Cisco Firewall VPN-Lücke im Visier: Aktive Angriffe bestätigt
Cisco patcht eine kritische VPN-Schwachstelle in ASA und FTD Firewalls. CISA bestätigt: Angreifer exploitieren die Lücke bereits aktiv. Deutsche Unternehmen sollten sofort handeln.
Die Cybersecurity and Infrastructure Security Agency (CISA) hat am Donnerstag eine kritische Sicherheitslücke in Ciscos Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD) Software auf ihre Liste der Known Exploited Vulnerabilities (KEV) aufgenommen — ein Signal, dass Angreifer die Schwachstelle bereits im produktiven Umfeld ausnutzen. Cisco selbst hatte zuvor Patches bereitgestellt, um die High-Severity-Flaw zu beheben, die es Angreifern mit wenig Aufwand ermöglicht, betroffene Firewalls zum Absturz zu bringen.
Laut The Hacker News handelt es sich um eine Denial-of-Service-Schwachstelle im VPN-Modul der beiden Firewall-Produktlinien. Die Lücke ermöglicht es Angreifern, speziell präparierte Netzwerk-Pakete an den SSL-VPN-Zugangsport zu senden und dadurch den Firewall-Prozess zum Abstürz zu bringen. Der genaue Auslöser liegt in der Verarbeitung bestimmter VPN-Authentifizierungsdaten — Angreifer benötigen keine Anmeldedaten und müssen nicht authentifiziert sein, um die Flaw auszunutzen. Das bedeutet, dass jeder mit Netzwerkzugriff auf den VPN-Port die Attacke starten kann.
Wie Heise Security berichtet, sind mehrere Versionen der ASA- und FTD-Software betroffen. Cisco hat für diese Plattformen bereits Patches zum Download bereitgestellt. Die Patches adressieren jedoch nicht nur diese VPN-Lücke, sondern auch andere Sicherheitsprobleme in den Firewall-Produkten. Unternehmen müssen die Updates manuell einspielen — es gibt keine automatische Verteilung wie beispielsweise bei Windows-Systemen. Das bedeutet, dass zwischen Patch-Verfügbarkeit und tatsächlicher Behebung in vielen Organisationen Tage oder Wochen vergehen können, in denen die Lücke ausnutzbar bleibt.
Warum für DACH relevant
Im deutschsprachigen Raum setzen tausende Mittelstands- und Großunternehmen Cisco-Firewalls ein — insbesondere in kritischen Infrastrukturen und regulierten Branchen wie Finanz- und Gesundheitswesen. Diese Lücke ist besonders brisant, weil sie direkt den VPN-Zugang betrifft, über den Mitarbeiter ins Firmennetzwerk gelangen. Ein erfolgreicher DoS-Angriff bedeutet, dass Remote-Arbeiter plötzlich nicht mehr in die Firma kommen und produktive Systeme nicht mehr erreichbar sind. Für Organisationen, die auf hybrides Arbeiten setzen, ist das ein erhebliches Verfügbarkeitsrisiko.
Unter der EU-Datenschutzgrundverordnung (DSGVO) müssen Unternehmen technische und organisatorische Maßnahmen ergreifen, um Risiken für Daten und Systeme zu minimieren — dazu zählt auch regelmäßiges Patching kritischer Infrastruktur. Wenn Cisco selbst die Lücke als „High-Severity" einstuft und CISA sie auf die KEV-Liste setzt, ist es für deutsche Datenschutzbeauftragte und IT-Leiter faktisch nicht mehr verhandelbar, die Updates zu ignorieren. Verzögerungen beim Patchen könnten bei Datenschutzverletzungen als mangelnde Sorgfalt ausgelegt werden.
Zusätzlich schreiben Compliance-Standards wie ISO 27001 vor, dass Sicherheits-Patches für kritische Systeme innerhalb kurzer Fristen eingespielt werden müssen. Firewalls fallen definitionsgemäß in diese Kategorie. Der DACH-Raum wird sich also schnell organisieren müssen — anders als bei Microsoft-Updates gibt es hier keinen rollierenden Patch-Day, sondern nur punktuelle Ankündigungen und eine funktionierende Patch-Verwaltung.
Die Tatsache, dass CISA die Lücke auf KEV aufgenommen hat, bedeutet auch, dass deutsche Behörden und besonders kritische Infrastruktur-Betreiber (KRITIS) nach dem IT-Sicherheitsgesetz zur Umsetzung von Maßnahmen verpflichtet sind. Für KMUs ist es ein Hinweis, dass sie nicht warten sollten, bis ein erfolgreicher Angriff auf die Branche zukommt.
Was du jetzt tun solltest
Die wichtigste Aktion ist konkret und zeitkritisch: Identifizierung und Patching aller betroffenen ASA- und FTD-Systeme im Netzwerk mit Priorität 1. Nicht „irgendwann", sondern innerhalb der nächsten 7–14 Tage. Dazu gehört auch, Cisco-Dokumentation zu checken und herauszufinden, welche genauen Versionen euer Unternehmen nutzt — Cisco bietet hierfür Security Advisories mit genauen Versionslisten.
Der sekundäre Schritt ist eine Analyse der VPN-Zugriffsmuster: Wer braucht tatsächlich direkten SSL-VPN-Zugang von außen, und kann dieser Zugang zeitlich begrenzt oder auf spezifische IP-Ranges beschränkt werden? Das reduziert die Angriffsfläche, auch nachdem der Patch eingespielt ist.
Ein wichtiger Take-away über diese einzelne Lücke hinaus: Firewalls und Edge-Geräte sind zum primären Angriffsziel geworden, weil sie der erste Kontaktpunkt zwischen Unternehmensnetzen und der Außenwelt sind. KI-gestützte Angriffstechniken ermöglichen es Angreifern, solche Devices schneller zu identifizieren und zu scannen. Wer KI-Pentesting nutzt, um seine eigene Infrastruktur zu prüfen (wie im FlowKI KI-Pentesting Leitfaden beschrieben), kann solche Schwachstellen im Vorfeld erkennen und gezielt absichern. Besonders relevant ist hier der Artikel zu aktiven KI-Agent-Angriffen, der zeigt, wie moderne Angreifer automatisiert vorgehen.
Quellen
Häufige Fragen
Welche Cisco-Produkte sind von der VPN-Lücke betroffen?
Die Schwachstelle betrifft Ciscos Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD) Software. Es handelt sich um eine High-Severity-Flaw im VPN-Modul, die bereits aktiv ausgenutzt wird.
Kann man die Lücke ohne Anmeldedaten ausnutzen?
Ja. Angreifer benötigen keine Authentifizierung und können speziell präparierte Netzwerk-Pakete an den SSL-VPN-Port senden, um den Firewall-Prozess zum Absturz zu bringen. Damit ist der Zugang relativ niederschwellig.
Was bedeutet es, wenn CISA eine Lücke auf die KEV-Liste setzt?
Die Known Exploited Vulnerabilities (KEV) Liste signalisiert, dass Angreifer die Lücke bereits in der Praxis ausnutzen. Für Unternehmen ist das ein deutliches Zeichen, dass Patching nicht aufschiebbar ist und für kritische Infrastruktur sogar rechtliche Verpflichtungen entstehen.