Firewall, VPN, Mail-Gateway: Warum Edge-Geräte 2026 das Haupteinfallstor für Angriffe auf KMU sind
Innerhalb weniger Tage hat das BSI Mitte Oktober 2026 vor aktiv ausgenutzten Schwachstellen in gleich drei Produktklassen gewarnt: einer Fernwartungs-Appliance von BeyondTrust, dem E-Mail-Gateway von Cisco und Firewalls von SonicWall. Allen gemeinsam: Sie stehen am Rand des Firmennetzes, sind aus dem Internet erreichbar und sollen eigentlich schützen. Genau deshalb sind sie für Angreifer so attraktiv.
Drei Warnungen in einer Woche
BeyondTrust Remote Support
Am 15. Oktober 2026 hat das BSI vor einer kritischen Schwachstelle in BeyondTrust Remote Support gewarnt (CVE-2026-102764, CVSSv4 9,3). Über eine unzureichend geprüfte interne Nachrichtenkomponente können Angreifer unter bestimmten Bedingungen Dateioperationen auf der Appliance ausführen. Nach Angaben von BeyondTrust und der Google Threat Intelligence Group wurde die Lücke bereits seit August als Zero-Day ausgenutzt – mutmaßlich durch einen staatsnahen Akteur aus China. Wer die Appliance betreibt, muss also nicht nur patchen, sondern davon ausgehen, dass sie über Wochen angreifbar war.
Cisco Secure Email Gateway
Ebenfalls am 15. Oktober folgte ein BSI-Sicherheitshinweis zu CVE-2026-76519 im Cisco Secure Email Gateway (CVSS 9,8). Über speziell präparierte E-Mails reagiert der Malware-Scanner fehlerhaft, Angreifer können Root-Rechte erlangen. Cisco bestätigt aktive Ausnutzung, Workarounds gibt es nicht. Betroffen sind Systeme mit aktivierter File Reputation und Content Scanner Tools älter als Version 25.3.0.5525. Besonders wichtig: Cisco empfiehlt, vor dem Update auf Kompromittierungsspuren zu prüfen, weil ein Upgrade forensische Daten zerstören kann. Ist ein Gerät bereits kompromittiert, ist ein Neuaufbau mit erneuerten Zugangsdaten und Schlüsseln nötig.
SonicWall-Firewalls
Ebenfalls Mitte Oktober warnte das BSI vor Angriffen auf eine Schwachstelle in SonicWall-Firewalls, die Zugriffe aus der Ferne ohne Authentifizierung erlaubt. SonicWall-Geräte sind im deutschen Mittelstand weit verbreitet – und waren in den vergangenen Jahren wiederholt Ziel von Ransomware-Gruppen.
Das Muster dahinter
Firewalls, VPN-Gateways, Mail-Gateways und Fernwartungs-Appliances laufen meist mit Herstellerfirmware, auf der kein EDR-Agent installiert werden kann. Sie sind permanent aus dem Internet erreichbar, haben weitreichende Rechte im internen Netz und werden oft seltener aktualisiert als Server und Clients. Ein Angreifer, der hier Fuß fasst, umgeht die meisten anderen Schutzmaßnahmen.
Warum KMU besonders betroffen sind
Der Verizon Data Breach Investigations Report 2025 zeigt die Verschiebung deutlich: Die Ausnutzung von Schwachstellen war in rund 20 % der untersuchten Sicherheitsvorfälle der Einstiegsweg. Davon entfielen 22 % auf Edge-Geräte und VPNs – nach rund 3 % im Vorjahr. Gleichzeitig wurde nur etwas mehr als die Hälfte der betroffenen Edge-Schwachstellen im Untersuchungszeitraum vollständig behoben.
In vielen KMU kommt ein organisatorisches Problem hinzu: Die Firewall hat ein Systemhaus eingerichtet, das Mail-Gateway läuft „nebenher“, und niemand fühlt sich für Firmware-Updates zuständig. Herstellerwarnungen landen in einem Postfach, das keiner liest. Zwischen Veröffentlichung eines Patches und dem Einspielen vergehen dann Wochen – Zeit, die Angreifer mit automatisierten Scans gezielt nutzen.
Was NIS2 und ISO 27001 dazu verlangen
Für Unternehmen im Anwendungsbereich von NIS2 ist das keine Ermessensfrage. Die Risikomanagementmaßnahmen nach § 30 BSIG umfassen ausdrücklich die Behandlung und Offenlegung von Schwachstellen, die Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen sowie die Bewertung der Wirksamkeit der Maßnahmen. Erhebliche Sicherheitsvorfälle – etwa eine kompromittierte Firewall – unterliegen den Meldepflichten mit 24-Stunden-Frühwarnung. In ISO 27001 adressiert Control A.8.8 (Management technischer Schwachstellen) dieselbe Anforderung; Auditoren fragen dort konkret nach Prozess, Fristen und Nachweisen.
Sechs Maßnahmen für IT-Leiter und Geschäftsführer
1. Edge-Inventar anlegen
Listen Sie alle Geräte auf, die aus dem Internet erreichbar sind: Firewalls, VPN-Gateways, Mail- und Web-Gateways, Fernwartungs-Appliances, NAS-Systeme, Router von Dienstleistern. Pro Gerät: Hersteller, Modell, Firmware-Stand, Supportende, Verantwortlicher.
2. Herstellerwarnungen verbindlich zuordnen
Abonnieren Sie die Security Advisories Ihrer Hersteller und die Warnungen des BSI (WID bzw. CERT-Bund) – und legen Sie fest, wer sie liest und innerhalb welcher Frist reagiert wird. Für kritische, aktiv ausgenutzte Lücken an Edge-Geräten sind Tage, nicht Wochen der Maßstab.
3. Patch-Prozess auf Edge-Geräte ausweiten
Firmware-Updates von Firewalls und Gateways gehören in das reguläre Patch-Management – inklusive Wartungsfenster und Rückfallplan. Ist ein Systemhaus zuständig, gehört eine Patch-Frist in den Vertrag.
4. Vor dem Patch auf Kompromittierung prüfen
Bei Lücken, die bereits vor Bekanntwerden ausgenutzt wurden, reicht Patchen allein nicht. Prüfen Sie Logs (idealerweise außerhalb des Geräts in einem SIEM oder Log-Server), nutzen Sie die Prüfwerkzeuge des Herstellers und erneuern Sie im Zweifel Zugangsdaten, Zertifikate und VPN-Schlüssel.
5. Angriffsfläche verkleinern
Verwaltungsoberflächen gehören nicht ins Internet. Beschränken Sie den Admin-Zugriff auf interne Netze oder feste IP-Adressen, schalten Sie nicht benötigte Dienste ab und schützen Sie VPN-Zugänge mit MFA. Geräte ohne Herstellersupport sollten ersetzt werden.
6. Außensicht regelmäßig prüfen
Angreifer scannen das Internet automatisiert nach verwundbaren Versionen. Ein regelmäßiger externer Schwachstellenscan zeigt Ihnen dieselbe Sicht – bevor es andere tun. Wie Sie dabei auch vergessene Systeme finden, beschreibt unser Beitrag zum Angriffsflächen-Management.
Fazit
Die Warnungen vom Oktober 2026 sind kein Sonderfall, sondern Teil eines stabilen Trends: Angreifer gehen dorthin, wo Systeme erreichbar, mächtig und schlecht überwacht sind. Für KMU heißt das nicht, mehr Sicherheitsprodukte zu kaufen, sondern die vorhandenen Edge-Geräte wie kritische Systeme zu behandeln – mit klarer Zuständigkeit, festen Patch-Fristen und regelmäßiger Prüfung von außen. Genau das verlangen NIS2 und ISO 27001 ohnehin.
Quellen: BSI-Cybersicherheitswarnung 2026-297832-1032 (BeyondTrust Remote Support, 15.10.2026); BSI-Sicherheitshinweis 2026-297701-1032 und Cisco Security Advisory zu CVE-2026-76519, zusammengefasst bei digital-magazin.de (16.10.2026); Golem/IT-Sicherheitsnews zur BSI-Warnung SonicWall (15.10.2026); Verizon Data Breach Investigations Report 2025. Stand: 20.10.2026. Dieser Beitrag ersetzt keine Rechtsberatung.
Wissen Sie, welche Ihrer Systeme aus dem Internet angreifbar sind?
Prüfen Sie Ihre Außensicht mit den kostenlosen TSMONDO Check-Tools. Für eine vollständige Bestandsaufnahme Ihrer Firewalls, VPN- und Mail-Gateways bieten wir ein IT-Security-Audit an – Schwachstellen, Maßnahmen und Nachweise verwalten Sie anschließend in unserer NIS2-Manager-Software.
Beratung anfragen