Microsoft-Technologien bilden weltweit die Grundlage der Unternehmens-IT. In vielen Organisationen tragen sie betriebskritische Datenbanken, Identitätsdienste, zentrale Server-Workloads und die Anwendungen, mit denen täglich gearbeitet wird. Greenbone freut sich, neue Compliance-Scans anzukündigen, die auf vier CIS-Benchmarks für Microsoft-Umgebungen abgestimmt sind. CIS-Benchmarks liefern konkrete Vorgaben für sichere Konfigurationen und ergänzen zentrale Sicherheitsmaßnahmen wie Schwachstellenmanagement, Endgeräteschutz und Aktivitätsüberwachung.

In diesem Artikel stellen wir die Sicherheitsschwerpunkte der einzelnen Benchmarks vor und zeigen, wie die Compliance-Richtlinien von Greenbone Konfigurationslücken in Microsoft Office, SQL Server und Windows Server sichtbar machen. OPENVAS SCAN stützt sich dabei auf den OPENVAS ENTERPRISE FEED und dessen branchenführende Abdeckung. So erkennen Sie unsichere Einstellungen, priorisieren Gegenmaßnahmen und machen Ihre Microsoft-Umgebungen widerstandsfähiger.

Die neuen Compliance-Richtlinien für Microsoft-Umgebungen erweitern das ohnehin umfangreiche Scan-Portfolio von Greenbone:

• CIS Microsoft Office Enterprise Benchmark v1.2.0
• CIS Microsoft SQL Server 2022 Benchmark v1.2.1
• CIS Microsoft Windows Server 2025 Benchmark v2.0.0
• CIS Microsoft Windows Server 2022 Benchmark v5.0.0

Die Bedeutung der IT-Compliance im Jahr 2026

Im Jahr 2026 treffen für Organisationen in der EU mehrere Pflichten gleichzeitig zu: Cybersicherheit, Resilienz, Datenschutz und Unternehmensführung. Die Richtlinie über Netz- und Informationssicherheit 2 (NIS2) verpflichtet Betreiber kritischer Infrastrukturen zu technischen, betrieblichen und organisatorischen Schutzmaßnahmen. Der Digital Operational Resilience Act (DORA) stellt zusätzliche Anforderungen an das IKT-Risikomanagement und die Widerstandsfähigkeit im Finanzsektor. Die DSGVO stellt Sicherheitsanforderungen an alle, die personenbezogene Daten verarbeiten oder speichern. Und der Cyber Resilience Act (CRA) schreibt ab dem 11. September 2026 unter anderem vor, aktiv ausgenutzte Schwachstellen und schwerwiegende Produktsicherheitsvorfälle zu melden.

Wer anerkannte IT-Sicherheitsstandards wie die CIS-Benchmarks befolgt, schafft belastbare Sicherheitsgrundlagen, kann Prüfungsnachweise vorlegen, verringert Konfigurationsabweichungen und belegt, dass Governance- und Risikomanagement-Pflichten konsequent umgesetzt werden.

CIS Microsoft SQL Server 2022 Benchmark v1.2.1 im Überblick

Der CIS Microsoft SQL Server 2022 Benchmark v1.2.1 gibt konkrete Vorgaben für die sichere Konfiguration von SQL Server 2022 unter Microsoft Windows. Er richtet sich an Datenbank- und Systemadministration, Sicherheitsfachleute, Auditteams und alle, die SQL-Server-Umgebungen aufbauen, bewerten oder absichern.

Der Benchmark umfasst Installation und Patching, Reduzierung der Angriffsfläche, Authentifizierung und Autorisierung, Passwortrichtlinien, Protokollierung, Anwendungsentwicklung und Verschlüsselung. Der Compliance-Scan von Greenbone deckt das praxisnahe Level-1-Profil für die SQL Server Database Engine und AWS RDS ab, außerdem das Level-2-Profil für die Database Engine mit zusätzlichen Defense-in-Depth-Kontrollen.

CIS Microsoft Windows Server 2025 Benchmark v2.0.0 im Überblick

Der CIS Microsoft Windows Server 2025 Benchmark v2.0.0 prüft Sicherheitskontrollen für eine gehärtete Konfiguration von Windows Server 2025. Er ist für Systeme gedacht, die einer Active-Directory-Domäne oder einer Entra-Hybridumgebung angehören und ihre Richtlinien über den Active Directory Group Policy Manager erhalten. Für eigenständige Systeme, Arbeitsgruppen sowie cloudverwaltete oder in der Cloud gehostete Systeme ist die Richtlinie nicht vorgesehen.

Der Benchmark behandelt Konto- und lokale Sicherheitsrichtlinien, Systemdienste, die Windows Defender Firewall, die erweiterte Überwachungskonfiguration, Authentifizierung, Fernzugriff und Einstellungen für Verwaltungsvorlagen. Der Compliance-Scan von Greenbone deckt die Level-1- und Level-2-Profile für Domänencontroller und Mitgliedsserver ab, dazu optional die Profile „Next Generation Windows Security“ für weitergehende Kontrollen.

CIS Microsoft Windows Server 2022 Benchmark v5.0.0 im Überblick

Der CIS Microsoft Windows Server 2022 Benchmark v5.0.0 prüft Sicherheitskontrollen für eine gehärtete Konfiguration von Windows Server 2022. Auch dieser Benchmark ist für Systeme gedacht, die einer Active-Directory-Domäne oder einer Entra-Hybridumgebung angehören und ihre Richtlinien über den Active Directory Group Policy Manager erhalten. Für eigenständige Systeme, Arbeitsgruppen sowie cloudverwaltete oder in der Cloud gehostete Systeme ist die Richtlinie nicht vorgesehen.

Der Benchmark behandelt Konto- und lokale Sicherheitsrichtlinien, Systemdienste, die Windows Defender Firewall, erweiterte Überwachung, Authentifizierung, Fernzugriff und Einstellungen für Verwaltungsvorlagen. Der Compliance-Scan von Greenbone deckt die Level-1- und Level-2-Profile für Domänencontroller und Mitgliedsserver ab, dazu optional die Profile „Next Generation Windows Security“ mit weitergehenden Kontrollen.

Alle Compliance-Scans von Greenbone im Überblick

Die Compliance-Richtlinien von OPENVAS SCAN bestehen aus eigens zusammengestellten Gruppen von Schwachstellentests, mit denen sich die Einhaltung von Vorgaben bewerten lässt. Ganz gleich, ob Ihr Unternehmen die technischen Standards des BSI erfüllen muss oder einfach widerstandsfähigere IT-Netzwerke und Anwendungen aufbauen will: OPENVAS SCAN zeigt, wo Lücken bestehen.

Einige der Compliance-Scans im OPENVAS ENTERPRISE FEED von Greenbone:

• BSI TR-03116-4: BSI-Mindeststandards für die Verwendung von TLS
• BSI TR-02102-4: BSI-Mindeststandards für die Nutzung von SSH
• CIS-Benchmark v1.10 für Kubernetes 1.28 Controller-Knoten
• CIS-Benchmark v1.10 für Kubernetes 1.28 Worker-Knoten
• Compliance-Profile für Huawei EulerOS, openEuler und Huawei Cloud EulerOS
• CIS-Benchmark v3.0.0 (L1) für Microsoft Windows 11 Enterprise
• CIS-Benchmarks v3.0.0 (L1, Windows) für Google Chrome
• BSI- und CIS-Benchmarks für Microsoft Office
• Richtlinienprüfung für SSH: Post-Quanten-Kryptografie (PQC)
• Richtlinienprüfung für SSL/TLS: Post-Quanten-Kryptografie (PQC)

Zusammenfassung

Microsoft-Plattformen tragen kritische Geschäftsabläufe. Ihre vielen Konfigurationsmöglichkeiten öffnen aber Sicherheitslücken, wenn Systeme nicht konsequent gehärtet werden. CIS-Benchmarks sind der Branchenstandard für praxisnahe Vorgaben zu sicheren Konfigurationen. Die wachsende Liste der Compliance-Scans von Greenbone zeigt Abweichungen von diesen Baselines, stärkt Governance und Audit-Bereitschaft und senkt konfigurationsbedingte Risiken.

Die Anforderungen aus Regulierung und Betrieb steigen weiter, und OPENVAS SCAN liefert die Transparenz, um Microsoft-Umgebungen dauerhaft widerstandsfähig zu halten. Sichern Sie sich OPENVAS SCAN zusammen mit einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED. Damit sehen Sie am zuverlässigsten, wo Ihre IT-Netzwerke und Anwendungen noch nachgebessert werden müssen.

Im Juli 2026 veröffentlichte Zimbra zwei Sicherheitspatches für mehrere Sicherheitslücken, die den Classic Web Client und andere Komponenten der Zimbra Collaboration Suite (ZCS) betrafen. Version 10.1.19 behob eine „Stored Cross-Site Scripting“ (XSS)-Sicherheitslücke, der noch keine CVE-Nummer zugewiesen wurde. Version 10.1.20 behob ein Problem mit Befehlsinjektionen in der SNMP-Überwachungskomponente, vier weitere „Stored XSS“-Probleme im Classic Web Client sowie zahlreiche weitere Schwachstellen.

Bislang wurde noch nicht berichtet, dass eine der neuen Schwachstellen aktiv ausgenutzt wird, und Proof-of-Concept-Exploits (PoC) sind nicht öffentlich verfügbar. Allerdings war Zimbra in der Vergangenheit ein beliebtes Ziel für Exploit-Kampagnen staatlich geförderter Akteure. Frühere ZCS-Schwachstellen sind 18 Mal auf der KEV-Liste der CISA aufgetaucht. Fünf dieser in der KEV-Liste aufgeführten CVEs stehen im Zusammenhang mit Ransomware-Angriffen. Im Juli 2026 warnten US-amerikanische und verbündete Sicherheitsbehörden, dass die vom russischen Staat unterstützte Gruppe LAUNDRY BEAR bereits seit mindestens Juli 2025 Schwachstellen in ZCS ausnutzt[1][2].

Die meisten der in den Updates 10.1.19 und 10.1.20 beschriebenen Sicherheitsprobleme sind nicht mit einer CVE verknüpft. Der Weg zur Behebung ist jedoch klar – Nutzer müssen auf die neueste Version der Zimbra Collaboration Suite (ZCS) aktualisieren, um geschützt zu sein. Der OPENVAS ENTERPRISE FEED enthält separate Remote-Banner-Versionsprüfungen, um Instanzen zu identifizieren, bei denen die Patches 10.1.19 und 10.1.20 fehlen [1][2]. Benutzer sollten so bald wie möglich ein Upgrade auf ZCS 10.1.20 durchführen.

Eine Risikobewertung der Sicherheitslücken in der Zimbra Collaboration Suite

Für Unternehmen, die noch den Classic Web Client verwenden, stellen die neuen Sicherheitslücken ein erhebliches Risiko dar. Das Update 10.1.19 behebt ein Stored-XSS-Problem, das ausgelöst werden kann, wenn ein Benutzer eine speziell gestaltete E-Mail öffnet. Die Schwachstelle wurde bis zum 27. Juli 2026 noch keiner veröffentlichten CVE zugeordnet, aber Zimbra hat sie als Problem mit kritischem Schweregrad eingestuft. Eine erfolgreiche Ausnutzung könnte Informationen zu Postfächern, Sitzungsdaten oder Kontoeinstellungen offenlegen und möglicherweise die Kompromittierung von Konten sowie Datendiebstahl ermöglichen.

Der Patch 10.1.20 behebt vier weitere „Stored XSS“-Schwachstellen im Classic Web Client, eine Schwachstelle durch Befehlsinjektion in der SNMP-Komponente sowie Fehler, die die Einschränkungen bei der E-Mail-Weiterleitung betreffen, Exchange Web Services (EWS)-Zugriffskontrollen, die Postfachdelegierung sowie die Zimbra-Integration für Nextcloud.

Details zu neuen Sicherheitsproblemen, die ZCS betreffen

Die technischen Details zu den Sicherheitsproblemen, die sowohl in den Updates ZCS 10.1.19 als auch 10.1.20 offengelegt wurden, sind begrenzt. Außerdem wurden für viele der beschriebenen Schwachstellen keine CVEs veröffentlicht.

Behoben in ZCS 10.1.19 (veröffentlicht am 7. Juli 2026):

• Behobener XSS-Fehler im Classic Web Client in 10.1.19 (keine CVE-Nummer zugewiesen): Die Schwachstelle kann durch das Öffnen einer speziell gestalteten E-Mail ausgelöst werden. Durch Ausnutzung dieser Schwachstelle kann ein Angreifer ein bösartiges Skript in einer Benutzersitzung ausführen und möglicherweise Informationen zum Postfach, Sitzungsdaten oder Kontoeinstellungen offenlegen.

Behoben in ZCS 10.1.20 (veröffentlicht am 20. Juli 2026):

• SNMP-Überwachung (keine CVE-Nummer zugewiesen): Eine Schwachstelle durch Befehlsinjektion in der SNMP-Überwachungskomponente, wenn SNMP-Benachrichtigungen aktiviert sind.
• Probleme mit gespeichertem XSS im Classic Web Client (keine CVE-Nummer zugewiesen): Dateinamen von Anhängen, manipulierte Felder und Anhänge können so gestaltet werden, dass sie XSS auf den Systemen der Benutzer auslösen, wenn diese eine bösartige E-Mail anzeigen.
• CVE-2026-50055 (CVE reserviert, aber nicht veröffentlicht): Eine Umgehung der E-Mail-Weiterleitungsbeschränkung könnte es authentifizierten Benutzern ermöglichen, E-Mails trotz aktivierter Weiterleitungsbeschränkungen zu exfiltrieren.
• CVE-2026-10631 (CVE reserviert, aber nicht veröffentlicht): Ein Problem bei den Zugriffskontrollen der Exchange Web Services-Erweiterung kann unbestimmte Auswirkungen im Zusammenhang mit Zugriffskontrollen haben.
• CVE-2026-50054 (CVE reserviert, aber nicht veröffentlicht): Ein Problem bei der Autorisierung der Postfachdelegierung mit nicht näher beschriebenen Details.
• SSRF in der Nextcloud-Integration (keine CVE-Nummer zugewiesen): Eine Server-Side-Request-Forgery-Sicherheitslücke (SSRF) in der Nextcloud-Integration für ZCS.

Abhilfemaßnahmen für neue Sicherheitslücken in der Zimbra Collaboration Suite

Benutzer, die den Classic Web Client einsetzen, sollten so bald wie möglich auf ZCS v10.1.20 aktualisieren, da das Risiko eines von Angreifern kontrollierten XSS besteht. Der Anbieter hat keine Workarounds beschrieben. Der OPENVAS ENTERPRISE FEED enthält separate Remote-Banner-Versionsprüfungen, um Instanzen zu identifizieren, bei denen die Patches 10.1.19 und 10.1.20 fehlen [1][2].

Zusammenfassung

Zimbra hat im Juli 2026 mehrere Sicherheitsprobleme behoben und zwei Sicherheitspatches für ZCS veröffentlicht. Die Updates beheben Schwachstellen in mehreren Komponenten. Die kritischsten Probleme sind XSS-Risiken auf Sitzungsebene im Classic Web Client. Zu den weiteren hochriskanten Schwachstellen zählen konfigurationsabhängige Befehlsinjektionen bei der SNMP-Überwachung sowie Schwächen bei der Zugriffskontrolle oder Autorisierung, die die Offenlegung von E-Mails und den delegierten Zugriff beeinträchtigen können. Es wurden keine aktiven Ausnutzungen gemeldet, obwohl ZCS in der Vergangenheit bereits ins Visier von APT-Akteuren (Advanced Persistent Threat) geraten ist und Berichten zufolge nach wie vor ein aktives Ziel darstellt.

Januscape, erfasst unter der Kennung CVE-2026-53359 (CVSS 8.8), ist eine „Use-after-free“-Sicherheitslücke [CWE-825] im Linux-Kernel KVM/x86, durch die ein Gast den Host zum Absturz bringen und möglicherweise die Isolation zwischen Gast und Host durchbrechen kann. Die Ziele mit dem höchsten Risiko sind Intel- und AMD-x86_64-KVM-Hosts, die verschachtelte Virtualisierung zulassen, insbesondere in Umgebungen, die nicht vertrauenswürdige Gäste akzeptieren oder es Benutzern erlauben, virtuelle Maschinen zu erstellen. Große globale Rechenzentrumsbetreiber weltweit stehen nun vor der komplexen Aufgabe, riesige Flotten von KVM-Hosts zu patchen und dabei die Beeinträchtigung der Kunden-Workloads so gering wie möglich zu halten.

Eine aktive Ausnutzung von CVE-2026-53359 wurde bislang noch nicht gemeldet. Der ursprüngliche Melder der Schwachstelle, Hyunwoo Kim, behauptet, dass der Fehler im Rahmen von Googles kvmCTF als Zero-Day-Exploit genutzt wurde, und hat einen PoC veröffentlicht, der aus einer einzigen Gast-VM heraus einen Denial-of-Service (DoS) aller auf dem Host laufenden VMs auslösen kann. Detaillierte technische Analysen wurden ebenfalls veröffentlicht [1][2]. Zahlreiche nationale CERT-Stellen haben Warnungen herausgegeben, die auf ein hohes globales Risiko hinweisen [3][4][5][6][7][8][9][10][11][12][13][14][15][16].

Der OPENVAS ENTERPRISE FEED von Greenbone enthält Erkennung für CVE-2026-53359 unter Red Hat Enterprise Linux (RHEL), SUSE und openSUSE, AlmaLinux, Oracle Linux, Rocky Linux, Fedora sowie Debian. Greenbone wird die Erkennung weiterer Schwachstellen ausbauen, sobald weitere Linux-Distributionen Sicherheitshinweise veröffentlichen. Holen Sie sich eine Kopie von OPENVAS SCAN mit einer kostenlose zweiwöchige Testversion des OPENVAS ENTERPRISE FEED ist ein sicherer Weg, um einen umfassenden Einblick zu erhalten, wo in der IT-Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.

Eine globale Risikobewertung von CVE-2026-53359 (Januscape)

Laut der ursprünglichen öffentlichen Bekanntmachung besteht die Schwachstelle bereits seit rund 16 Jahren. Darüber hinaus sind alle x86-Linux-Distributionen und -Kernel vor dem Korrektur-Commit betroffen. Dies bedeutet, dass der Umfang der betroffenen IT-Infrastruktur sehr groß ist und ein erhebliches globales Risiko darstellt. Eine erfolgreiche Ausnutzung kann zu einem Escape vom Gast zum Host, zur Beschädigung der Shadow-Seite des Host-Kernels, einem DoS-Angriff und möglicherweise zur Kompromittierung anderer Gast-VMs auf demselben Host führen. Für Betreiber globaler Rechenzentren bedeutet dieser Umfang, dass sich an jedem Standort dieselbe Herausforderung stellt: die Bereitstellung von Patches für Tausende von KVM-Hosts, ohne die Workloads der Kunden offline zu schalten.

Laut einem Beitrag im Ubuntu-Blog zeigt der primäre öffentliche PoC eindrucksvoll, dass eine Gast-VM ihren Hypervisor-Host zum Absturz bringen kann. Darüber hinaus heißt es im ursprünglichen Bericht, dass CVE-2026-53359 als Zero-Day-Exploit beim Google kvmCTF verwendet wurde.

Technische Bewertung von CVE-2026-53359 (Januscape)

CVE-2026-53359 (CVSS 8.8) betrifft die verschachtelte KVM-Virtualisierung auf Intel- und AMD-x86_64-Systemen, während andere Architekturen nicht betroffen sind. Wenn ein Cloud-Anbieter keine verschachtelte Virtualisierung zulässt, sind Instanzen über diesen Weg nicht betroffen. Allerdings ist die verschachtelte Virtualisierung im Linux-Kernel standardmäßig aktiviert. Eine erfolgreiche Ausnutzung ermöglicht einen Escape vom Gast zum Host, die Manipulation der Shadow-Seite des Host-Kernels, DoS-Angriffe sowie die Kompromittierung anderer auf demselben Host laufender VM-Gäste.

Im Ubuntu-Blog wird darauf hingewiesen, dass Systemdienste wie libvirt, lxd, multipass und incus potenziellen Angreifern das Erstellen virtueller Maschinen ermöglichen könnten, was die Sicherheitslücke vergrößern kann. Ein weiterer Risikopfad besteht, wenn die Berechtigungen für /dev/kvm zu weit gefasst sind; ist /dev/kvm für alle schreibbar, kann ein Benutzer ohne Sonderrechte eine lokale Rechteausweitung erreichen und sich Root-Rechte verschaffen.

CVE-2026-53359 ist ein „Use-after-free“-Schwachstelle in der Shadow-MMU-Emulation, die durch die Wiederverwendung von Shadow-Seiten verursacht wird, wenn die Seitenrolle nicht mit der neuen Verwendung übereinstimmt. Die betroffene Komponente ist der KVM/x86-Shadow-Paging-Pfad des Linux-Kernels in arch/x86/kvm/mmu/mmu.c. Die Hauptursache liegt darin, dass die Funktion kvm_mmu_get_child_sp() die Rollen nicht effektiv vergleicht. Die Nichtübereinstimmung kann einen veralteten rmap-Eintrag hinterlassen, was zu einer ausnutzbaren Zeigerdereferenzierung führt [CWE-825].

Von CVE-2026-53359 (Januscape) betroffene Produkte

Alle x86-Linux-Distributionen ab etwa 2014 und vor dem Commit zur Behebung des Problems im Linux-Kernel sind betroffen, unabhängig von der Distribution. Da es sich bei CVE-2026-53359 um eine „Guest-to-Host“-Escape-Schwachstelle handelt, hängt die Ausnutzung davon ab, dass das Zielsystem als KVM-basierter Hypervisor verwendet wird und die verschachtelte Virtualisierung auf einer Gast-VM aktiviert ist.

Für Ubuntu-Umgebungen sollten Sicherheitsverantwortliche die Januscape-Abhilfemaßnahmen von Canonical zu Rate ziehen, in denen darauf hingewiesen wird, dass alle Ubuntu-Versionen von Trusty (14.04) bis Resolute (26.04) betroffen sind. Während Patches für Ubuntu noch ausstehen, werden Anweisungen zum Deaktivieren der verschachtelten Virtualisierung bereitgestellt. In Red-Hat-Umgebungen sollten Teams die eingesetzten Kernel mit den korrigierten Builds vergleichen, die im Sicherheitsdateneintrag von Red Hat aufgeführt sind.

Abhilfemaßnahmen für CVE-2026-53359 (Januscape)

Eine vollständige Abhilfe hängt von der Installation der Sicherheitsupdates für die jeweilige Linux-Distribution ab. Vorrangig sollte zunächst ermittelt werden, wo auf Linux-KVM/x86-Hypervisoren verschachtelte Virtualisierung zum Einsatz kommt, insbesondere in Multi-Tenant-Umgebungen oder Bereitstellungen, in denen nicht vertrauenswürdige Benutzer Gast-VMs erstellen oder steuern können. Da die Ausnutzung der Schwachstelle von der Kontrolle über den Gast oder dem Zugriff auf Virtualisierungsschnittstellen abhängen kann, sollten Sicherheitsverantwortliche zudem überprüfen, wer VMs erstellen darf und ob die Berechtigungen für Geräteknoten rund um /dev/kvm einen zusätzlichen Pfad zur lokalen Privilegienerweiterung offenlegen.

Zusammenfassung

CVE-2026-53359 (Januscape; CVSS 8.8) ist eine schwerwiegende Sicherheitslücke an der Virtualisierungsgrenze, die durch einen „Use-after-free“-Fehler bei Intel- und AMD-basierten x86_64 Linux-KVM-Bereitstellungen mit aktivierter verschachtelter Virtualisierung im Linux-Kernel verursacht wird. Zu den Folgen gehören ein Ausbruch aus dem Gast in den Host sowie eine mögliche Kompromittierung anderer Gast-VMs auf demselben Host. Mindestens ein öffentlicher Proof-of-Concept sowie eine detaillierte technische Analyse sind öffentlich verfügbar[1][2]. Aktive Ausnutzung ist noch nicht bestätigt, doch die Vielzahl nationaler CERT-Warnmeldungen, die die Schwachstelle als hohes globales Risiko einstufen, spricht für sich [3][4][5][6][7][8][9][10][11][12][13][14][15][16].

Erkennung ist bereits verfügbar: Greenbones OPENVAS ENTERPRISE FEED deckt CVE-2026-53359 für Red Hat Enterprise Linux (RHEL), SUSE und openSUSE, AlmaLinux, Oracle Linux, Rocky Linux, Fedora und Debian ab; weitere Distributionen werden hinzugefügt, sobald deren Sicherheitshinweise vorliegen. Eine kostenlose zweiwöchige Testversion von OPENVAS SCAN mit dem OPENVAS ENTERPRISE FEED ist der schnellste Weg, um genau zu erkennen, wo sich diese Sicherheitslücke in der Infrastruktur Ihres Unternehmens befindet.

Von staatlichen Stellen veröffentlichte technische Richtlinien definieren die höchsten Sicherheitsstandards zum Schutz der nationalen IT-Infrastruktur. Angesichts der zunehmend bedrohlichen Cybersicherheitslage ist es für Organisationen umso wichtiger, die strengsten Sicherheitsstandards gewissenhaft umzusetzen. Staatliche Organisationen müssen die Einhaltung dieser Standards gewährleisten, während Unternehmen der Privatwirtschaft die Standards als Maßstab für ihre eigene Cyber-Resilienz nutzen können.

Greenbone freut sich, aktualisierte Compliance-Scans anzukündigen, die auf die Mindeststandards des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur Absicherung von TLS und SSH abgestimmt sind. Die Richtlinien identifizieren spezifische TLS- und SSH-Konfigurationslücken in Teilen der jeweiligen Leitfäden.

In diesem Artikel werfen wir einen Blick auf die Richtlinien TR-03116-4 und TR-02102-4, um zu verstehen, was sich geändert hat. OPENVAS SCAN mit einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED ist für Ihr Unternehmen der sicherste Weg, um tiefgreifende Einblicke in den Aufbau widerstandsfähiger IT-Netzwerke und -Anwendungen zu gewinnen.

Die Protokolle Transport Layer Security (TLS) und Secure Shell (SSH) gehören zu den grundlegendsten Protokollen, die in heutigen Netzwerken verwendet werden. Greenbone bietet nun aktualisierte Richtlinien-Scans an, um die Einhaltung ausgewählter Teile der BSI-Leitlinien zu überprüfen. Die aktualisierten Leitlinienstandards lauten:

• TR-03116-4 (Juli 2025): BSI-Mindeststandard für die Verwendung von Transport Layer Security (TLS)
• TR-02102-4 (Januar 2026): BSI-Mindeststandard für die Nutzung von Secure Shell (SSH)

Diese Aktualisierungen ergänzen Greenbones bereits umfangreiches Angebot an Compliance-Richtlinien für OPENVAS SCAN. Obwohl TR-03116-4 und TR-02102-4 noch keine Richtlinien zur postquantenkryptografischen Kryptografie enthalten, befinden sich Standards zur Bewertung von PQC-konformen Systemen derzeit in der Entwicklung. Greenbone hat dabei eine Vorreiterrolle übernommen. Unser OPENVAS ENTERPRISE FEED bietet PQC-Konformitätsscans sowohl für TLS als auch für SSH:

• SSL/TLS: Überprüfung der Richtlinien zur postquanten Kryptografie (PQC)
• SSH: Überprüfung der Richtlinien zur postquanten Kryptografie (PQC)

TR-03116-4 verstehen – BSI-Mindeststandards für die Nutzung von TLS

Teil 4 der TR-03116-Reihe der technischen Richtlinien legt Anforderungen und Empfehlungen für die Verwendung von TLS in Anwendungen der Bundesverwaltung fest. TR-03116-4 baut auf früheren Ausgaben der Reihe auf. Der Standard gilt grundsätzlich bis Ende 2030, enthält jedoch konkrete Zeitpläne für die Abkündigung oder Einführung bestimmter Methoden. Die Richtlinie von Greenbone deckt ausgewählte Teile von TR-03116-4 ab; Unter Verwendung von Remote-TLS-Handshakes bewertet der Compliance-Scan ausgewählte Kontrollen aus Kapitel 2, darunter:

• Unterstützte und minimal zulässige TLS-Versionen
• Konfigurierte TLS 1.2- und TLS 1.3-Verschlüsselungssuiten gemäß den Zulassungslisten der Richtlinie
• Vorhandensein mindestens einer vom BSI vorgeschriebenen und vom Server unterstützten Verschlüsselungssuite

Weitere Schwachstellentests im OPENVAS ENTERPRISE FEED identifizieren separat zusätzliche Risiken, die von den übrigen Leitlinienbereichen ausgehen. Beispiele hierfür sind bekannte Schwachstellen bei der SAML-Authentifizierung und bei XML-Signaturen, anfällige S/MIME/CMS-Implementierungen in OpenSSL oder E-Mail-Produkten sowie die Erkennung von OpenPGP/PGP-Software und Produktschwachstellen.

TR-02102-4: BSI-Mindeststandards für die Nutzung von SSH verstehen

Teil 4 der TR-02102-Leitfadenreihe legt die empfohlenen SSH-Protokollversionen, kryptografischen Algorithmen und Schlüssellängen für den Einsatz in Anwendungen der Bundesregierung fest. Wie die oben beschriebene TR-03116-4 baut auch die TR-02102-4 auf früheren Leitlinien dieser Reihe auf, insbesondere auf TR-02102-1.

Die neuen Compliance-Scans von Greenbone überprüfen ausgewählte Werte, die aus der SSH-Serverkonfiguration ausgelesen werden, darunter:

• SSH-Protokollversion, zulässige Schlüsselaustausche, Verschlüsselungsalgorithmen, MAC, Host-Schlüssel-Algorithmen und Rekey-Limit
• Anforderungen an die Client-Authentifizierung über „AuthenticationMethods“ oder „RequiredAuthentications“ sowie „PubkeyAuthentication“

Diese authentifizierten Konfigurationsprüfungen liefern nützliche technische Nachweise, testen jedoch weder das tatsächliche Authentifizierungsverhalten noch bewerten sie Risiken durch Client-Anwendungen, Seitenkanalangriffe, Implementierungsfehler oder operative Kontrollen im Zusammenhang mit allen SSH-Anwendungsfällen.

Post-Quantum-Konformität mit Greenbone

Weder TR-03116-4 noch TR-02102-4 definieren Konformitätsstandards für Post-Quantum-Kryptografie (PQC). Sie empfehlen jedoch, dass Organisationen sich bereits jetzt auf die Migration von der klassischen asymmetrischen Kryptografie zur quantensicheren Kryptografie vorbereiten sollten, beginnend mit hybriden Verfahren, die klassische und quantensichere Algorithmen kombinieren. Organisationen, die ihre PQC-Resilienz bereits heute bewerten möchten, können die bestehenden PQC-Richtlinien-Scans von Greenbone nutzen:

• SSL/TLS: Richtlinienprüfung für postquantenkryptografische Sicherheit (PQC)
• SSH: Überprüfung der Richtlinien zur Post-Quanten-Kryptografie (PQC)

Lernen Sie die umfassende Suite an Compliance-Scans von Greenbone kennen

Die Compliance-Richtlinien von OPENVAS SCAN bestehen aus speziell ausgewählten Gruppen von Schwachstellentests, die zur Bewertung der Compliance dienen. Ganz gleich, ob Ihr Unternehmen die technischen Standards des BSI erfüllen muss oder Sie einfach nur tiefere Einblicke in den Aufbau widerstandsfähiger IT-Netzwerke und -Anwendungen gewinnen möchten: OPENVAS SCAN bietet Transparenz hinsichtlich der Compliance, um Lücken zu identifizieren und die Sicherheit zu stärken.

Einige der Compliance-Scans im OPENVAS ENTERPRISE FEED von Greenbone:

• CIS-Benchmark für Microsoft SQL Server 2022
• CIS-Benchmark v5.0.0 für Microsoft Windows Server 2022
• CIS-Benchmark v2.0.0 für Microsoft Windows Server 2025
• CIS-Benchmark v1.10 für Kubernetes 1.28 Controller-Knoten
• CIS-Benchmark v1.10 für Kubernetes 1.28 Worker-Knoten
• Compliance-Profile für Huawei EulerOS, openEuler und Huawei Cloud EulerOS
• CIS-Benchmark v3.0.0 (L1) für Microsoft Windows 11 Enterprise
• CIS-Benchmarks v3.0.0 (L1 – Windows) für Google Chrome
• BSI- und CIS-Benchmarks für Microsoft Office
• Richtlinienprüfung für SSH: Post-Quanten-Kryptografie (PQC)
• Richtlinienprüfung für SSL/TLS: Post-Quanten-Kryptografie (PQC)

Zusammenfassung

Das deutsche BSI legt die technischen Anforderungen an die IT-Infrastruktur der Bundesbehörden fest. Andere nationale Regierungen weltweit veröffentlichen ihre eigenen Sicherheitsprognosen und Richtlinien. Zwar sind private Einrichtungen in der Regel nicht verpflichtet, diese Richtlinien umzusetzen, bieten sie dennoch zuverlässige Anhaltspunkte für die Umsetzung einer widerstandsfähigen IT-Architektur.

Transport Layer Security (TLS) und Secure Shell (SSH) sind zwei der grundlegendsten Protokolle, die in heutigen IT-Netzwerken zum Einsatz kommen. Greenbone freut sich, aktualisierte Compliance-Scans für ausgewählte Teile der BSI-Mindeststandards zur Absicherung von TLS und SSH gemäß TR-03116-4 und TR-02102-4 ankündigen zu können. OPENVAS SCAN mit einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED ist für Ihr Unternehmen der sicherste Weg, um tiefgreifende Einblicke in den Aufbau widerstandsfähiger IT-Netzwerke und -Anwendungen zu gewinnen.

Der Citrix-Sicherheitshinweis CTX696604 behandelt sechs Sicherheitslücken in vom Kunden verwalteten NetScaler ADC- und NetScaler Gateway-Systemen. NetScaler Gateway wird zur Authentifizierung von Remote-Benutzern und deren Verbindung mit internen Netzwerkressourcen verwendet, und die Lastverteilung von NetScaler ADC ist eine Kernfunktion zur Verteilung von Anfragen und zur Verbesserung der Verfügbarkeit. Die Schwachstellen in diesem Bulletin können zu Speicherüberlauf, Denial-of-Service (DoS) und dem Auslesen beliebiger Dateien führen. Allerdings müssen bestimmte Konfigurationen vorliegen, damit die Schwachstellen ausgenutzt werden können.

Das Bulletin gilt nur für vom Kunden verwaltete NetScaler ADC- und NetScaler Gateway-Systeme. Die Citrix-Cloud-Dienste wurden von Citrix bereits aktualisiert. In einigen Fällen erfordert die Ausnutzung bestimmte Bereitstellungen oder aktivierte Funktionen, wie z. B. SAML-IDP, Gateway-Dienste, die Freigabe virtueller AAA-Server, Oracle- oder DNS-Rollen, Verwaltungszugriff auf NSIP oder SNIP sowie Protokolloptionen, die mit virtuellen Servern oder Diensten verknüpft sind.

Es gibt keine Hinweise auf eine aktive Ausnutzung der in der Sicherheitsmitteilung CTX696604 aufgeführten CVEs, und es wurden keine öffentlichen Proof-of-Concept-Exploits (PoC) veröffentlicht. Die gleichen betroffenen Produkte waren jedoch bereits im März 2026 aktiv ausgenutzt. Insgesamt wurde Citrix NetScaler seit Ende 2021 22 Mal in CISA’s KEV-Liste aufgenommen, davon erschreckenderweise 7 Mal im Zusammenhang mit Ransomware-Angriffen. Für die neuen CVEs wurden mehrere nationale CERT-Warnungen herausgegeben, was auf ein hohes globales Risiko hindeutet [1][2][3][4][5][6][7][8][9][10][11][12][13].

Der OPENVAS ENTERPRISE FEED enthält einen Remote-Banner-Check, der anfällige NetScaler ADC- und NetScaler Gateway-Installationen identifiziert, die von den CVEs im Citrix-Bulletin CTX696604 betroffen sind. Holen sie sich OPENVAS SCAN mit einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED, um tiefgreifende Einblicke zu gewinnen, wo in der IT-Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.

Details zu den Sicherheitslücken im Citrix-Bulletin CTX696604

Die sechs CVEs in dem Bulletin können zu Speicherüberlauf, DoS und dem Auslesen beliebiger Dateien führen. In jedem Fall knüpft der Anbieter die Ausnutzbarkeit an eine bestimmte Konfiguration, was das Risiko zwar verringert, die Notwendigkeit von Patches jedoch nicht beseitigt. Die betrieblich sensibelsten Probleme sind diejenigen, die unauthentifiziert und über das Netzwerk erreichbar sind.

CVE-2026-8452 und CVE-2026-8655 sind beides potenziell schwerwiegende, aus der Ferne ausnutzbare Schwachstellen, für die keine Authentifizierung erforderlich ist. Beide betreffen Service-Endpunkte, die in der Regel uneingeschränkt zugänglich sind. CVE-2026-8451 kann zur Offenlegung sensibler Informationen führen, die bei nachfolgenden Angriffen ausgenutzt werden könnten. Während CVE-2026-10816 ebenfalls aus der Ferne ohne Authentifizierung ausnutzbar ist, muss der Verwaltungszugriff auf das betroffene Gerät aktiviert sein.

Betroffene Produkte und Versionen

Die Sicherheitsempfehlung betrifft mehrere vom Kunden verwaltete NetScaler-Produktlinien, darunter Standardversionen sowie FIPS- oder NDcPP-Builds. Nach Angaben des Anbieters sind auch „Secure Private Access Hybrid“-Bereitstellungen, die NetScaler-Instanzen verwenden, betroffen. Die Auswirkungen sind konfigurationsabhängig, daher sollten Sicherheitsverantwortliche sowohl den Versionsstatus überprüfen als auch feststellen, ob die aufgeführten Dienste oder Profile aktiviert sind.

Behebung der Citrix NetScaler-CVEs aus dem Bulletin CTX696604

Die vom Hersteller in der obigen Tabelle aufgeführten Versionen mit Fehlerbehebung bieten den effektivsten Weg zur Behebung. Unternehmen, die betroffene Geräte betreiben, sollten auf die entsprechende Version mit Fehlerbehebung für ihren Release-Zug umsteigen. Im Hersteller-Bulletin werden keine Workarounds beschrieben.

Für CVE-2026-13474 empfiehlt die Cyber Security Agency of Singapore, den Parameter Http2SmallWndTimeout auf 30 Sekunden einzustellen, um das Risiko zusätzlich zu mindern. Diese Empfehlung bezieht sich speziell auf das HTTP/2-bezogene Problem und ersetzt nicht den Hersteller-Patch.

Sicherheitsverantwortliche sollten überprüfen, ob die betroffenen Funktionen aktiviert sind, da die Anfälligkeit vom Bereitstellungsstatus abhängt. Sicherheitsteams sollten SAML-IDP-Konfigurationen, Gateway- und AAA-Virtual-Server, Oracle- und DNS-Rollen, den Verwaltungszugriff auf NSIP oder SNIP, TCP-Timestamp-Einstellungen in Profilen sowie die HTTP/2-Einstellungen in HTTP-Profilen überprüfen. Sind diese Funktionen nicht erforderlich, verringert ihre Deaktivierung das Risiko, während der Patch-Einbau geplant wird.

Zusammenfassung

Der Citrix-Sicherheitshinweis CTX696604 beschreibt sechs Sicherheitslücken in NetScaler ADC und NetScaler Gateway, die von Kunden verwaltete Bereitstellungen und bestimmte Secure Private Access Hybrid-Instanzen betreffen. Die CVEs mit dem höchsten Risiko sind konfigurationsabhängig. Dazu gehören jedoch auch Auswirkungen, die ohne Authentifizierung über das Netzwerk erreichbar sind, wie unerwartetes Verhalten, die Offenlegung sensibler Informationen, DoS-Angriffe und das Auslesen beliebiger Dateien. Die vorliegenden Hinweise deuten nicht auf eine aktive Ausnutzung oder das Vorhandensein eines öffentlichen PoC hin. Es wurden jedoch mehrere nationale CERT-Warnungen zu den CVEs herausgegeben [1][2][3][4][5][6][7][8][9][10][11][12][13].

Unternehmen sollten ihre Infrastruktur auf betroffene Geräte überprüfen, sich vergewissern, ob die anfälligen Funktionen aktiviert sind, und die korrigierten Versionen für ihre Produktlinie unverzüglich installieren. Der OPENVAS ENTERPRISE FEED enthält einen Remote-Banner-Check, um anfällige NetScaler-ADC- und NetScaler-Gateway-Installationen zu identifizieren, die von den in der Citrix-Sicherheitsmitteilung CTX696604 genannten CVEs betroffen sind. Laden Sie sich OPENVAS SCAN mit einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED herunter, um einen umfassenden Einblick zu gewinnen, wo in der IT-Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.