Executive Threat Dashboard

Ein kritischer Zero-Day in Ivanti Connect Secure (CVE-2026-1148, CVSS 10.0) ermöglicht unauthentifizierte Remote Code Execution. Das BSI stuft die Schwachstelle als aktiv ausgenutzt ein. Betroffen sind Ivanti Connect Secure < 22.8.2 und Policy Secure < 22.7.3. CISA hat eine Emergency Directive herausgegeben.

Ivanti-Produkte sind im DACH-Raum als Remote-Access-Lösung weit verbreitet – besonders in regulierten Branchen und bei Unternehmen mit hybriden Arbeitsmodellen. Diese Schwachstelle ist das klassische Gateway für Ransomware-Gruppen: unauthentifiziert, volles RCE, kein Nutzerinteraktion nötig. Wer nicht innerhalb von 24h patcht, läuft aktiv in ein dokumentiertes Risiko.

Ivanti Connect Secure und Policy Secure sofort auf aktuelle Versionen patchen. Sofern Patching nicht binnen 24h möglich: Ivanti-Systeme vom externen Zugang isolieren, alle aktiven Sessions invalidieren und forensischen Snapshot anlegen. Anschließend Patchstatus dokumentieren.

In der ersten Aprilwoche wurden drei bestätigte Supply-Chain-Kompromittierungen bei deutschen Softwareanbietern bekannt. Angreifer injizierten Schadcode in Update-Mechanismen, der bei Endkunden ausgeführt wurde. Betroffen sind geschätzt mehrere hundert nachgelagerte Unternehmen im DACH-Raum.

Supply-Chain-Angriffe sind das am schnellsten wachsende Angriffsmuster im DACH-Raum – und das am schwersten zu verteidigene. Die Angreifer wissen, dass kleinere Softwareanbieter im Vergleich zu deren Endkunden deutlich schwächere Security-Kontrollen haben. Der Weg ins Zielunternehmen führt damit über den vertrauenswürdigen Lieferanten.

Softwarelieferkette auditieren: Welche Drittanbieter haben automatischen Update-Zugriff auf Ihre Systeme? Software-Bill-of-Materials (SBOM) anfordern. Privilegierte Drittanbieter-Zugriffe auf Minimum reduzieren und Audit-Logging aktivieren.

Cisco veröffentlichte einen Patch für CVE-2026-1087 in Cisco ASA und Firepower Threat Defense (FTD). Die Schwachstelle erlaubt authentifizierten Angreifern mit geringen Rechten, vollständige Firewall-Policies zu umgehen. Staatlich gesteuerte APT-Gruppen haben die Schwachstelle nach BSI-Angaben bereits aktiv ausgenutzt.

Cisco ASA ist in der DACH-Unternehmensinfrastruktur allgegenwärtig – als Perimeter-Firewall, als VPN-Konzentrator, in Produktionsnetzen. Ein Firewall-Bypass durch einen bereits kompromittierten Insider oder über initial access via Phishing ist ein Worst-Case-Szenario für Network Segmentation als Defense-in-Depth-Maßnahme.

Cisco Security Advisory cisco-sa-asa-ftd-2026-1087 sofort umsetzen. Priorität auf Systeme mit externer Exposition. Change Management für Security-Patches temporär priorisieren. Netzwerksegmentierung als unabhängige Kontrolle überprüfen.

Die BaFin hat angekündigt, ab Q2 2026 erste formelle DORA-Prüfungen bei beaufsichtigten Finanzunternehmen durchzuführen. Schwerpunkte sind ICT-Risikomanagement, Incident-Meldepflichten und Third-Party-Risk-Management. Unternehmen ohne dokumentiertes DORA-Framework riskieren Bußgelder bis zu 1% des weltweiten Jahresumsatzes.

Viele Finanzunternehmen im DACH-Raum haben DORA-Projekte gestartet, aber noch nicht abgeschlossen. Der entscheidende Unterschied bei BaFin-Prüfungen ist nicht, ob Sie DORA umgesetzt haben – sondern ob Sie es nachweisen können. Dokumentation, auditierbare Prozesse und DORA-konforme Drittanbieterverträge sind die kritischen Lücken, die wir regelmäßig sehen.

DORA-Readiness-Gap-Assessment durchführen. Schwerpunkte: ICT-Risikoregister, Incident-Klassifizierungsmatrix und Register of Information für IKT-Drittdienstleister. Frühzeitig mit Compliance-Team auf BaFin-Prüfungslogik ausrichten.

In den letzten Wochen führe ich auffällig viele Gespräche mit Geschäftsführern, die dasselbe sagen: „Das macht meine IT." Wenn es um NIS2 geht. Wenn es um Lieferkettensicherheit geht. Wenn es um Incident Response geht. Und jedes Mal denke ich: Das ist das eigentliche Risiko.

NIS2 ist kein Technik-Gesetz. Es ist ein Governance-Gesetz. Es regelt, wer persönlich haftet, wenn ein Unternehmen seiner Sorgfaltspflicht nicht nachkommt – und das ist nicht der IT-Leiter. Die erste Welle der BSI-Bußgeldverfahren, die wir gerade sehen, richtet sich gezielt gegen Unternehmen, bei denen die Geschäftsführung nachweislich keine Kenntnis von den eigenen Sicherheitsprozessen hatte. Das ist keine Fahrlässigkeit. Das ist Gleichgültigkeit vor dem Gesetz.

Meine Empfehlung für den März: Setzen Sie sich mit Ihrer IT zusammen und beantworten Sie drei Fragen schriftlich: (1) Was würde in unserem Unternehmen passieren, wenn wir morgen einen Ransomware-Angriff erleben? (2) Wer ist verantwortlich, das BSI zu informieren, und in welchem Zeitfenster? (3) Können wir das belegen? Wenn Sie auf eine dieser Fragen keine klare Antwort haben – sprechen Sie mit uns.