Kritische Sicherheitslücke im VPN oder Fernzugriff: der Notfallplan für Ihr Unternehmen

Warum Fernzugriffs-Software ein besonders kritisches Ziel ist

Ein VPN, also ein Virtual Private Network, stellt einen verschlüsselten Tunnel zwischen einem Gerät außerhalb der Firma und dem internen Netzwerk her. Damit das funktioniert, muss die VPN-Software aus dem Internet erreichbar sein. Dasselbe gilt für andere Fernzugriffslösungen wie Remote-Desktop-Gateways oder Fernwartungstools. Genau diese Erreichbarkeit ist das Problem: Ein Angreifer muss niemanden täuschen und keine Schadsoftware per E-Mail verschicken. Er verbindet sich direkt mit dem System, und wenn dort eine Sicherheitslücke besteht, steht er vor einer offenen Tür.

Hinzu kommt die Position im Netzwerk. Fernzugriffs-Software sitzt an der Grenze zwischen Internet und Firmennetz und verwaltet dort Zugangsdaten, aktive Sitzungen und oft auch die Regeln, wer worauf zugreifen darf. Wer dieses System übernimmt, hat nicht irgendeinen Rechner erobert, sondern die Eingangstür samt Schlüsselkasten. Von dort aus lässt sich der Zugriff auf Server, Dateiablagen und weitere Systeme meist ohne großen Widerstand ausweiten.

Der dritte Faktor ist Geschwindigkeit. Sobald eine kritische Lücke öffentlich bekannt wird, suchen Angreifer das Internet automatisiert nach verwundbaren Systemen ab. Diese Scans unterscheiden nicht nach Firmengröße, sondern nur danach, ob ein System antwortet. Zwischen der Veröffentlichung einer Lücke und den ersten Angriffsversuchen liegt deshalb teils nur sehr wenig Zeit. Ein Notfallplan für dieses Szenario ist keine Übervorsicht, sondern die Konsequenz daraus, dass Ihnen im Ernstfall wenig Zeit bleibt.

Woran Sie erkennen, dass Sie betroffen sind

Die verlässlichste Quelle ist der Hersteller selbst. Praktisch alle Anbieter von VPN- und Fernzugriffs-Software veröffentlichen Sicherheitsmitteilungen, sogenannte Security Advisories, in denen betroffene Versionen, Schweregrad und verfügbare Gegenmaßnahmen beschrieben sind. Viele Hersteller bieten dafür einen E-Mail-Verteiler oder einen RSS-Feed an, also ein Abonnement, das neue Meldungen automatisch zustellt. Abonnieren Sie diese Kanäle für jedes Produkt, das bei Ihnen aus dem Internet erreichbar ist. Das kostet nichts und ist der schnellste Weg zu belastbaren Informationen.

Die zweite wichtige Quelle ist CERT-Bund, das Computer-Notfallteam des Bundesamts für Sicherheit in der Informationstechnik, kurz BSI. CERT-Bund betreibt einen öffentlichen Warn- und Informationsdienst, der laufend Meldungen zu Schwachstellen in verbreiteter Software veröffentlicht und nach Schweregrad einordnet. Schwachstellen werden dort, wie überall in der Branche, über eine CVE-Nummer identifiziert. CVE steht für Common Vulnerabilities and Exposures und ist ein weltweit eindeutiges Kennzeichen für eine konkrete Sicherheitslücke. Der Schweregrad wird meist als CVSS-Wert angegeben, eine Punkteskala von 0 bis 10, bei der Werte ab 9 als kritisch gelten.

Ein dritter, oft unterschätzter Anhaltspunkt ist die Frage, ob eine Lücke bereits aktiv ausgenutzt wird. Die US-Cybersicherheitsbehörde CISA führt dazu einen öffentlichen Katalog nachweislich ausgenutzter Schwachstellen. Taucht Ihr Produkt dort auf, ist die Lage nicht mehr theoretisch. Wichtig ist bei alldem eine organisatorische Kleinigkeit mit großer Wirkung: Legen Sie fest, wer diese Meldungen liest und bewertet. Ein Abonnement, das in einem unbeobachteten Postfach landet, warnt niemanden.

Sofortmaßnahmen in der richtigen Reihenfolge

Schritt eins: Betroffenheit feststellen. Klären Sie, welches Produkt in welcher Version bei Ihnen läuft, und gleichen Sie das mit den Angaben in der Herstellermeldung ab. Dafür brauchen Sie die exakte Versionsnummer, nicht nur den Produktnamen, denn Lücken betreffen fast immer nur bestimmte Versionsstände. Schritt zwei: Lage bewerten. Gibt es bereits ein Update? Wird die Lücke aktiv ausgenutzt? Nennt der Hersteller einen Workaround, also eine behelfsmäßige Gegenmaßnahme wie das Abschalten einer einzelnen Funktion?

Schritt drei ist der unangenehmste, deshalb gehört er vorab entschieden: Wird eine kritische Lücke aktiv ausgenutzt und existiert noch kein Update, trennen Sie den betroffenen Dienst vom Internet. Ein geplanter Ausfall des Fernzugriffs für einige Stunden ist ärgerlich und stört den Betrieb. Ein Angreifer im Firmennetz kann das Unternehmen wochenlang lahmlegen. Diese Abwägung sollte nicht erst im Ernstfall geführt werden: Legen Sie heute fest, wer die Abschaltung anordnen darf, damit im Notfall niemand auf eine Freigabe wartet.

Schritt vier: Update einspielen, sobald es verfügbar ist. Sichern Sie vorher die Konfiguration, damit Sie bei Problemen zurückkönnen. Schritt fünf wird oft vergessen: Zugangsdaten erneuern. Viele Lücken in Fernzugriffs-Software erlauben es Angreifern, Passwörter, Sitzungsschlüssel oder Zertifikate auszulesen. Ein Update schließt die Tür, aber es tauscht nicht die Schlösser. Setzen Sie deshalb nach dem Update die Passwörter der betroffenen Konten zurück, beenden Sie alle aktiven Sitzungen und erneuern Sie Zertifikate und Schlüssel, die auf dem System lagen.

Schritt sechs: Prüfen, ob der Angreifer schon da war. Hersteller veröffentlichen zu kritischen Lücken häufig sogenannte Indicators of Compromise, also erkennbare Spuren eines erfolgreichen Angriffs, etwa bestimmte Dateien, unbekannte Benutzerkonten oder auffällige Log-Einträge. Prüfen Sie das System dagegen oder lassen Sie es prüfen. Finden Sie etwas oder sind Sie unsicher, gilt ab sofort der nächste Abschnitt.

Spuren sichern statt vernichten

Ein häufiger Fehler nach einem Sicherheitsvorfall ist gut gemeint: Das betroffene System wird neu gestartet, zurückgesetzt oder komplett neu installiert, damit es wieder sauber ist. Damit vernichten Sie genau die Daten, mit denen sich klären ließe, ob ein Angreifer eingedrungen ist, seit wann und wie weit. Viele Geräte halten Protokolle nur im Arbeitsspeicher, sodass sie bei einem Neustart unwiederbringlich verloren gehen.

Sichern Sie deshalb vor jeder Bereinigung die Spuren. Exportieren Sie die Protokolle des betroffenen Systems und der umliegenden Systeme, etwa der Firewall und der Anmeldedienste. Läuft die Software als virtuelle Maschine, erstellen Sie einen Snapshot, also eine eingefrorene Kopie des kompletten Systemzustands. Bei Hardware-Geräten sichern Sie mindestens die Konfiguration und alle exportierbaren Protokolle. Führen Sie außerdem ein einfaches Ereignisprotokoll: wer hat wann was getan und was festgestellt. Ein handschriftlicher Zettel genügt, solange er vollständig ist.

Diese Sorgfalt ist kein Selbstzweck. Ohne gesicherte Spuren können Sie nicht beurteilen, ob personenbezogene Daten betroffen sind. Genau das müssen Sie aber wissen: Bei einer Verletzung des Schutzes personenbezogener Daten verlangt die Datenschutz-Grundverordnung eine Meldung an die Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden nach Kenntnis. Eine Ausnahme gilt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Auch eine Cyberversicherung wird Nachweise sehen wollen. Ziehen Sie bei einem begründeten Verdacht auf einen erfolgreichen Angriff Fachleute für IT-Forensik hinzu, also für die beweissichere Untersuchung von Systemen, statt auf dem betroffenen Gerät weiterzuarbeiten.

Dauerhaft vorbereiten: Inventar, Update-Wege, Protokollierung

Die wirksamste Vorbereitung ist ein aktuelles Inventar: eine Liste aller Systeme und Dienste, die aus dem Internet erreichbar sind, jeweils mit Produkt, Versionsstand, zuständiger Person und dem Weg, über den Updates eingespielt werden. Im Ernstfall entscheidet diese Liste, ob die Frage nach der eigenen Betroffenheit Minuten oder Stunden kostet. Prüfen Sie das Inventar in festen Abständen und nehmen Sie auch Systeme auf, die Fachabteilungen selbst beschafft haben, die sogenannte Schatten-IT.

Klären Sie die Update-Wege, bevor Sie sie brauchen. Wer darf aktualisieren, wie lange dauert es, und gibt es einen erprobten Weg zurück zur vorherigen Version, falls das Update Probleme macht? Ein Notfall ist der denkbar schlechteste Zeitpunkt für das erste Update seit Jahren. Wer regelmäßig patcht, also Herstellerkorrekturen zeitnah einspielt, hält den Weg kurz und eingeübt.

Sorgen Sie außerdem dafür, dass Protokolle nicht nur auf dem Gerät selbst liegen. Werden Logs laufend an einen separaten, zentralen Sammelpunkt kopiert, bleiben die Spuren auch dann erhalten, wenn das Gerät kompromittiert oder neu aufgesetzt wird. Bewahren Sie diese Protokolle über mehrere Monate auf, denn Angriffe fallen nicht immer sofort auf. Ergänzen Sie den Fernzugriff um eine Multi-Faktor-Authentifizierung, also eine Anmeldung mit einem zweiten Faktor zusätzlich zum Passwort. Sie verhindert nicht jede Art von Lücke, macht gestohlene Passwörter aber deutlich weniger wertvoll.

Zuletzt der Notfallzettel: Kontaktdaten von Hersteller-Support, IT-Dienstleister, Versicherung und Datenschutzbeauftragtem sowie die Festlegung, wer die Abschaltung des Fernzugriffs anordnen darf. Dieser Zettel gehört ausgedruckt an einen bekannten Ort, denn wenn der Fernzugriff abgeschaltet ist, hilft ein Dokument im firmeninternen System wenig. Spielen Sie das Szenario einmal im Jahr am Tisch durch, eine Stunde genügt.

Was Sie selbst leisten können und wo Hilfe sinnvoll ist

Vieles aus diesem Plan ist ohne Spezialwissen machbar: Herstellermeldungen und CERT-Bund abonnieren, das Inventar pflegen, Zuständigkeiten und Notfallkontakte festlegen, die Abschaltentscheidung vorab treffen. Das erfordert Disziplin und einige Stunden pro Jahr, aber keine Sicherheitsfachleute im eigenen Haus.

Anspruchsvoller wird es bei der Bewertung im Ernstfall: ob eine Lücke in Ihrer konkreten Konfiguration ausnutzbar ist, ob Spuren auf einen erfolgreichen Angriff hindeuten und wie eine saubere Wiederherstellung aussieht. Hier lohnt Ehrlichkeit gegenüber den eigenen Fähigkeiten, denn eine falsche Entwarnung ist am Ende teurer als eine Stunde externer Unterstützung. Wenn Sie mit einem IT-Dienstleister arbeiten, klären Sie vorab, was im Notfall vereinbart ist: Wer überwacht Herstellermeldungen für Ihre Systeme, welche Reaktionszeiten gelten, und wie ist die Erreichbarkeit außerhalb der üblichen Geschäftszeiten geregelt? Diese drei Fragen entscheiden im Ernstfall über Stunden.