Julia Wolf 
Mittwoch, 11. Mai 2026, irgendwo im Homeoffice: Der VPN-Client baut die Verbindung auf. Nichts Ungewöhnliches. Außer dass auf dem Gateway bereits seit Stunden fremder Code läuft – und das Unternehmensnetz damit faktisch offen steht. Zero-Day VPN-Schwachstellen sind kein theoretisches Konstrukt mehr. Sie sind aktiver Angriffsvektor, Ransomware-Einfallstor und stille Katastrophe in einem.
Das Szenario ist nicht neu, aber es verschärft sich: VPN-Gateways gelten als Zugangshüter zum Unternehmensnetz. Im Homeoffice-Zeitalter sind sie der einzige Pförtner zwischen dem chaotischen Internet und der internen Infrastruktur. Plot Twist: Genau dieser Pförtner ist zum bevorzugten Angriffsziel geworden.
Aktuelle Vorfälle belegen das eindrücklich. Ivanti Connect Secure, weit verbreitet in deutschen Behörden und mittelständischen Unternehmen, wurde ab Mitte Dezember 2024 durch eine Zero-Day-Schwachstelle aktiv kompromittiert – bevor Ivanti überhaupt einen Patch veröffentlichte. Das BSI veröffentlichte am 13. Januar 2025 eine Cybersicherheitswarnung zu CVE-2025-0282, einem Stack-basierten Pufferüberlauf mit CVSS-Score 9,0 – klassifiziert als kritisch.
Was diese Code-Execution-Lücke so gefährlich macht: Angreifer benötigten keine Authentifizierung. Kein Passwort, kein Konto, kein Social Engineering. Einfach ein manipuliertes Paket ans Gateway – und der eigene Code läuft. Das BSI bestätigte aktive Ausnutzung bereits vor Patch-Verfügbarkeit. Damit war CVE-2025-0282 ein echter Zero-Day VPN-Vorfall, nicht nur eine theoretische Bewertung.
Das Pikante daran: Mandiant und der Verfassungsschutz Baden-Württemberg ordneten die Angriffe dem mutmaßlich chinesisch agierenden Akteur UNC5337 zu – ausdrücklich als fachliche Einschätzung, nicht als abschließende Attribution. Hochprofessionell, persistent, mit gezielter Opferauswahl. Behörden, kritische Infrastruktur, Industrieunternehmen.
Ein VPN-Gateway ist per Definition vom Internet aus erreichbar. Anders kann es seinen Job nicht erledigen. Genau das macht es zum exponierten Angriffsziel. Bei CVE-2025-0282 reichte ein präpariertes Netzwerkpaket, um beliebigen Code mit erhöhten Rechten auf dem Ivanti-System auszuführen. Code-Execution auf Gateway-Ebene bedeutet: Anmeldedaten im Klartext abgreifen, LDAP-Queries ins Active Directory schicken, laterale Bewegung ins interne Netz vorbereiten.
Mandiant dokumentierte bei befallenen Systemen persistente Malware, die selbst Firmware-Upgrades überlebte. Wer also dachte, ein Update lösche das Problem, lag falsch. Das ist kein Patching-Problem. Das ist ein Architekturproblem.
Parallel dazu: SonicWall Gen-7-Firewalls mit aktivierter SSL-VPN-Funktion gerieten ab Juli/August 2025 unter massiven Beschuss. Die Ransomware-Gruppe Akira nutzte SonicWall-VPN-Zugänge als Einstiegspunkt – bei Geräten, die nach damaligem Kenntnisstand vollständig gepatcht waren. Frühe Berichte sprachen von einer mutmaßlichen Zero-Day-Lücke. Das BSI stellte in seiner Cybersicherheitswarnung vom 7. August 2025 klar: Mit hoher Wahrscheinlichkeit war keine neue Zero-Day-Schwachstelle ursächlich, sondern die Ausnutzung bekannter Lücken kombiniert mit unsicheren Konfigurationen – exponierte Management-Interfaces, fehlende MFA, schwache Zugangsdaten.
Was bleibt, ist eine ernüchternde Botschaft: Ob echter Zero-Day oder Konfigurationsfehler – das Ergebnis ist identisch. Ransomware im Netz. Und niemand hat vorher Alarm geschlagen.
Dass Zero-Day-Schwachstellen ernst genommen werden, zeigte ein Vorfall aus dem März 2026 besonders plastisch. In der Nacht zum 22. März veranlasste das BKA, dass Polizeibeamte betroffene Unternehmen telefonisch und teils persönlich warnten – Hausbesuche bei Geschäftsführern und Administratoren mitten in der Nacht. Anlass: eine Deserialisierungsschwachstelle in PTC Windchill und FlexPLM (CVE-2026-4681) mit einem BSI-CVSS-Score von 10,0.
Wenig überraschend: Nicht alle kontaktierten Unternehmen verwendeten die betroffene Software überhaupt. Aber die Grundidee hinter dieser ungewöhnlichen Aktion war richtig. Wer in Deutschland möglicherweise über tausend potenziell betroffene Kunden hat und eine kritische Schwachstelle, die Code-Execution ohne Authentifizierung erlaubt, der darf nicht auf automatisches Patching-Bewusstsein vertrauen.
Der Clou an dieser Geschichte: Zum Zeitpunkt der polizeilichen Warnungen gab es keine bestätigten Massenangriffe, keinen Eintrag im CISA KEV-Katalog. Die Maßnahme war präventiv. Genau das ist der richtige Ansatz – auch wenn nächtliche Polizeibesuche wegen Software-Lücken ein gewisses Gallows-Humor-Potenzial haben. Lieber ein zu früher Alarm als ein zu später.
Das BSI veröffentlicht regelmäßig solche Warnungen, und der jährliche BSI-Lagebericht zur IT-Sicherheit in Deutschland dokumentiert die Häufung kritischer Vorfälle rund um VPN-Gateways und Ransomware-Angriffe auf Unternehmensinfrastrukturen. Die Lektüre ist keine Freizeitbeschäftigung. Sie ist Pflicht für CISOs.
Hier wird ein weitverbreitetes Missverständnis brisant: Viele Organisationen glauben, dass ein VPN-Tunnel Sicherheit bedeutet. Der Tunnel steht – also ist alles gut. Das ist falsch. Ein klassischer VPN-Zugang gewährt nach erfolgreicher Authentifizierung oft breiten Netzzugang. Wer drin ist, ist drin. Lateral movement inklusive.
Eine Zero-Trust-Strategie funktioniert anders. Identität, Gerätezustand und Kontext werden kontinuierlich geprüft – nicht nur beim Login. Zugriffe werden auf einzelne Anwendungen oder Dienste beschränkt, nicht auf das gesamte Netz. Das Prinzip: niemals automatisch vertrauen, immer verifizieren. Wenn ein VPN-Gateway kompromittiert wird, soll der Schaden auf das beschränkt bleiben, was der Angreifer über diesen Zugang sehen kann – und das sollte wenig sein.
Meiner Einschätzung nach ist genau dieser Architekturwechsel das Kernproblem. Nicht das fehlende Patch. Das Patch ist Symptombehandlung. Solange ein einziges kompromittiertes Gateway den Weg zu Domaincontrollern, Fileservern und Produktionssystemen öffnet, ist Zero-Day VPN-Ausnutzung immer ein Game-Over-Szenario. Zero-Trust Network Access (ZTNA) als Ergänzung oder Ablösung klassischer VPN-Architekturen ist keine Modeerscheinung – es ist die logische Konsequenz aus einer Bedrohungslage, die genau diese Schwachstellen systematisch ausnutzt.
Das BSI betont in seinen Warnungen zu Ivanti und SonicWall denselben Punkt: VPN-Gateways gehören in segmentierte Netze, nicht flach ins Produktionsnetz. MFA ist Pflicht. Strikte Rollen- und Zugriffskonzepte sind keine Option. Und ein Management-Interface, das aus dem Internet erreichbar ist, ist kein Management-Interface – das ist eine Einladung.
Stakkato, weil die Lage es erfordert. Erstens: Inventur. Welche VPN-Gateways laufen im Unternehmen, welche Softwareversionen, welche Konfigurationen? Ivanti Connect Secure, SonicWall Gen 7, Fortinet, Citrix – alle standen in den letzten Monaten mit kritischen Lücken in BSI-Warnungen. Wer nicht weiß, was er betreibt, kann nicht patchen.
Zweitens: Patch-Status prüfen und dokumentieren. CVE-2025-0282 in Ivanti Connect Secure hatte ab dem 8. Januar 2025 einen Hersteller-Patch. Wer den bis heute nicht eingespielt hat, hat ein gravierendes Problem. Gleiches gilt für alle weiteren Schwachstellen aus BSI-Warnungen der letzten zwölf Monate.
Drittens: IOC-Abgleich. Mandiant und das BSI haben Indicators of Compromise für die Ivanti-Kompromittierungen veröffentlicht. Diese Indikatoren müssen gegen eigene Logs gehalten werden – auch wenn das Gateway inzwischen gepatcht ist. Persistente Malware überlebt Updates. Wer nicht aktiv nach Kompromittierungszeichen sucht, findet sie nicht.
Viertens: MFA auf allen Remote-Zugängen, ohne Ausnahme. Admin-Accounts inklusive. Fünftens: Management-Interfaces isolieren. Kein exponiertes Admin-Panel, das aus dem Internet erreichbar ist. Sechstens: Netzwerksegmentierung prüfen. Was kann ein Angreifer sehen und tun, wenn er das VPN-Gateway kontrolliert? Wenn die Antwort „fast alles“ lautet, ist das keine Sicherheitsarchitektur – das ist ein Wunschdenken.
Und siebtens, das wird gern vergessen: Notfallplan für den VPN-Ausfall. Was passiert, wenn das Gateway kurzfristig abgeschaltet werden muss? Wer hat alternative Zugangswege? Das BSI empfahl im SonicWall-Kontext explizit die temporäre Deaktivierung von SSL-VPN, falls nicht zwingend erforderlich. Wer darauf nicht vorbereitet ist, hat ein operatives Risiko, das nichts mit der Schwachstelle selbst zu tun hat.
Während Großkonzerne häufig dedizierte Security-Operations-Center betreiben und Patches innerhalb enger Zeitfenster einspielen, sieht die Realität im deutschen Mittelstand und in vielen Behörden anders aus. Oft kümmert sich eine einzelne Person oder ein kleines Team nebenbei um die Netzwerksicherheit – neben dem laufenden Betrieb, Helpdesk-Anfragen und allen anderen Alltagsaufgaben. Für solche Strukturen ist ein Zero-Day VPN-Vorfall nicht nur technisch kritisch, sondern auch personell kaum beherrschbar.
Das hat konkrete Folgen: Wenn ein Ivanti-Gateway kompromittiert wird und das zuständige IT-Team erst Stunden später davon erfährt, hat der Angreifer bereits ausreichend Zeit, sich lateral zu bewegen, Backups zu identifizieren und Ransomware zu positionieren. Die tatsächliche Verschlüsselung oder Exfiltration erfolgt dann häufig erst Tage oder Wochen später – zu einem Zeitpunkt, an dem das Zeitfenster für eine saubere Reaktion längst geschlossen ist.
Besonders heikel ist die Situation in Kommunalverwaltungen und kleineren Behörden. Sie nutzen dieselbe VPN-Software wie Konzerne, haben aber selten Verträge mit Incident-Response-Dienstleistern oder ein vorbereitetes Krisenteam. Wenn das Gateway fällt, fällt unter Umständen auch der Zugang zu Einwohnermeldeamt, Standesamt und Stadtkasse – gleichzeitig. Das ist kein hypothetisches Szenario: Vergleichbare Vorfälle haben in deutschen Kommunen in den letzten Jahren mehrfach zu wochenlangen Betriebsausfällen geführt.
Eine praktische Gegenmaßnahme für kleinere IT-Teams ist die konsequente Nutzung von Herstellerbenachrichtigungen und BSI-Warnlisten als automatisierten Feed. Wer sich für BSI-Meldungen per E-Mail einträgt und diese tatsächlich liest und priorisiert, hat einen strukturellen Vorteil gegenüber reaktivem Vorgehen. Ergänzend empfiehlt sich die Teilnahme an branchenspezifischen CERTs oder Informationsverbünden, in denen Warnmeldungen und Erfahrungswerte frühzeitig geteilt werden.
Ein Aspekt, der in der öffentlichen Debatte um Zero-Day VPN-Lücken regelmäßig zu kurz kommt: Was tun IT-Teams, nachdem der Patch eingespielt ist? Die intuitive Antwort lautet – aufatmen und weitermachen. Die richtige Antwort lautet anders.
Wie die Ivanti-Vorfälle zeigen, kann persistente Malware auch nach einem Firmware-Update auf dem System verbleiben. Das bedeutet: Ein gepatchtes System ist nicht automatisch ein sauberes System. Wer nicht aktiv forensisch prüft, ob das Gateway vor dem Patch kompromittiert war, kann nicht sicher sein, dass kein Angreifer noch im Netz ist. Die Metapher ist etwas drastisch, aber zutreffend: Man tauscht das Schloss aus, ohne zu prüfen, ob jemand bereits einen Nachschlüssel angefertigt hat.
Für betroffene Systeme empfehlen BSI und Mandiant daher eine vollständige Neuinstallation aus vertrauenswürdigen Quellen anstelle eines reinen Updates – kombiniert mit einer Überprüfung aller Zugangsdaten, die über das kompromittierte Gateway geflossen sein könnten. Active-Directory-Accounts, Service-Accounts, VPN-Nutzer: Alle Passwörter müssen als potenziell kompromittiert gelten, bis das Gegenteil bewiesen ist. Das ist arbeitsintensiv. Aber der Aufwand ist deutlich geringer als die Alternative – ein unentdeckter Angreifer, der Monate später Ransomware ausrollt.
Ein weiterer Punkt betrifft das Vertrauen in die Infrastruktur insgesamt. Wenn ein Gateway kompromittiert war und Anmeldedaten abgegriffen wurden, können Angreifer diese Daten für spätere Angriffe nutzen – auch nachdem das ursprüngliche Einfallstor geschlossen wurde. Credential-Stuffing gegen andere Dienste, gezielte Phishing-Kampagnen gegen Mitarbeitende mit bekannten Zugangsdaten, oder schlicht das geduldige Warten auf eine neue Gelegenheit. Zero-Day VPN-Code-Execution ist oft nicht das Ende eines Angriffs – es ist der Beginn einer längeren Operation.
Zertifikatswarnungen beim VPN-Client sind kein Grund zum Wegklicken. Sie sind ein potenzielles Alarmsignal. Dasselbe gilt für häufige Verbindungsabbrüche, unerwartete Authentifizierungsaufforderungen oder einen VPN-Client, der sich plötzlich anders verhält als gewohnt. Wer solche Auffälligkeiten bemerkt, meldet das sofort der IT – nicht nächste Woche, nicht nach dem nächsten Meeting. Jetzt.
Private Geräte für den VPN-Zugang sind ein Risiko. Sie unterliegen nicht den Sicherheitsrichtlinien des Unternehmens, werden seltener gepatcht und haben oft keinen Unternehmens-Endpoint-Schutz. MFA nervt. Aber MFA ist der Unterschied zwischen einem Angreifer mit gestohlenen Zugangsdaten und einem Angreifer mit Netzwerkzugang. Dieser Unterschied ist erheblich.
Öffentliche WLANs und VPN-Nutzung im Ausland sind nicht grundsätzlich verboten – aber das Risikoprofil verändert sich. Wer aus einem Café-WLAN heraus auf ein kompromittiertes VPN-Gateway zugreift, hat weniger Kontrolle als im Heimnetz. Digitale Zertifikate, die der VPN-Client beim Verbindungsaufbau präsentiert, sind die technische Grundlage für Vertrauen in diese Verbindung – und genau deshalb signalisieren Zertifikatsfehler etwas Konkretes.
Ein letzter Punkt, der in der Berichterstattung regelmäßig verschwimmt: Die Zuordnung von Angriffen zu staatlichen Akteuren ist fast nie abschließend gesichert, wenn sie publik wird. Der Verfassungsschutz Baden-Württemberg verweist auf Mandiant und die Gruppe UNC5337 als mutmaßlich chinesischen Akteur hinter den Ivanti-Exploits – und betont dabei ausdrücklich, dass eine abschließende Attribution zum Zeitpunkt der Veröffentlichung nicht möglich war.
Das ist wichtig. Wer aus Pressemitteilungen ableitet, dass „China Ivanti-Gateways hackt“, vereinfacht so stark, dass die Aussage irreführend wird. Technische Indikatoren, Taktiken und Werkzeuge können auf bekannte Gruppen hindeuten – aber Cyberangriffe lassen sich gezielt verschleiern. Attribution braucht Zeit, Ressourcen und manchmal geheimdienstliche Informationen, die nicht öffentlich sind.
Was sicher ist: Jemand hat diese Zero-Day-Lücken aktiv ausgenutzt, bevor Patches verfügbar waren. Jemand hatte die Fähigkeit, persistente Malware zu installieren, die Firmware-Updates überlebt. Das beschreibt ein Angreifer-Niveau, das sich nicht mit opportunistischen Cyberkriminellen deckt. Ob das staatlich gesteuert ist oder eine hochprofessionelle kriminelle Gruppe – für die Verteidigung ändert das wenig. Die Angriffsvektoren sind dieselben. Die Gegenmaßnahmen sind dieselben.
Meiner Meinung nach ist das der eigentliche Kern der Debatte: Wer angreift, ist zweitrangig. Dass angegriffen wird – mit dieser Qualität, dieser Persistenz, auf genau diese Schwachstellen im Homeoffice-Zugang – das ist die brisant Lage, auf die IT-Teams und Leitungsebenen reagieren müssen. Das BSI stellt aktuelle Informationen zur Cybersicherheitslage kontinuierlich bereit – das ist kein Alibi-Angebot, sondern operativ verwertbares Material.
Zero-Day VPN-Lücken sind kein Randphänomen, das nur globale Konzerne trifft. CVE-2025-0282 in Ivanti Connect Secure, die Akira-Kampagne gegen SonicWall, der BKA-Einsatz wegen PTC Windchill – das sind Vorfälle, die zeigen, dass Angreifer systematisch auf die schwächsten Stellen im Homeoffice-Zugangssystem zielen. Code-Execution auf Gateway-Ebene, laterale Bewegung im Netz, Ransomware als Endstufe. Das Muster ist bekannt. Die Frage ist, ob Ihre Infrastruktur darauf vorbereitet ist.
Haben Sie zuletzt geprüft, was ein Angreifer sehen würde, der Ihr VPN-Gateway übernimmt – und wäre das für Ihr Unternehmen akzeptabel?
