zum Zeitpunkt ihres Artikels gängigen Speichermodulen auftritt [1]. ### Warum gibt es diesen Defekt? Laut der zweiten Fassung des Artikels ist der DRAM dichter geworden, und seine Zellen sind dadurch weniger gut voneinander isoliert [2]. Wiederholte Zugriffe auf Zeilen des DRAM können dann zufällige Bitkipper in einer benachbarten Zeile auslösen [2]. ### Ist ein gekipptes Bit wirklich schlimm? Ja, nach Angaben derselben Autoren. Der Defekt wurde bereits genutzt, um Root-Rechte zu erlangen und aus einer Sandbox auszubrechen [2]. Eine Sandbox ist ein abgeschotteter Bereich, in dem ein Programm eingesperrt bleiben soll. ### Braucht man Zugang zum Computer, um ihn anzugreifen? Nicht unbedingt. Rowhammer.js ist nach Angaben der Autoren der erste per Software aus der Ferne ausgelöste Hardwareangriff: Er erfordert weder physischen Zugang zur Maschine noch die Ausführung von nativem Code noch spezielle Befehle [2]. Eine Website mit JavaScript genügt, um Fehler auf entfernter Hardware auszulösen [1]. ### Was sieht das Opfer? Die hier genannten Quellen beschreiben keine Meldung und kein Anzeichen auf dem Bildschirm. Sie geben an, dass sich solche JavaScript-Angriffe unauffällig und gleichzeitig gegen Millionen von Nutzern richten können [2]. ## In der Haut des Angreifers Der Angreifer steht zunächst vor einem Hindernis: Ein Programm, das mit wenigen Rechten läuft, kann auf bestimmte Ressourcen des Systems nicht zugreifen. MITRE ATT&CK beschreibt diesen Schritt als Rechteausweitung, die von der Benutzerebene zu SYSTEM- oder Root-Rechten führen kann [3]. Sie kann auch das Verlassen einer virtualisierten Umgebung wie einer virtuellen Maschine oder eines Containers ermöglichen, um den Host-Rechner zu erreichen [3]. Rowhammer bietet einen Weg dorthin, weil es erlaubt, den Speicher ohne Berechtigung zu verändern. Die Autoren von Rowhammer.js nennen Angriffe zur Rechteausweitung unter den möglichen Folgen [1]. Sie geben außerdem an, dass eine Website genügt, um uneingeschränkten Zugriff auf die Systeme ihrer Besucher zu erhalten [1]. MITRE ATT&CK beschreibt eine weitere Technik, das Ausnutzen einer Schwachstelle, um der Erkennung zu entgehen. Dabei handelt der Angreifer so, dass er weniger sichtbar ist oder in der legitimen Aktivität untergeht [4]. Dieser Artikel sagt nicht, dass Rowhammer auf diese Weise eingesetzt wurde: Die hier genannten Quellen erwähnen das nicht. ## Was Sie auf dem Bildschirm sehen Die hier genannten Quellen enthalten keine Beschreibung dessen, was die Nutzerin oder der Nutzer wahrnimmt. Sie sagen lediglich, dass sich der Angriff über den Browser unauffällig durchführen lässt [2]. In dem Szenario der Autoren von Rowhammer.js besucht das Opfer eine Website, die JavaScript enthält [1]. Da es kein sichtbares, für Rowhammer typisches Anzeichen gibt, sind die Hinweise dieselben wie bei jedem Ausnutzen einer Schwachstelle. MITRE ATT&CK nennt auffälliges Prozessverhalten, etwa einen Virenschutz oder ein Erkennungswerkzeug, das unerwartet stoppt, oder Protokolle mit Lücken [4]. ## Unter der Haube Der DRAM-Speicher legt Daten in Zellen ab, die in Zeilen angeordnet sind. Wenn die Dichte steigt, sind die Zellen weniger gut voneinander isoliert [2]. Wird eine Zeile sehr oft gelesen, können in der Nachbarzeile Bits kippen [2]. Die ersten Exploits, die diesen Defekt ausnutzten, verwendeten nativen Code und spezielle Befehle, die Daten aus dem Cache leeren [2]. Alle Studien und Angriffe vor Rowhammer.js setzten voraus, dass ein Befehl zum Leeren des Caches verfügbar war, um Zugriffe auf den DRAM mit ausreichender Frequenz auszulösen [1]. Rowhammer.js hat diese Einschränkung aufgehoben. Die Autoren zeigen, dass sich der Cache zwingen lässt, seine Daten schnell zu verdrängen, und dass sich der Defekt mit gewöhnlichen Speicherzugriffen auslösen lässt [1]. Der Angriff wird dadurch auch in eingeschränkten Umgebungen möglich, einschließlich Skriptumgebungen [1]. Eine von einem generischen Algorithmus gefundene Verdrängungsstrategie hebt die Verdrängungsrate von 95,2 % auf 99,99 % [2]. Die Autoren geben an, dass die zum Zeitpunkt ihres Artikels vorhandenen Gegenmaßnahmen nicht vor diesem neuen Angriff schützten [1]. In der zweiten Fassung schlagen sie Gegenmaßnahmen vor, die sofort anwendbar sind [2]. ## Fallanalysen ### Rowhammer.js, Juli 2015 Am 24. Juli 2015 reichen Daniel Gruss, Clémentine Maurice und Stefan Mangard den Artikel Rowhammer.js bei arXiv ein [1]. Sie stellen darin eine Umsetzung des Angriffs in JavaScript vor [2]. Sie beschreiben einen vollständig automatisierten Angriff, der nichts weiter braucht als eine Website mit JavaScript, um Fehler auf entfernter Hardware auszulösen [1]. Nach ihren Angaben funktioniert der Angriff auf handelsüblichen Systemen und ermöglicht uneingeschränkten Zugriff auf die Systeme der Website-Besucher [1]. Eine zweite Fassung erscheint am 27. August 2015, die letzte Fassung stammt vom 5. April 2016 [1][2]. Der Artikel wurde 2016 auf der 13. DIMVA-Konferenz angenommen [1]. ## Was Sie tun Die hier genannten Quellen nennen keine Maßnahme speziell gegen Rowhammer, weder zu ECC-Speicher noch zu neueren DDR-Generationen. Sie erlauben nur, die allgemeine Maßnahme von MITRE ATT&CK festzuhalten: Software regelmäßig aktualisieren, mit einem Patch-Management für die Arbeitsplätze und Server des Unternehmens [3][4]. Für Beschäftigte heißt das, die vom IT-Team angebotenen Updates anzunehmen und nicht ohne Grund aufzuschieben. MITRE ATT&CK nennt außerdem Schutzmaßnahmen, die Ausnutzungsverhalten erkennen, sowie die Isolation von Anwendungen in einer Sandbox, die ein Fortschreiten des Angreifers erschwert [4]. ## Quellen 1. arXiv, „Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript“, 24. Juli 2015. https://arxiv.org/abs/1507.06955 (abgerufen am 3. November 2026) 2. arXiv, „Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript“, 27. August 2015. https://arxiv.org/abs/1507.06955v2 (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1068/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1211/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.