Eine Sicherheitslücke im VPN-Gateway ist derzeit einer der häufigsten Wege, über die Angreifer in Firmennetze gelangen. Allein im September und Oktober 2026 wurden bei Citrix NetScaler drei Zero-Day-Lücken aktiv ausgenutzt. Für KMU in Wertheim und im Main-Tauber-Kreis ist das kein Großkonzern-Thema: Auch dort hängt an jeder Firewall mit VPN-Zugang die Frage, wie schnell Updates eingespielt werden.
Was ist im Herbst 2026 passiert?
Mehrere Hersteller von Geräten am Netzwerkrand mussten in kurzer Folge kritische Lücken schließen. Das BSI hat zu Citrix NetScaler am 1. Oktober eine Warnung mit der höchsten Kritikalitätsstufe veröffentlicht. Die Fälle im Überblick:
| Hersteller / Produkt | Was bekannt ist | Aktiv ausgenutzt |
|---|---|---|
| Citrix NetScaler ADC und Gateway | CVE-2026-88771 und CVE-2026-88772, Patch am 27. September; Angreifer installierten Web Shells für dauerhaften Zugang | Ja, seit mindestens Anfang September |
| Citrix NetScaler (SAML) | CVE-2026-88779, Bulletin am 3. Oktober; betrifft Geräte mit SAML-Anmeldung | Ja, von der US-Behörde CISA am 4. Oktober bestätigt |
| Check Point Remote Access VPN | CVE-2026-50751, Umgehung der Passwortanmeldung | Ja, rund einen Monat lang vor dem Patch durch eine Ransomware-Gruppe |
| Cisco Nexus und APIC | Mehrere kritische Lücken, veröffentlicht am 7. und 8. Oktober | Laut Cisco bisher nicht bekannt |
Citrix und Cisco sind im Mittelstand der Region eher selten im Einsatz. Das Muster dahinter betrifft aber jedes Unternehmen, das Mitarbeitende per VPN ins Firmennetz lässt.
Warum gerade das VPN-Gateway angegriffen wird
Ein VPN-Gateway ist das Gerät, das Verbindungen von außen ins Firmennetz annimmt, etwa für Homeoffice oder Außendienst. Es steht per Definition offen im Internet, muss von jedem Ort erreichbar sein und hat Zugriff auf das interne Netz. Für Angreifer ist es deshalb der direkteste Weg hinein, ganz ohne Phishing-Mail oder Klick eines Mitarbeiters.
Immer erreichbar
Ein VPN-Zugang muss rund um die Uhr aus dem Internet erreichbar sein. Automatisierte Scanner finden verwundbare Geräte innerhalb von Stunden nach Bekanntwerden einer Lücke.
Kein Virenscanner
Auf Firewalls und Gateways läuft keine Endpoint-Schutzsoftware. Eine dort abgelegte Web Shell fällt im Alltag niemandem auf.
Patch allein reicht nicht
Wer vor dem Update bereits kompromittiert war, bleibt es auch danach. Bei Citrix wurden Geräte angegriffen, die erst wenige Tage zuvor gepatcht worden waren.
Zugang zum ganzen Netz
Wer das Gateway kontrolliert, sieht Anmeldedaten und kann sich im internen Netz weiterbewegen. Viele Ransomware-Angriffe beginnen genau so.
Die wichtigste Lehre aus dem Citrix-Fall: Ein eingespieltes Update schließt die Lücke, entfernt aber keinen Angreifer, der schon im System ist. Nach kritischen, aktiv ausgenutzten Lücken gehört deshalb immer auch die Prüfung auf Spuren eines Einbruchs dazu.
Wie Sie eine Sicherheitslücke im VPN-Gateway rechtzeitig schließen
Die folgenden Schritte gelten unabhängig vom Hersteller, ob Sophos, Citrix, Check Point oder ein anderes Produkt im Einsatz ist.
Wissen, was am Internet hängt
Eine aktuelle Liste aller Geräte und Dienste, die von außen erreichbar sind: Firewall, VPN, Webmail, Fernwartung, Telefonanlage. Was niemand kennt, wird auch nicht gepatcht.
Herstellerwarnungen abonnieren
Sicherheitsmeldungen des Herstellers und die Warnungen des BSI gehören in ein Postfach, das täglich gelesen wird. Bei aktiv ausgenutzten Lücken zählt jeder Tag.
Updates innerhalb von Tagen einspielen
Für Gateways und Firewalls gilt ein eigener, kürzerer Rhythmus als für Arbeitsplatzrechner. Ein Wartungsfenster am Abend ist meist ausreichend.
Nach dem Patch auf Spuren prüfen
Neue Administrator-Konten, unbekannte Dateien und ungewöhnliche Anmeldungen in den Protokollen kontrollieren. Im Zweifel Zugangsdaten zurücksetzen und das Gerät neu aufsetzen.
Angriffsfläche verkleinern
VPN-Anmeldung nur mit Multi-Faktor-Authentifizierung, Verwaltungsoberfläche nicht aus dem Internet erreichbar, nicht genutzte Dienste abschalten.
Praxisbeispiel aus dem Main-Tauber-Kreis
Eine Steuerkanzlei mit Homeoffice-Arbeitsplätzen nutzt seit Jahren ein VPN über die Firewall. Bei einer Überprüfung zeigt sich: Die Firmware ist zwei Versionen alt, die Verwaltungsoberfläche ist aus dem Internet erreichbar und die VPN-Anmeldung läuft nur mit Passwort. Keine dieser Einstellungen war bewusst gewählt, sie sind aus der Ersteinrichtung übrig geblieben. Mit Update, gesperrtem Admin-Zugang von außen und zweitem Faktor für das VPN war die Angriffsfläche an einem Nachmittag deutlich kleiner.
Was das für Sophos-Kunden bedeutet
Viele Betriebe in Baden-Württemberg setzen Firewalls von Sophos ein. Zu den hier genannten Lücken gehört Sophos nicht. Das Grundproblem ist aber herstellerunabhängig: Auch eine Sophos-Firewall ist nur so sicher wie ihr Update-Stand und ihre Konfiguration. Wie eine regelmäßige Überprüfung abläuft, beschreiben wir im Beitrag zum Sophos Firewall Health Check. Wer noch eine alte Sophos UTM betreibt, findet Hinweise im Artikel zum Ende der Sophos UTM.
Die CoKom GmbH ist Sophos-Partner und betreut Firewalls bei KMU und Arztpraxen in der Region. Dazu gehören das Einspielen von Firmware-Updates und die Kontrolle der Konfiguration.
Häufige Fragen zu Sicherheitslücken im VPN-Gateway
Woran erkenne ich, ob mein VPN-Gateway betroffen ist?
Am Hersteller und an der installierten Firmware-Version. Die Sicherheitsmeldung des Herstellers nennt die betroffenen und die bereinigten Versionen. Ein Vergleich mit dem eigenen Gerät zeigt, ob Handlungsbedarf besteht.
Reicht es, das Update einzuspielen?
Bei Lücken, die bereits aktiv ausgenutzt wurden, nicht immer. Das Update verhindert neue Einbrüche, entfernt aber keine Hintertür, die vorher angelegt wurde. Deshalb gehört eine Prüfung der Protokolle und Konten dazu.
Ist ein VPN überhaupt noch sicher?
Ja, wenn es aktuell gehalten und mit Multi-Faktor-Authentifizierung abgesichert ist. Das Risiko liegt selten im VPN-Prinzip, sondern in veralteter Firmware und offenen Verwaltungszugängen.
Wie schnell sollten Firewall-Updates eingespielt werden?
Bei kritischen Lücken innerhalb weniger Tage, bei bestätigter aktiver Ausnutzung so schnell wie möglich. Für reguläre Updates hat sich ein fester monatlicher Termin bewährt.
Fazit: Eine Sicherheitslücke im VPN-Gateway wartet nicht auf den nächsten Wartungstermin
Die Zero-Day-Welle bei Citrix und die Fälle bei Check Point und Cisco zeigen, dass Angreifer gezielt auf Geräte am Netzwerkrand setzen. Für KMU heißt das: wissen, was am Internet hängt, Updates für Firewall und VPN-Gateway innerhalb von Tagen einspielen und nach kritischen Lücken auch auf Spuren prüfen.
Die CoKom GmbH unterstützt Unternehmen in Wertheim, im Main-Tauber-Kreis und in Baden-Württemberg bei Betrieb und Überprüfung ihrer Firewall- und VPN-Umgebung. Mehr dazu unter IT-Sicherheit für KMU.