Ein Weckruf aus den USA – mit direkten Folgen für deutsche Unternehmen
Die US-Sicherheitsbehörde CISA hat Ende letzter Woche fünf teils jahrealte Schwachstellen neu in den Katalog der „Known Exploited Vulnerabilities“ (KEV) aufgenommen. Die älteste Lücke stammt aus dem Jahr 2015 – und wird aktuell von Angreifern aktiv ausgenutzt. Betroffen sind unter anderem Apache Struts, BIND, ProFTPD, OnlyOffice und Strapi. Die Schwachstellen erreichen teils kritische CVSS-Werte von bis zu 10.0 und dienen Angreifern zum Ausspähen sensibler Daten. Für US-Bundesbehörden setzte die CISA eine Frist von nur drei Tagen zur Behebung – ein deutliches Signal, wie ernst die Lage ist.
Doch was bedeutet das für den deutschen Mittelstand? Viele Unternehmen haben genau diese Legacy-Systeme im Einsatz, oft ohne kontinuierliches Patch-Management. Die Folge: Ein Einfallstor für Angreifer, das nicht nur Daten abfließen lässt, sondern auch erhebliche Compliance-Risiken mit sich bringt – insbesondere mit Blick auf die NIS-2-Richtlinie, die seit Oktober 2024 in nationales Recht umgesetzt werden muss.
Warum alte Lücken plötzlich wieder gefährlich werden
Die fünf neu im KEV gelisteten Schwachstellen sind keine exotischen Nischenprobleme. Sie stecken in weit verbreiteter Software:
- ProFTPD (CVE-2015-3306, CVSS 10.0): Über die Befehle „site cpfr“ und „site cpto“ können Angreifer beliebige Dateien lesen oder schreiben. Betroffen ist Version 1.3.5 – aktuell ist 1.3.9d.
- BIND (CVE-2015-5477, CVSS 7.5): Eine DoS-Lücke, die DNS-Server lahmlegen kann.
- Apache Struts (CVE-2016-3081, CVSS 8.1): Bei aktivierter „Dynamic Method Invocation“ ist die Ausführung beliebigen Codes möglich.
- OnlyOffice Docs (CVE-2021-3199, CVSS 9.8): Path-Traversal ermöglicht Codeschmuggel bei aktiviertem JWT.
- Strapi (CVE-2023-22894, CVSS 7.2): Angreifer können sensible Informationen wie Passworthashes und Reset-Token auslesen – in Kombination mit CVE-2023-22621 droht die Ausführung von Schadcode.
Das Tückische: Viele dieser Systeme laufen seit Jahren unverändert, oft ohne dass der Hersteller noch Updates bereitstellt. Die CISA empfiehlt in solchen Fällen, die Software komplett außer Betrieb zu nehmen – ein radikaler Schritt, der für viele Unternehmen einem operativen Einschnitt gleichkommt.
Die geschäftlichen Konsequenzen für den Mittelstand
Wer glaubt, dass veraltete Software nur ein technisches Problem ist, irrt. Die Konsequenzen sind betriebswirtschaftlich und rechtlich:
- Datenabfluss und Betriebsunterbrechung: Angreifer nutzen die Lücken, um sensible Unternehmensdaten zu stehlen oder Systeme lahmzulegen. Ein Ausfall von DNS- oder FTP-Diensten kann ganze Lieferketten zum Erliegen bringen.
- NIS-2-Compliance: Die NIS-2-Richtlinie verpflichtet Unternehmen zu einem kontinuierlichen Schwachstellenmanagement. Wer nachweislich nicht patcht, riskiert Bußgelder und persönliche Haftung der Geschäftsführung.
- Reputationsverlust: Ein erfolgreicher Angriff über eine elf Jahre alte Lücke wirft kein gutes Licht auf die IT-Organisation – und kann Kunden kosten.
- Haftungsrisiken: Bei personenbezogenen Daten drohen DSGVO-Strafen. Zudem können betroffene Kunden Schadensersatz fordern.
Die Botschaft ist klar: Legacy-Schwachstellen sind keine Randnotiz, sondern eine existenzielle Bedrohung. Ein proaktives Schwachstellenmanagement ist deshalb Pflicht, nicht Kür.
So schützen Sie sich: Kontinuierliches Schwachstellenmanagement und Penetrationstests
Die gute Nachricht: Mit einem strukturierten Ansatz lassen sich die Risiken drastisch reduzieren. Die wichtigsten Maßnahmen:
- Inventarisierung: Erfassen Sie alle eingesetzten Softwareversionen – auch die, die „irgendwo im Hintergrund“ laufen. Nur was bekannt ist, kann gepatcht werden.
- Patch-Management automatisieren: Etablieren Sie einen Prozess, der Sicherheitsupdates zeitnah einspielt. Für Systeme am Ende des Lebenszyklus müssen Sie Alternativen prüfen oder sie abschalten.
- Regelmäßige Penetrationstests: Ein professioneller Penetrationstest deckt nicht nur bekannte CVE-Lücken auf, sondern auch logische Fehler und Konfigurationsschwächen. Unsere VAPT-Pentesting-Lösung kombiniert automatisierte Scans mit manuellen Tests, um genau diese Risiken zu identifizieren.
- KI-gestützte Überwachung: Moderne KI-Agenten können Schwachstellen in Echtzeit überwachen und bei kritischen Bedrohungen automatisch Alarm schlagen – ein enormer Effizienzgewinn für schlanke IT-Teams.
- Compliance-Check: Überprüfen Sie Ihre NIS-2-Bereitschaft mit unserem Readiness-Check und schließen Sie Lücken, bevor der Gesetzgeber es tut.
Ein weiterer wichtiger Aspekt: Die Angreifer nutzen oft eine Kombination aus alten und neuen Lücken. Ein Penetrationstest, der nur die Top-10 der aktuellen CVE-Liste prüft, greift zu kurz. Es kommt auf die spezifische Umgebung an – und genau hier setzen unsere Experten an.
Fazit: Handeln Sie jetzt, bevor es zu spät ist
Die CISA-Warnung ist ein dringender Weckruf. Alte Sicherheitslücken verschwinden nicht, nur weil sie nicht mehr in den Schlagzeilen sind. Im Gegenteil: Angreifer wissen, dass viele Unternehmen genau diese Systeme vernachlässigen. Für den Mittelstand bedeutet das: Ein kontinuierliches Schwachstellenmanagement und regelmäßige Penetrationstests sind keine optionalen Extras, sondern überlebenswichtig.
Lassen Sie Ihre Systeme jetzt überprüfen. Unsere VAPT-Experten unterstützen Sie dabei, Schwachstellen zu finden und zu beheben – bevor Angreifer es tun. Vereinbaren Sie ein Erstgespräch und erfahren Sie, wie Sie Ihre NIS-2-Compliance sicherstellen und Ihre digitale Souveränität stärken.