Cyberpediavon Brain
DEENFR

Rowhammer, der Angriff, der Bits im Speicher kippt

Rowhammer verändert den DRAM-Speicher eines Geräts, ohne ihn direkt anzutasten. Was Beschäftigte sehen, wie es funktioniert und was zu tun ist.

In 30 Sekunden

Wo es passiert
Im DRAM-Speicher von Computern und Geräten, auch dann, wenn eine Website im Browser JavaScript ausführt1.
Was der Angreifer will
Bits ändern, die sein Programm nicht verändern darf, zum Beispiel um Administratorrechte zu erhalten13.
Der Reflex
System, Browser und Software aktuell halten, denn regelmäßige Software-Updates sind eine von MITRE ATT&CK genannte Schutzmaßnahme gegen das Ausnutzen von Schwachstellen34.
Wenn es schon passiert ist
Ungewöhnliches Verhalten des Geräts dem Sicherheitsteam melden, zum Beispiel den plötzlichen Ausfall eines Virenschutzes, den MITRE ATT&CK zu den Anzeichen einer ausgenutzten Schwachstelle zählt4.

Worum es geht

Eine Grundregel der IT-Sicherheit lautet, dass eine Speicherstelle nur von Programmen verändert werden darf, die dort schreiben dürfen. Rowhammer umgeht diese Regel: Wenn ein Programm bestimmte Bereiche des DRAM-Speichers sehr oft ausliest, kann es den Inhalt benachbarter Zellen ändern, ohne auf sie zuzugreifen1.

Für Beschäftigte ist vor allem wichtig, dass schon eine Website mit JavaScript genügt, um diesen Angriff durchzuführen1. Er zielt auf die Hardware selbst, und nach Angaben der Autoren blockierten die 2015 vorhandenen Gegenmaßnahmen ihn nicht1.

Direkte Fragen

Was ist Rowhammer?

Es ist ein Defekt des DRAM-Speichers. Die Autoren von Rowhammer.js erklären, dass Störeffekte im DRAM den Inhalt einer Speicherzelle verändern können, ohne auf sie zuzugreifen, indem man mit hoher Frequenz auf andere Stellen zugreift1. Sie geben an, dass dieser Defekt bei den meisten zum Zeitpunkt ihres Artikels gängigen Speichermodulen auftritt1.

Warum gibt es diesen Defekt?

Laut der zweiten Fassung des Artikels ist der DRAM dichter geworden, und seine Zellen sind dadurch weniger gut voneinander isoliert2. Wiederholte Zugriffe auf Zeilen des DRAM können dann zufällige Bitkipper in einer benachbarten Zeile auslösen2.

Ist ein gekipptes Bit wirklich schlimm?

Ja, nach Angaben derselben Autoren. Der Defekt wurde bereits genutzt, um Root-Rechte zu erlangen und aus einer Sandbox auszubrechen2. Eine Sandbox ist ein abgeschotteter Bereich, in dem ein Programm eingesperrt bleiben soll.

Braucht man Zugang zum Computer, um ihn anzugreifen?

Nicht unbedingt. Rowhammer.js ist nach Angaben der Autoren der erste per Software aus der Ferne ausgelöste Hardwareangriff: Er erfordert weder physischen Zugang zur Maschine noch die Ausführung von nativem Code noch spezielle Befehle2. Eine Website mit JavaScript genügt, um Fehler auf entfernter Hardware auszulösen1.

Was sieht das Opfer?

Die hier genannten Quellen beschreiben keine Meldung und kein Anzeichen auf dem Bildschirm. Sie geben an, dass sich solche JavaScript-Angriffe unauffällig und gleichzeitig gegen Millionen von Nutzern richten können2.

1In der Haut des Angreifers1 min

Der Angreifer steht zunächst vor einem Hindernis: Ein Programm, das mit wenigen Rechten läuft, kann auf bestimmte Ressourcen des Systems nicht zugreifen. MITRE ATT&CK beschreibt diesen Schritt als Rechteausweitung, die von der Benutzerebene zu SYSTEM- oder Root-Rechten führen kann3. Sie kann auch das Verlassen einer virtualisierten Umgebung wie einer virtuellen Maschine oder eines Containers ermöglichen, um den Host-Rechner zu erreichen3.

Rowhammer bietet einen Weg dorthin, weil es erlaubt, den Speicher ohne Berechtigung zu verändern. Die Autoren von Rowhammer.js nennen Angriffe zur Rechteausweitung unter den möglichen Folgen1. Sie geben außerdem an, dass eine Website genügt, um uneingeschränkten Zugriff auf die Systeme ihrer Besucher zu erhalten1.

MITRE ATT&CK beschreibt eine weitere Technik, das Ausnutzen einer Schwachstelle, um der Erkennung zu entgehen. Dabei handelt der Angreifer so, dass er weniger sichtbar ist oder in der legitimen Aktivität untergeht4. Dieser Artikel sagt nicht, dass Rowhammer auf diese Weise eingesetzt wurde: Die hier genannten Quellen erwähnen das nicht.

2Was Sie auf dem Bildschirm sehen1 min

Die hier genannten Quellen enthalten keine Beschreibung dessen, was die Nutzerin oder der Nutzer wahrnimmt. Sie sagen lediglich, dass sich der Angriff über den Browser unauffällig durchführen lässt2. In dem Szenario der Autoren von Rowhammer.js besucht das Opfer eine Website, die JavaScript enthält1.

Da es kein sichtbares, für Rowhammer typisches Anzeichen gibt, sind die Hinweise dieselben wie bei jedem Ausnutzen einer Schwachstelle. MITRE ATT&CK nennt auffälliges Prozessverhalten, etwa einen Virenschutz oder ein Erkennungswerkzeug, das unerwartet stoppt, oder Protokolle mit Lücken4.

3Unter der HaubeIT-Teams1 min

Der DRAM-Speicher legt Daten in Zellen ab, die in Zeilen angeordnet sind. Wenn die Dichte steigt, sind die Zellen weniger gut voneinander isoliert2. Wird eine Zeile sehr oft gelesen, können in der Nachbarzeile Bits kippen2.

Die ersten Exploits, die diesen Defekt ausnutzten, verwendeten nativen Code und spezielle Befehle, die Daten aus dem Cache leeren2. Alle Studien und Angriffe vor Rowhammer.js setzten voraus, dass ein Befehl zum Leeren des Caches verfügbar war, um Zugriffe auf den DRAM mit ausreichender Frequenz auszulösen1.

Rowhammer.js hat diese Einschränkung aufgehoben. Die Autoren zeigen, dass sich der Cache zwingen lässt, seine Daten schnell zu verdrängen, und dass sich der Defekt mit gewöhnlichen Speicherzugriffen auslösen lässt1. Der Angriff wird dadurch auch in eingeschränkten Umgebungen möglich, einschließlich Skriptumgebungen1. Eine von einem generischen Algorithmus gefundene Verdrängungsstrategie hebt die Verdrängungsrate von 95,2 % auf 99,99 %2.

Die Autoren geben an, dass die zum Zeitpunkt ihres Artikels vorhandenen Gegenmaßnahmen nicht vor diesem neuen Angriff schützten1. In der zweiten Fassung schlagen sie Gegenmaßnahmen vor, die sofort anwendbar sind2.

4FallanalysenReale Fälle1 min

Rowhammer.js, Juli 2015

Am 24. Juli 2015 reichen Daniel Gruss, Clémentine Maurice und Stefan Mangard den Artikel Rowhammer.js bei arXiv ein1. Sie stellen darin eine Umsetzung des Angriffs in JavaScript vor2. Sie beschreiben einen vollständig automatisierten Angriff, der nichts weiter braucht als eine Website mit JavaScript, um Fehler auf entfernter Hardware auszulösen1.

Nach ihren Angaben funktioniert der Angriff auf handelsüblichen Systemen und ermöglicht uneingeschränkten Zugriff auf die Systeme der Website-Besucher1. Eine zweite Fassung erscheint am 27. August 2015, die letzte Fassung stammt vom 5. April 201612. Der Artikel wurde 2016 auf der 13. DIMVA-Konferenz angenommen1.

5Was Sie tun1 min

Die hier genannten Quellen nennen keine Maßnahme speziell gegen Rowhammer, weder zu ECC-Speicher noch zu neueren DDR-Generationen. Sie erlauben nur, die allgemeine Maßnahme von MITRE ATT&CK festzuhalten: Software regelmäßig aktualisieren, mit einem Patch-Management für die Arbeitsplätze und Server des Unternehmens34.

Für Beschäftigte heißt das, die vom IT-Team angebotenen Updates anzunehmen und nicht ohne Grund aufzuschieben. MITRE ATT&CK nennt außerdem Schutzmaßnahmen, die Ausnutzungsverhalten erkennen, sowie die Isolation von Anwendungen in einer Sandbox, die ein Fortschreiten des Angreifers erschwert4.

Merkblatt

Kennung
CP-088
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Geräte absichern (secure_devices)
Brain-Reflex
cr-055
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
4 Quellen geprüft am 3. November 2026
Quellen4 Quellen
  1. arXiv, „Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript“, 24. Juli 2015. https://arxiv.org/abs/1507.06955 (abgerufen am 3. November 2026)
  2. arXiv, „Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript“, 27. August 2015. https://arxiv.org/abs/1507.06955v2 (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1068/ (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1211/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Rowhammer, der Angriff, der Bits im Speicher kippt“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/

BibTeX 
@misc{brain_cp088_de_2026,
  author = {Brain},
  title = {Rowhammer, der Angriff, der Bits im Speicher kippt},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0