Fernwartungssoftware absichern: Was der BeyondTrust-Zero-Day für KMU bedeutet
Fernwartungssoftware ist das Werkzeug, mit dem IT-Abteilung und IT-Dienstleister täglich auf Ihre Rechner und Server zugreifen. Genau deshalb ist sie für Angreifer so wertvoll. Im Oktober 2026 wurde bekannt, dass eine kritische Lücke in BeyondTrust Remote Support seit mindestens August aktiv ausgenutzt wird. Der Fall betrifft nicht nur Kunden dieses Herstellers – er zeigt, warum jedes Fernwartungswerkzeug in die Risikobetrachtung nach NIS2 und ISO 27001 gehört.
Was ist passiert?
Am 15. Oktober 2026 veröffentlichte BeyondTrust das Sicherheitsbulletin BT26-05 zu CVE-2026-102764. Die Schwachstelle steckt in einer internen Nachrichtenkomponente von BeyondTrust Remote Support (früher Bomgar): Die Herkunft von Nachrichten wird nicht ausreichend geprüft. Ein Angreifer kann dadurch über das Netzwerk und ohne Anmeldung Dateioperationen auf der Appliance auslösen. Betroffen sind alle selbst betriebenen Versionen bis einschließlich 26.2.3. Für die unterstützten Versionen 24.3.1 bis 26.2.3 gibt es den Patch BT26-05-RS; ältere Versionen müssen zuerst aktualisiert werden. Die SaaS-Instanzen hat der Hersteller nach eigenen Angaben bereits Anfang Oktober gepatcht.
Brisant ist der Zeitraum davor: Nach Angaben von BeyondTrust und Googles Threat Intelligence Group wurde die Lücke seit mindestens Ende August 2026 ausgenutzt – also rund sechs Wochen, bevor ein Patch existierte. Die US-Behörde CISA nahm die Schwachstelle am 16. Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) auf, das BSI gab am selben Tag eine Warnung heraus. Google und BeyondTrust sehen Hinweise auf eine staatsnahe Gruppe aus China; BSI und CISA haben keinen Akteur offiziell benannt.
Patchen allein reicht nicht
Wer eine verwundbare Appliance vor dem Patch aus dem Internet erreichbar betrieben hat, muss davon ausgehen, dass sie kompromittiert sein kann. Ein Update entfernt keine bereits platzierte Webshell und macht keine abgeflossenen Zugangsdaten ungültig. Die Behörden empfehlen deshalb, Logs bis August zurück zu prüfen und bei Auffälligkeiten die Appliance zu isolieren, neu aufzusetzen und alle dort hinterlegten Zugangsdaten zu wechseln.
Warum Fernwartungssoftware ein Hochrisiko-System ist
Ein Fernwartungsserver ist für Angreifer so etwas wie ein Generalschlüssel. Er hat per Definition Zugriff auf viele Endgeräte, oft mit administrativen Rechten. Häufig sind dort Zugangsdaten hinterlegt, die bei Sitzungen automatisch eingefügt werden. Und der Datenverkehr fällt im Netzwerk nicht auf, weil er zum normalen Betrieb gehört. Wer diesen Server übernimmt, braucht keine Phishing-Mail und keine Malware auf dem Client – er arbeitet mit den Werkzeugen der IT selbst.
Das Muster ist nicht neu. Auch andere Fernwartungs- und Fernzugriffsprodukte waren in den vergangenen Jahren immer wieder Ziel von Massenausnutzung, ebenso wie Firewalls und VPN-Gateways. Gemeinsam ist allen: Die Systeme stehen am Rand des Netzes, sind aus dem Internet erreichbar und werden seltener aktualisiert als Arbeitsplatzrechner.
Der blinde Fleck: Fernwartung durch Dienstleister
Viele KMU betreiben gar keinen eigenen Fernwartungsserver. Sie wissen deshalb oft nicht, dass auf ihren Rechnern ein Agent ihres IT-Dienstleisters, eines Softwareherstellers oder eines Maschinenlieferanten läuft. Das Risiko liegt dann in der Infrastruktur des Dienstleisters – die Folgen tragen Sie. Wird der Dienstleister kompromittiert, sind alle seine Kunden gleichzeitig erreichbar. Das ist ein klassisches Lieferketten-Risiko.
Was NIS2 und ISO 27001 dazu verlangen
Für Unternehmen im Anwendungsbereich von NIS2 verlangt § 30 BSIG unter anderem die Behandlung von Schwachstellen, Sicherheit in der Lieferkette, Zugriffskontrolle und den Einsatz von Multi-Faktor-Authentifizierung. Fernwartung berührt alle vier Punkte. Die Geschäftsleitung muss diese Maßnahmen billigen und ihre Umsetzung überwachen. Wird ein Vorfall über ein Fernwartungswerkzeug erheblich, greifen zudem die Meldepflichten an das BSI.
In ISO 27001 sind vor allem die Controls A.5.19 bis A.5.22 (Lieferantenbeziehungen), A.8.2 (privilegierte Zugriffsrechte), A.8.8 (Management technischer Schwachstellen) und A.8.15 (Protokollierung) einschlägig. Ein Auditor wird fragen: Welche Fernwartungswege gibt es? Wer darf sie nutzen? Wie werden Sitzungen protokolliert? Und wie stellen Sie sicher, dass Ihr Dienstleister sein Werkzeug aktuell hält?
Sieben Maßnahmen für KMU
1. Alle Fernzugriffswege erfassen
Erstellen Sie eine Liste aller Fernwartungsprodukte und -agenten im Unternehmen – eigene und die von Dienstleistern, Softwareherstellern und Maschinenlieferanten. Ein interner Schwachstellenscan und die Softwareinventur der Endgeräte zeigen auch Agenten, die in keiner Liste stehen.
2. Erreichbarkeit aus dem Internet minimieren
Administrations- und Supportoberflächen gehören nicht offen ins Internet. Beschränken Sie den Zugriff auf bekannte Netze oder setzen Sie ein vorgeschaltetes Gateway ein. Prüfen Sie Ihre Außensicht regelmäßig – etwa mit den kostenlosen TSMONDO Check-Tools.
3. Patches für Randsysteme priorisieren
Für Systeme, die aus dem Internet erreichbar sind, gelten kürzere Fristen als für den Rest. Legen Sie das in Ihrem Patch-Management fest und abonnieren Sie die Sicherheitsmeldungen der eingesetzten Hersteller.
4. Starke Authentifizierung und Freigabe pro Sitzung
Jeder Fernzugriff braucht Multi-Faktor-Authentifizierung. Unbeaufsichtigter Dauerzugriff sollte die Ausnahme sein. Wo möglich, gibt ein Mitarbeiter jede Sitzung aktiv frei. Prüfen Sie nach einem Vorfall auch, ob neue MFA-Methoden registriert wurden.
5. Hinterlegte Zugangsdaten reduzieren
Je weniger privilegierte Passwörter im Fernwartungswerkzeug gespeichert sind, desto kleiner der Schaden bei einer Kompromittierung. Wie Sie administrative Konten trennen und begrenzen, beschreibt unser Beitrag zu Privileged Access Management.
6. Sitzungen protokollieren und auswerten
Leiten Sie Anmelde- und Sitzungsereignisse an eine zentrale Protokollierung oder ein SIEM weiter. Ungewöhnliche Uhrzeiten, neue Konten oder Sitzungen auf Server, die normalerweise niemand anfasst, sind Warnsignale.
7. Dienstleister vertraglich einbinden
Fragen Sie Ihren IT-Dienstleister schriftlich: Welches Fernwartungsprodukt nutzt er, war er von CVE-2026-102764 betroffen, und wann wurde gepatcht? Regeln Sie im Vertrag Patchfristen, MFA-Pflicht, Protokollierung und eine Informationspflicht bei Sicherheitsvorfällen. Für den Ernstfall gehört der Fernwartungszugang in Ihren Notfallplan: Wer kann ihn sofort sperren?
Fazit
Der BeyondTrust-Fall ist kein Einzelereignis, sondern ein Lehrstück: Ein Werkzeug, das der Sicherheit und dem Betrieb dient, wurde wochenlang unbemerkt zum Einfallstor. Für KMU ist die wichtigste Frage nicht, welches Produkt sie einsetzen, sondern ob sie überhaupt wissen, wer auf welchem Weg aus der Ferne auf ihre Systeme zugreifen kann. Wer diese Übersicht hat, Randsysteme schnell patcht und Dienstleister in die Pflicht nimmt, erfüllt einen wesentlichen Teil der Anforderungen aus NIS2 und ISO 27001.
Quellen: BeyondTrust Security Advisory BT26-05 (15.10.2026); BSI-Warnung vom 16.10.2026; CISA Known Exploited Vulnerabilities Catalog (16.10.2026); Canadian Centre for Cyber Security, Alert AL26-025; Rapid7, Analyse zu CVE-2026-102764. Stand: 29.10.2026. Dieser Beitrag ersetzt keine Rechtsberatung.
Wissen Sie, wer aus der Ferne auf Ihre Systeme zugreift?
Prüfen Sie Ihre Außensicht mit den kostenlosen TSMONDO Check-Tools und finden Sie verwundbare Systeme mit unserem Schwachstellenscan. Bei Bestandsaufnahme, Dienstleisterverträgen und der Absicherung Ihrer Fernwartung beraten wir Sie gern.
Beratung anfragen