Am 22. Juli 2026 hat das deutsche Bundesamt für Sicherheit in der Informationstechnik eine Warnung zu SonicWall-Appliances der Reihe SMA1000 veröffentlicht. Betroffen sind die Modelle 6210, 7210 und 8200v. Zwei Schwachstellen werden bereits angegriffen, für eine davon kursiert öffentlich ein funktionierender Beispiel-Exploit. Er führt Code auf dem Gerät aus, ganz ohne Anmeldung.
Diese Geräte stehen dort, wo Mitarbeitende von aussen ins Firmennetz kommen. Sie sind Türsteher. Wer den Türsteher übernimmt, braucht die Tür nicht mehr aufzubrechen.
Ein Muster, kein Einzelfall
Es ist innerhalb eines Jahres nicht der erste Fall dieser Art, und das ist der eigentliche Punkt. Firewalls, VPN-Gateways und Fernzugangs-Appliances sind aus zwei Gründen beliebte Ziele. Erstens stehen sie zwingend im Internet, sonst erfüllen sie ihren Zweck nicht. Zweitens sind sie geschlossene Systeme: Auf einer solchen Appliance läuft kein Virenschutz, kein Endpunkt-Sensor, und häufig nicht einmal eine brauchbare Protokollierung, die ein Einbruch überstehen würde.
Dazu kommt die stille Annahme, ein Sicherheitsgerät sei sicher. Sie ist bequem und falsch. Ein Fernzugangs-Gateway ist ein Server mit Webanwendung – mit denselben Fehlerklassen wie jede andere Webanwendung, nur an exponierterer Stelle.
Was jetzt zu tun ist
- Firmware einspielen, sofort. Bei aktiv ausgenutzten Lücken an Internet-Geräten gibt es kein Wartungsfenster in zwei Wochen.
- Nachsehen statt hoffen. Das BSI empfiehlt ausdrücklich eine forensische Prüfung. Bei einer Appliance heisst das: Protokolle exportieren, Konfiguration mit einem älteren Stand vergleichen, nach unbekannten Konten und Zertifikaten suchen.
- Zugangsdaten als verbrannt behandeln. Wer Code auf dem Gateway ausführt, kommt an gespeicherte Anmeldedaten und an laufende Sitzungen. Passwörter der Fernzugangs-Benutzer wechseln, Sitzungen beenden, gemeinsame Schlüssel neu setzen.
- Verwaltungsoberfläche einsperren. Die Weboberfläche zur Administration gehört nie ins offene Internet, sondern in ein abgeschottetes Verwaltungsnetz.
Die Frage, die man sich vorher stellt
Man kann nicht verhindern, dass ein Hersteller eine kritische Lücke ausliefert. Beeinflussen lässt sich, was danach passiert. Wer weiss, welche Geräte am Netzrand stehen, welche Firmware sie fahren und wo ihre Protokolle landen, ist an einem solchen Dienstagmorgen in einer Stunde fertig. Wer es nicht weiss, verbringt zwei Tage mit Suchen – und ist in dieser Zeit angreifbar.
Ein Detail aus der Praxis, das gerne vergessen geht: Die Sicherungsdatei einer solchen Appliance enthält Passwort-Prüfsummen, gemeinsame Schlüssel und Zertifikate. Sie gehört verschlüsselt und getrennt vom Betriebsnetz aufbewahrt, sonst wird aus der Sicherung ein Generalschlüssel.
Quelle: BSI-Cybersicherheitswarnung vom 22. Juli 2026 zu SonicWall SMA1000 (CVE-2026-15409, CVE-2026-1541).
