Firewall, VPN und Mail-Gateway: Warum Perimeter-Geräte ein wichtiges Einfallstor sind und wie kleine Betriebe sie aktuell halten

Im September 2026 hat die US-Cybersicherheitsbehörde CISA innerhalb von zwei Wochen vier kritische Lücken in Firewalls, VPN- und Mail-Gateways in ihren Katalog der nachweislich ausgenutzten Schwachstellen (KEV) aufgenommen: Cisco Secure Firewall Management Center, Cisco Secure Email Gateway, F5 BIG-IP APM und die Verwaltungssoftware von Check Point. Alle vier tragen einen CVSS-Wert von 9,8 oder 10,0, und alle vier stehen mit forensischer Prüfauflage im KEV-Katalog. Im Oktober folgten Ivanti Connect Secure, Palo Alto PAN-OS, Fortinet und erneut Cisco.

Das sind keine Konzernprobleme. Die Firewall eines Handwerksbetriebs in Recklinghausen steht in der Regel mit öffentlicher IP-Adresse genauso im Internet wie die eines Konzerns; der Unterschied ist, ob jemand hauptberuflich hinschaut. Ich ordne die Fälle ein und beschreibe den Patch-Prozess, den ich kleinen Betrieben im Ruhrgebiet empfehle.

Hinweis: Stand 3. November 2026. Dieser Beitrag ist keine Rechtsberatung und ersetzt keine Prüfung Ihrer konkreten Geräte. Maßgeblich sind die Sicherheitshinweise der jeweiligen Hersteller.

Welche Perimeter-Lücken wurden im Herbst 2026 ausgenutzt?

Vier Fälle aus dem September, alle mit einem Fälligkeitsdatum von drei Tagen im KEV-Katalog:

Drei Muster stecken darin, und jedes trifft kleine Betriebe anders:

• Der Patch lag lange bereit. Cisco hatte das Advisory zum Firewall Management Center am 4. März 2026 veröffentlicht. Erst im August, also rund fünf Monate später, wurde Cisco auf aktive Ausnutzung aufmerksam. Einen Workaround gibt es laut Cisco nicht.
• Der Angriff kam vor dem Patch. Check Point beobachtete laut seinem Advisory vom 22. September 2026 einzelne gezielte Angriffe auf die Verwaltungssoftware am 23. Juli 2026; den Fix gab es am Tag des Advisorys, rund zwei Monate später.
• Der Patch war da, die Angreifer schneller. Für die zweite Check-Point-Lücke, CVE-2026-85102 in der VPN-Zertifikatsprüfung, stand der Fix seit dem 9. September 2026 bereit. Ab dem 12. September, also drei Tage später, sah Check Point eine Welle von Angriffsversuchen gegen Kunden mit Spark-Firewalls. Prüfen Sie, ob Ihr Weg vom Hersteller-Newsletter zum Wartungsfenster schneller ist.

CISA warnte am 13. Oktober 2026 vor einer ausgenutzten Lücke in Ivanti Connect Secure und ergänzte am 30. Oktober zwei weitere. Am 14. Oktober kamen Palo Alto PAN-OS und erneut Cisco Secure Email Gateway dazu. Nach meiner Auszählung des KEV-Feeds mit Stand 30. Oktober 2026 hat CISA 36 Schwachstellen im Oktober und 43 im September aufgenommen, 282 seit Jahresbeginn; neun der Oktober-Einträge betreffen Fortinet, Citrix, Ivanti, Palo Alto oder Cisco.

Warum zielen Angreifer auf Firewall und VPN statt auf Ihre PCs?

Weil sie von außen erreichbar sind und ihnen meist die Schutzsoftware fehlt, die auf PCs Angriffe meldet. Das BSI schreibt in seinem Lagebericht 2025 (Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025), Schwachstellen in Perimetersystemen seien „ein wichtiges Einfallstor für Cyberangriffe“, und zwar wie schon in den Jahren davor. Im Fazit wird das BSI deutlicher: „So werden beispielsweise viel zu oft bekannte Schwachstellen in Perimetersystemen zu spät oder gar nicht gepatcht.“

Nach dem Bericht M-Trends 2026 von Google Mandiant, der auf über 500.000 Stunden Vorfallsuntersuchungen weltweit im Jahr 2025 beruht, war das Ausnutzen von Schwachstellen im sechsten Jahr in Folge der häufigste Erstzugang und stand hinter 32 Prozent der untersuchten Einbrüche. Mandiant beschreibt Angreifergruppen, die gezielt VPN-Geräte und Router angehen, weil dort die übliche Endpunkt-Telemetrie fehlt. Die Cybersicherheitsbehörden der Five-Eyes-Staaten nennen Edge-Geräte in ihrer Leitlinie vom Februar 2025 ein bevorzugtes Ziel vieler Angreifer, auch staatlicher. Wohin so ein Zugang führt, zeigt das Ransomware-Lagebild zu Qilin: Fertigung und Bau, also typische Ruhrgebietsbetriebe, standen dort im Fokus.

Reicht es, das Update einzuspielen?

Nein, nach einem Angriff reicht das Update allein nicht. Das BSI formuliert es im Kapitel zu Perimetersystemen so: „Bei Schwachstellenausnutzungen reicht daher alleiniges Patchen üblicherweise nicht aus, um Geräte wieder sicher betreiben zu können.“ Der Grund steht im selben Kapitel: Bei Fortinet-Firewalls hatten sich Angreifer über ältere Lücken einen dauerhaften Lesezugriff gesichert, der „auch nach der Installation von Sicherheitspatches erhalten“ blieb.

CISA sagt zu Ivanti Connect Secure dasselbe in der Praxis: Das Prüfwerkzeug des Herstellers erkennt eine Ausnutzung der im Oktober zuerst gemeldeten Lücke unter Umständen nicht, weil die Befehle der Angreifer nur im Arbeitsspeicher laufen. Die Empfehlung bei Verdacht lautet Werksreset, Update auf die aktuelle Version, danach neue Passwörter für alle Konten einschließlich Domäne und Administrator sowie neue Zertifikate und API-Schlüssel. Zwei Dinge halten Sie dabei handlungsfähig: eine aktuelle Sicherung der Gerätekonfiguration und ein geprüftes Backup Ihrer Daten, wie in der 3-2-1-Backup-Strategie beschrieben.

Ein zweiter Befund des BSI aus demselben Kapitel ist für kleine Betriebe besonders wertvoll: Firewall-Betreiber waren seltener betroffen, wenn der Managementzugang auf vertrauenswürdige Quellen beschränkt war. Eine Admin-Oberfläche, die nur aus dem internen Netz oder per VPN erreichbar ist, entschärft auch Zero-Days wie den Check-Point-Fall.

Wie schnell muss ein Update auf die Firewall?

Mein Maßstab: 72 Stunden, sobald das Gerät von außen erreichbar ist und die Lücke im KEV-Katalog steht. Die CISA-Direktive BOD 26-04 vom 10. Juni 2026 sieht vor, dass US-Bundesbehörden Lücken in öffentlich erreichbaren Systemen mit vollständiger Auswirkung und automatisierbarer Ausnutzung binnen drei Tagen schließen oder entschärfen und das Gerät zusätzlich forensisch prüfen. Spätestens ab dem 7. Dezember 2026 müssen die Behörden diese Frist einhalten; im KEV-Katalog steht sie bei allen vier Septemberfällen schon heute. Die Vorgängerregel BOD 22-01 aus dem Jahr 2021 hatte im Regelfall zwei Wochen erlaubt (und sechs Monate für Lücken mit CVE-Nummer vor 2021); sie ist aufgehoben.

Für Sie als Betrieb ist das keine Pflicht, aber ein guter Vergleichswert: Wenn die CISA den US-Bundesbehörden drei Tage gibt, ist ein Wartungsfenster „irgendwann im nächsten Monat“ für ein Gerät im Internet zu langsam. Für Lücken ohne KEV-Eintrag und für Geräte ohne Internetkontakt reicht aus meiner Sicht ein festes, regelmäßiges Wartungsfenster.

Welcher Patch-Prozess passt zu einem kleinen Betrieb?

Sechs Bausteine, die ohne eigene IT-Abteilung durchhaltbar sind:

1. Inventar der Geräte mit Internetkontakt. Firewall, VPN-Gateway, Mail-Gateway, Fernwartungszugänge, NAS mit Portfreigabe, selbst gehostete Anwendungen. Je Gerät: Hersteller, Modell, Firmware-Version, Support-Ende, zuständige Person.
2. Drei Informationsquellen abonnieren. Die Sicherheitshinweise jedes Herstellers aus dem Inventar, das WID-Portal von CERT-Bund, über das laut BSI täglich Patches für über 1.500 Produkte gemeldet werden, und den KEV-Katalog der CISA, den es als E-Mail-Abo, CSV und JSON gibt. Regel: Steht ein Produkt aus dem Inventar im KEV, beginnt die 72-Stunden-Uhr.
3. Managementzugang schließen. Admin-Oberfläche und SSH nicht aus dem Internet erreichbar, nur aus dem internen Netz oder über VPN mit zweitem Faktor.
4. Wartungsfenster und Rückweg festlegen. Firmware-Updates starten das Gerät neu. Klären Sie vorab, wann das im Betrieb geht, wer die Konfiguration vorher sichert und wie Sie zurückkommen, wenn das Update schiefgeht. Die Five-Eyes-Leitlinie empfiehlt, Updates wenn möglich zuerst auf einem Ersatz- oder Testgerät zu prüfen; was ein Stillstand kostet, rechnet mein Ausfallkosten-Rechner vor.
5. Nach jedem KEV-Fall auf Kompromittierung prüfen. Unbekannte Admin-Konten, neue VPN-Nutzer, Logins aus fremden Ländern, Prüfwerkzeuge und Indikatoren des Herstellers. Bei Verdacht folgen Sie dem Hersteller: CISA nennt für Ivanti Connect Secure Werksreset, Update und neue Zugangsdaten; Cisco verweist bei physischen Secure Email Gateways an den Support und empfiehlt bei virtuellen dringend vorab eine forensische Sicherung.
6. Den Vertrag mit dem IT-Dienstleister nachschärfen. Wer liest die Advisories? Wie schnell wird bei einem KEV-Eintrag reagiert? Darf der Dienstleister außerhalb der Geschäftszeiten neu starten? Wird jedes Update protokolliert? Diese Protokolle brauchen Sie ohnehin, denn Cyberversicherer fragen nach der Patch-Routine.

Fragen zu Firewall-Updates im Betrieb

Unser Dienstleister sagt, die Firewall aktualisiert sich automatisch. Reicht das?
Automatische Firmware-Updates sind ein guter Anfang, beantworten aber nicht, ob der Managementzugang aus dem Internet erreichbar ist, wer nach einem KEV-Eintrag auf Kompromittierung prüft und ob das Gerät überhaupt noch Updates bekommt. Lassen Sie sich die eingespielte Version und das Support-Ende nennen.

Woran erkenne ich, ob unser Gerät betroffen ist?
Vergleichen Sie Modell und Firmware-Version aus dem Inventar mit dem Advisory des Herstellers; dort stehen die betroffenen und die korrigierten Versionen. Im KEV-Katalog können Sie nach dem Herstellernamen filtern.

Was ist mit einem alten Gerät, für das es keine Updates mehr gibt?
Das BSI beschreibt, dass ein beträchtlicher Teil der Perimetersysteme im Internet durch alte Schwachstellen verwundbar bleibt, weil Betreiber nichts unternehmen. Ein Gerät ohne Herstellersupport gehört ersetzt, nicht verwaltet. Bis dahin: Managementzugang schließen und nicht benötigte Dienste abschalten.

Wir nutzen Microsoft 365 und haben kaum noch Server. Betrifft uns das trotzdem?
Ja, sobald ein Router, eine Firewall oder ein VPN-Zugang zu Ihrem Standort gehört. Die Cloud-Dienste patcht der Anbieter, das Gerät an Ihrem Internetanschluss nicht.

Sie möchten wissen, ob Ihre Firewall, Ihr VPN und Ihr Mail-Gateway heute auf dem Stand sind? Dann gehen wir Inventar, Advisories und Managementzugang gemeinsam durch. Mehr dazu bei meinem IT-Support für Betriebe in Recklinghausen und im Ruhrgebiet.

Passende Leistung: IT-Support und Betreuung

Hinweis: Die Beiträge dieses Blogs werden unter Einsatz von KI erstellt und vor der Veröffentlichung redaktionell geprüft. Die redaktionelle Verantwortung trägt Emre Yurtbay (siehe Impressum).