Die Lage: CISA warnt vor laufenden Attacken – und viele Unternehmen tappen im Dunkeln
Die US-amerikanische Cybersecurity- und Infrastructure Security Agency (CISA) hat am Freitag eine dringende Warnung veröffentlicht: Angreifer missbrauchen aktiv kritische Sicherheitslücken in BeyondTrust Remote Support und mehreren Fortinet-Produkten. Das Brisante daran: Viele Unternehmen wissen nicht einmal, ob sie betroffen sind – geschweige denn, ob sie bereits kompromittiert wurden. Für IT-Leiter und CISOs im deutschen Mittelstand ist das ein Alarmsignal, denn die Angriffsmuster sind längst nicht mehr auf US-Behörden beschränkt.
Die CISA bestätigt, dass die Täter die Schwachstellen für initialen Zugriff nutzen, sich im System festsetzen, Privilegien ausweiten und sich lateral durch das Netzwerk bewegen. In einem von Palo Alto Networks Unit 42 analysierten Fall installierten die Angreifer die neuartige Malware „Peerstitch“ – eine ausschließlich im Speicher residierende Schadsoftware für ARM64-Architekturen. Das ist kein gewöhnlicher Patch-Vorfall, sondern ein gezielter, mehrstufiger Angriff auf die Integrität Ihrer gesamten IT-Landschaft.
Die technischen Details: Was genau angegriffen wird
Die beiden Schwachstellen haben unterschiedliche Einstiegspunkte, sind aber Teil derselben Angriffskette:
- BeyondTrust Remote Support (CVE-2026-102764): Betroffen sind Version 26.2.3 und früher. Die Appliances prüfen den Ursprung empfangener Nachrichten nicht ausreichend, wodurch Angreifer unter bestimmten Bedingungen Dateioperationen ausführen können. Der CVSS4-Score liegt bei 9,3 – Risiko „kritisch“. Patches stellt der Hersteller für Versionen ab 24.3.1 bereit; ältere Stände müssen zunächst migriert werden.
- Fortinet Path-Traversal (CVE-2025-61624): Betroffen sind FortiOS, FortiPAM, FortiProxy und FortiSwitchManager. Nach Authentifizierung mit einem Admin-Profil und mindestens Lese-/Schreibrechten können Angreifer beliebige Dateien mit Kommandozeilenbefehlen schreiben oder löschen. Der CVSS-Score liegt bei 6,5 (NVD) bzw. 6,0 (Fortinet) – Risiko „mittel“. Korrekturen enthalten FortiOS 7.6.5 und 7.4.10, FortiPAM 1.7.1, FortiProxy 7.6.5 und 7.4.12 sowie FortiSwitchManager 7.2.8 und 7.0.7.
Die eigentliche Gefahr liegt in der Kombination: Während die Fortinet-Lücke „nur“ mittelschwer bewertet ist, ermöglicht sie in Verbindung mit der BeyondTrust-Schwachstelle eine vollständige Übernahme der Infrastruktur. Die CISA hat hierzu eine eigene Anleitung veröffentlicht – ein deutliches Zeichen für die Dringlichkeit.
Warum herkömmliches Patch-Management hier versagt
Die aktuelle Situation legt ein strukturelles Problem offen: Patch-Management allein ist kein Sicherheitskonzept. Wer sich darauf verlässt, monatliche Patch-Zyklen einzuhalten, verliert gegen Angreifer, die Zero-Day-Lücken innerhalb von Stunden ausnutzen. Die Gründe sind vielfältig:
- Unvollständige Inventarisierung: Viele Unternehmen wissen nicht, welche Versionen von Fortinet-Appliances oder BeyondTrust-Instanzen im Einsatz sind – geschweige denn, ob sie verwundbar sind.
- Fehlende Priorisierung: Nicht jede Lücke ist gleich kritisch. Ohne Risikobewertung im Kontext der eigenen Infrastruktur werden wichtige Patches zu spät oder gar nicht eingespielt.
- Keine Verifikation: Ein installierter Patch bedeutet nicht, dass die Lücke tatsächlich geschlossen ist. Fehlkonfigurationen oder unvollständige Updates bleiben oft unentdeckt.
- Reaktive statt proaktive Haltung: Wer erst nach einer CISA-Warnung handelt, ist bereits im Nachteil. Angreifer nutzen die Zeit zwischen Bekanntwerden und Patch-Verfügbarkeit gezielt aus.
Hinzu kommt: Die Angreifer nutzen nicht nur eine Lücke, sondern verketten mehrere Schwachstellen zu einem mehrstufigen Angriff. Ein isolierter Patch behebt vielleicht die eine Lücke – doch die laterale Bewegung im Netzwerk bleibt möglich, wenn keine ganzheitliche Sicherheitsüberprüfung stattfindet.
Die geschäftlichen Konsequenzen für den deutschen Mittelstand
Die Bedrohung ist nicht theoretisch. Ein erfolgreicher Angriff auf Ihre Fortinet- oder BeyondTrust-Infrastruktur bedeutet:
- Datenabfluss und Erpressung: Angreifer, die sich lateral bewegen, haben Zugriff auf sensible Unternehmensdaten – ein klarer Fall für DSGVO-Meldepflichten und potenzielle Bußgelder.
- Betriebsausfall: Die Malware „Peerstitch“ residiert im Speicher und ist schwer zu erkennen. Ein Befall kann zu wochenlangen Ausfällen führen.
- Reputationsverlust: Vertrauen ist im B2B-Geschäft die härteste Währung. Ein öffentlich bekannter Sicherheitsvorfall kann Kundenbeziehungen nachhaltig schädigen.
- Regulatorische Konsequenzen: Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Wer nachweislich keine kontinuierlichen Schwachstellenanalysen durchführt, riskiert nicht nur Bußgelder, sondern auch Haftungsfragen der Geschäftsführung.
Die CISA-Warnung ist daher kein „IT-Problem“, sondern eine Chefsache. IT-Leiter und CISOs müssen jetzt handeln – und zwar mit einem Ansatz, der über reines Patch-Management hinausgeht.
Die Lösung: Kontinuierliches Schwachstellen-Management und Penetrationstests
Was Unternehmen jetzt brauchen, ist ein proaktiver Sicherheitsansatz, der Schwachstellen nicht nur identifiziert, sondern auch deren Ausnutzbarkeit in der realen Umgebung verifiziert. Genau hier setzt Vulnerability & Penetration Testing (VAPT) an.
Ein professioneller VAPT-Penetrationstest geht über einen automatisierten Scan hinaus: Er simuliert reale Angriffsszenarien, deckt Verkettungen von Schwachstellen auf und liefert konkrete, priorisierte Handlungsempfehlungen. So erkennen Sie nicht nur, ob Ihre Fortinet- oder BeyondTrust-Systeme verwundbar sind, sondern auch, wie weit ein Angreifer im Ernstfall kommen würde.
Die Vorteile im Überblick:
- Verifikation statt Vermutung: Penetrationstests bestätigen, ob ein Patch tatsächlich wirksam ist und ob Konfigurationsfehler übersehen wurden.
- Risikobasierte Priorisierung: Nicht jede Lücke ist gleich – VAPT bewertet Schwachstellen im Kontext Ihrer Geschäftsprozesse.
- Compliance-Nachweis: Für DSGVO, ISO 27001 oder TISAX liefern Penetrationstests den geforderten Nachweis angemessener Sicherheitsmaßnahmen.
- Proaktive Härtung: Regelmäßige Tests identifizieren Schwachstellen, bevor Angreifer sie ausnutzen.
Ergänzend dazu bietet unsere KI-Agenten-Lösung die Möglichkeit, Schwachstellen-Scans und Patch-Prozesse zu automatisieren – für eine kontinuierliche Überwachung, die mit der Geschwindigkeit moderner Bedrohungen mithält.
Konkrete Handlungsempfehlungen für IT-Leiter und CISOs
Handeln Sie jetzt – die folgenden Schritte sollten Sie unverzüglich umsetzen:
- Bestandsaufnahme: Prüfen Sie, welche Versionen von BeyondTrust Remote Support und Fortinet-Produkten in Ihrem Unternehmen im Einsatz sind. Nutzen Sie hierfür unseren KI Readiness & Compliance Check, um Ihre Sicherheitslage systematisch zu erfassen.
- Sofortige Patches: Spielen Sie die verfügbaren Updates ein – für BeyondTrust ab Version 24.3.1, für Fortinet die genannten Versionen. Migrieren Sie ältere Versionszweige umgehend.
- Penetrationstest beauftragen: Lassen Sie Ihre Infrastruktur durch einen professionellen VAPT-Penetrationstest auf Ausnutzbarkeit prüfen. Nur so erhalten Sie Gewissheit, ob Ihre Systeme tatsächlich sicher sind.
- Monitoring intensivieren: Überwachen Sie Ihre Systeme auf Anzeichen lateraler Bewegung und ungewöhnlicher Dateioperationen. Die Malware „Peerstitch“ residiert im Speicher – herkömmliche Virenscanner erkennen sie oft nicht.
- Notfallplan aktivieren: Prüfen Sie, ob Ihre Incident-Response-Prozesse aktuell sind und ob Sie im Ernstfall schnell reagieren können.
Die CISA-Warnung ist eine Chance: Wer jetzt handelt, kann nicht nur die konkreten Lücken schließen, sondern auch die eigene Sicherheitsarchitektur nachhaltig stärken. Warten Sie nicht, bis es zu spät ist.
Fazit: Sicherheit ist ein Prozess, kein Zustand
Die Angriffe auf Fortinet und BeyondTrust zeigen eindrücklich: Patch-Management allein reicht nicht aus. Angreifer sind schneller, kreativer und nutzen Schwachstellen in Kombination. Für IT-Verantwortliche bedeutet das, den Fokus von reaktiver Fehlerbehebung auf proaktive Sicherheit zu verlagern.
Kontinuierliche Schwachstellenanalysen, regelmäßige Penetrationstests und ein tiefes Verständnis der eigenen Angriffsfläche sind der Schlüssel. Unsere Experten von cybereiche unterstützen Sie dabei, Ihre Infrastruktur ganzheitlich zu schützen – von der Analyse bis zur Umsetzung. Vereinbaren Sie jetzt ein Erstgespräch und erfahren Sie, wie Sie Ihre Sicherheitsstrategie zukunftsfest machen.