SonicWall und MSP-Tools angegriffen: Checkliste für IT-Dienstleister

Wenn Ihr Unternehmen eine SonicWall-Firewall betreibt oder Sie Ihre IT an einen Managed Service Provider (MSP) auslagern, der sich remote anmeldet, um Ihre Systeme zu patchen und zu sichern, haben Sie diese Woche zwei voneinander unabhängige Gründe für einen Telefonanruf. Beide betreffen Schwachstellen, die Angreifer gerade aktiv ausnutzen, nicht theoretische Risiken in einem Hersteller-Bulletin, das niemand liest. Keine davon erfordert, dass Sie Sicherheitsexperte werden. Sie müssen konkrete Fragen stellen und konkrete Antworten erwarten — Daten, Versionsnummern, Bestätigungen — und keine Beschwichtigungen.

Hier erfahren Sie, was jeweils passiert, sowie eine Checkliste, die Sie kopieren, einfügen und an die für Ihr Netzwerk zuständige Person senden können.

Problem 1: Ihre SonicWall-Firewall (CVE-2026-15409 und CVE-2026-15410)

SonicWall hat am 14. Juli 2026 zwei Schwachstellen offengelegt und gepatcht — doch nach dem eigenen Zeitplan des Unternehmens hatten Angreifer sie bereits etwa drei Wochen vor der öffentlichen Bekanntgabe ausgenutzt. Das bedeutet, dass „jetzt gepatcht“ und „jetzt sicher“ bei einem Gerät, das in diesem Zeitraum dem Internet ausgesetzt war, nicht automatisch dasselbe sind.

Der Bedrohungsakteur, der im Zusammenhang mit dieser Schwachstellenkette am konsequentesten genannt wird, ist INC, eine Ransomware-as-a-Service-Operation, die Forscher von Rapid7 derzeit als eine der weltweit aktivsten Gruppen dieser Art beschreiben (obwohl nicht jeder Angriff unter Ausnutzung dieser Schwachstellen eindeutig INC zugeschrieben wurde — mit ziemlicher Sicherheit sind auch andere opportunistische Angreifer beteiligt). Unabhängig davon berichtete das Sicherheitsunternehmen Huntress von einer schnell voranschreitenden Angriffswelle, bei der innerhalb von weniger als zwei Tagen 30 SonicWall-Kunden kompromittiert wurden. Das ist kein Risiko, das sich langsam entwickelt.

Auch die Vorgeschichte ist relevant: SonicWall legte zuvor einen Vorfall offen, bei dem eine staatlich unterstützte Gruppe Firewall-Konfigurationsdateien von jedem SonicWall-Kunden stahl, der die Cloud-Backup-Funktion des Unternehmens nutzte. Eine gestohlene Konfigurationsdatei kann Zugangsdaten lokaler Konten und VPN-Einstellungen enthalten. Wenn die Konfiguration Ihrer Firewall vor der Eindämmung dieses Vorfalls jemals beim Cloud-Dienst von SonicWall gesichert wurde, macht das Patchen der aktuellen Schwachstellen nicht ungeschehen, was bereits offengelegt wurde — Zugangsdaten aus dieser Konfiguration müssen möglicherweise weiterhin geändert werden.

Checkliste zum Senden an Ihren IT-Dienstleister oder MSP:

• „Welches SonicWall-Modell und welche Firmware-Version verwenden wir derzeit, und behebt diese Version CVE-2026-15409 und CVE-2026-15410?“ (Bitten Sie darum, dies anhand der eigenen Sicherheitsmitteilung von SonicWall zu bestätigen — akzeptieren Sie kein „Wir haben die neueste Version“, ohne eine Versionsnummer.)
• „An welchem Datum haben wir den Patch installiert?“ Wenn dies nach dem 14. Juli 2026 geschah, bitten Sie darum, die Protokolle der vorangegangenen Wochen auf Anzeichen eines unbefugten Zugriffs zu prüfen — unerwartete Administratoranmeldungen, neue lokale Konten oder SSLVPN-Sitzungen von unbekannten IP-Adressen.
• „War unser SSLVPN- oder Fernzugriffsportal während dieses Zeitraums dem Internet ausgesetzt?“ Falls ja, bitten Sie um eine erzwungene Passwortzurücksetzung für jedes Konto, das sich darüber authentifiziert, und nicht nur um einen Patch.
• „Wurde unsere Firewall-Konfiguration jemals beim Cloud-Dienst von SonicWall gesichert, und falls ja: Wurden die Zugangsdaten in dieser Konfigurationsdatei seitdem geändert?“
• „Ist für alle Fernzugriffskonten über die Firewall eine Multi-Faktor-Authentifizierung aktiviert?“ Falls nicht, bitten Sie darum, sie noch diese Woche zu aktivieren.

Problem 2: Das Remote-Management-Tool Ihres MSP (CVE-2026-18577 in N-able N-central)

Dieser Fall ist anders, weil es nicht Ihre eigene Ausstattung ist — sondern ein Tool, das Ihr IT-Dienstleister möglicherweise verwendet, um Dutzende oder Hunderte Kundenunternehmen, möglicherweise auch Ihres, über eine zentrale Konsole zu verwalten. N-able N-central ist eine solche Plattform, und CISA (die U.S. Cybersecurity and Infrastructure Security Agency) hat eine darin enthaltene Schwachstelle — CVE-2026-18577, mit einem Schweregrad von 8.2 von 10 — in seinen Katalog der bekannten, ausgenutzten Schwachstellen aufgenommen, nachdem eine aktive Ausnutzung seit dem 31. Juli 2026 bestätigt worden war. Die Schwachstelle ermöglicht es einem Angreifer Berichten zufolge, vollständigen Administratorzugriff auf die N-central-Konsole selbst zu erlangen.

Das ist wegen dessen relevant, was ein Angreifer von dort aus tun kann. Huntress berichtete, dass erfolgreiche Angriffe von der kompromittierten Konsole aus auf die darüber verwalteten Endgeräte übergriffen — ein Einbruch in das Tool des MSP kann also zu einem Einbruch in Ihre Systeme werden, ohne dass ein Angreifer Sie jemals direkt ins Visier nehmen muss. Huntress stellte außerdem fest, dass Angreifer Cloudflare-Tunnel auf kompromittierten Systemen einrichteten — eine Technik, die ihnen einen dauerhaften, verschlüsselten Rückweg ermöglicht, der für eine Firewall wie gewöhnlicher Webverkehr aussehen kann.

Sie müssen nicht wissen, ob Ihr konkreter Anbieter N-central verwendet. Sie müssen fragen — und zwar umfassender als nur nach diesem einen Produktnamen.

Checkliste zum Senden an Ihren IT-Dienstleister oder MSP:

• „Verwenden Sie N-able N-central oder ein anderes N-able-Produkt zur Verwaltung unserer Systeme?“ Falls ja: „Ist es gegen CVE-2026-18577 gepatcht, und seit welchem Datum?“
• „Haben Sie die Aktivitäten von Administratorkonten und die Zugriffsprotokolle Ihrer Verwaltungskonsole seit dem 31. Juli 2026 auf Vorgänge überprüft, die Sie nicht erklären können?“
• „Haben Sie unsere Systeme gezielt auf unerwartete ausgehende Verbindungen geprüft — insbesondere auf Cloudflare-Tunnel-Prozesse (manchmal als ‚cloudflared‘ angezeigt) oder auf Tunneldomains, die Sie nicht eingerichtet haben?“
• „Wurden neue lokale Administratorkonten, geplante Aufgaben oder Richtlinien für das Remote-Management auf unsere Systeme übertragen, die Sie nicht Ihrem eigenen Team zuordnen können?“
• „Falls Sie N-central nicht verwenden: Welches Remote-Management-Tool verwenden Sie stattdessen, und wurden für dieses Tool kürzlich Schwachstellen in den Katalog der bekannten, ausgenutzten Schwachstellen von CISA aufgenommen?“

Was Sie mit den Antworten tun sollten

Ein guter IT-Dienstleister wird diese Fragen mit Daten und konkreten Angaben beantworten, oft innerhalb eines Tages, weil er diese Informationen bereits kennen oder schnell aus den Protokollen abrufen können sollte. Eine vage Antwort — „Wir haben alles im Griff“, „Unsere Systeme sind sicher“, keine genannten Daten — ist selbst eine nützliche Information: Sie zeigt Ihnen, dass dieses Gespräch erneut, schriftlich und mit einer gesetzten Frist geführt werden muss.

Wenn Sie Ihre SonicWall ohne MSP selbst verwalten, gilt die obige Checkliste auch direkt für Sie — melden Sie sich selbst an der Verwaltungskonsole an, prüfen Sie die Firmware-Version und sehen Sie auf der Sicherheitsmitteilungsseite von SonicWall nach, welche Version beide CVEs behebt.

Keiner dieser Mängel erfordert es, einen Anbieter auszutauschen oder einen Dienstleister zu feuern. Erforderlich ist die Bestätigung, dass die konkrete Lücke geschlossen wurde und dass nichts hindurchgelangt ist, während sie offen war. Stellen Sie die Fragen, besorgen Sie sich die Daten und tragen Sie sich eine Erinnerung in den Kalender ein, um beim nächsten Mal erneut nachzufragen, wenn ein Anbieter etwas als „aktiv ausgenutzt“ offenlegt. Es wird wieder passieren.