Im Jahr 2025 erhöhte Greenbone die Gesamtzahl der Schwachstellentests im OPENVAS ENTERPRISE FEED auf über 227.000 und fügte fast 40.000 Schwachstellenprüfungen hinzu. Seit der Veröffentlichung der ersten CVE im Jahr 1999 wurden über 300.000 Software-Sicherheitslücken zum CVE-Repository von MITRE hinzugefügt. Die Zahl der CVE-Veröffentlichungen stieg weiter rasant an und lag etwa 21 % über dem Wert von 2024. Die CISA fügte ihrem Verzeichnis bekannter ausgenutzter Sicherheitslücken (KEV) 245 CVEs hinzu, von denen 24 als bekannte Ransomware-Vektoren bekannt sind. Sicherheitsbeauftragte, die Schwachstellen erkennen und Schutzmaßnahmen ergreifen möchten, können OPENVAS BASIC kostenlos testen, einschließlich einer zweiwöchigen kostenlosen Testversion des OPENVAS ENTERPRISE FEED.

Notfall-Exploits zum Jahresende

Im Dezember 2025 wurden 5.519 neue CVEs veröffentlicht, was einen neuen Rekord für einen einzelnen Monat darstellt. Neue kritische Schwachstellen und Notfallmaßnahmen setzten sich während der gesamten Weihnachtszeit unvermindert fort. Der Greenbone-Blog hat bereits über zwei aktiv ausgenutzte CVSS-10-Schwachstellen berichtet, die im Dezember aufgetreten sind: CVE-2025-55182 mit dem Namen React2Shell und CVE-2025-20393, die Cisco AsyncOS Spam Quarantine betrifft. Im Threat Report für Dezember 2025 fassen wir die kritischsten neuen Bedrohungen für die IT-Sicherheit des Monats zusammen.

Ransomware-Angriffe auf Hypervisoren nahmen Ende 2025 sprungartig zu

Untersuchungen von Huntress zeigen, dass Hypervisoren als primäres Ziel für Ransomware zunehmend an Bedeutung gewinnen. Ihren Daten zufolge waren Hypervisoren in der ersten Hälfte des Jahres 2025 an 3 % der böswilligen Verschlüsselungsangriffe beteiligt, in der zweiten Hälfte stieg dieser Anteil auf 25 %. Sie gehen davon aus, dass dieser Anstieg auf die Ransomware-APT „Akira“ zurückzuführen ist, eine Gruppe, die dafür bekannt ist, Software-Schwachstellen aggressiv auszunutzen.

Um das Risiko für die Hypervisor-Infrastruktur zu verringern, sollten Verteidigungsteams umfassende Sicherheitskontrollen planen und implementieren, darunter

• Regelmäßige Durchführung von Schwachstellenscans in der gesamten Hypervisor-Infrastruktur und Priorisierung aller entdeckten Schwachstellen zur Minderung
• Deaktivierung oder Einschränkung unnötiger Hypervisoren und VM-Instanzen
• Keine direkte Freigabe von Verwaltungsschnittstellen an das Internet
• Beschränkung des Zugriffs auf Hypervisor-IP-Adressen und Verwaltungskonsolen mithilfe von Firewall-Regeln

MongoBleed verschenkt einen Notfall-Patch für die Feiertage

CVE-2025-14847 (CVSS 7.5, EPSS 98. Perzentil), der MongoDB betrifft, wurde am 19. Dezember 2025 veröffentlicht. Der Fehler ermöglicht es einem nicht authentifizierten Eindringling aus der Ferne, auf sensible Speicherorte zuzugreifen, indem fehlerhafte Pakete mit inkonsistenten Längenparametern gesendet werden [CWE-130]. Er wurde in Anlehnung an die informelle Konvention für Speicherleck-Schwachstellen wie HeartBleed [1][2] und CitrixBleed [3][4] „MongoBleed” getauft. Der Fehler liegt im zlib-Komprimierungsprozess der Netzwerk-Transportschicht von MongoDB. Bei einer Längeninkongruenz könnte der zlib-Nachrichtenkompressor eine zugewiesene Pufferlänge anstelle der tatsächlichen dekomprimierten Länge zurückgeben, wodurchnicht initialisierten Heap-Speicher gelesen werden könnten.

Ein Sicherheitsforscher schätzt, dass weltweit über 200.000 Instanzen im öffentlichen Internet exponiert sind. Die Shadowserver Foundation listet über 80.000 auf. Für CVE-2025-14847 wurde mindestens ein Proof-of-Concept-Exploit (PoC) veröffentlicht, der automatisch nach Geheimnissen wie DB-Passwörtern und Cloud-Schlüsseln suchen kann. Der PoC demonstriert, wie ein Eindringling den Heap-Speicher durchsuchen kann, um sensible Informationen zu exfiltrieren. CVE-2025-14847 wurde in den KEV-Katalog der CISA aufgenommen, und weltweit wurden zahlreiche nationale CERT-Warnungen herausgegeben [5][6][7][8][9][10][11][12][13]. Bislang wurden noch keine Ransomware-Angriffe gemeldet, die MongoBleed ausnutzen.

Der OPENVAS ENTERPRISE FEED von Greenbone umfasst Remote-Versionserkennungsprüfungen für Windows- und Linux-Instanzen von MongoDB Server [14][15] sowie eine aktive Prüfung für Windows und Linux [16]. Die offizielle Empfehlung von MongoDB enthält eine Liste der betroffenen Versionen und Patches. Benutzer sollten dringend ein Upgrade durchführen und MongoDB-Server auf Anzeichen einer Kompromittierung (IoC) überprüfen.

CVSS 10 SmarterMail-Sicherheitslücke ermöglicht nicht authentifizierte RCE

CVE-2025-52691 (CVSS 10) ist eine neue Sicherheitslücke in SmarterTools SmarterMail, die eine nicht authentifizierte Remote-Code-Ausführung (RCE) ermöglicht und Build 9406 und frühere Versionen betrifft. Die Sicherheitslücke wird durch eine Schwachstelle beim Hochladen beliebiger Dateien [CWE-434] verursacht, die es Schadakteuren ermöglicht, Dateien an einen beliebigen Speicherort auf dem Zielserver hochzuladen. Diese hochgeladenen Dateien können potenziell als Web-Shells dienen oder als SYSTEM ausgeführt werden, wenn sie in sensiblen Verzeichnissen abgelegt werden.

SmarterMail läuft auf dem Windows/IIS/.NET-Stack und umfasst eine Webanwendung mit Webmail- und Synchronisierungsdiensten über HTTPS. Laut der offiziellen Dokumentation von SmarterMail gibt es über 15 Millionen User. Andere Quellen schätzen den Anteil von SmarterMail an allen identifizierbaren Webanwendungen auf weniger als 0,1 %. SmarterMail wird häufig in verwalteten Webhosting-Umgebungen verwendet, was den potenziellen Ausbreitungsradius im Falle einer Ausnutzung vergrößern könnte.

Die Cyber Security Agency (CSA) von Singapur veröffentlichte CVE-2025-52691 und warnte die Öffentlichkeit erstmals vor diesem Risiko. Aktive Ausnutzung in freier Wildbahn oder öffentliche PoC-Exploits wurden nicht bekannt gegeben, aber Forschende von penligent.ai haben technische Beschreibungen der Angriffskette veröffentlicht [1][2]. Andere nationale Sicherheitsbehörden haben ebenfalls Notfall-Cyberwarnungen herausgegeben [3][4].

Der OPENVAS ENTERPRISE FEED enthält eine Versionserkennungsprüfung für CVE-2025-52691. Die Schwachstelle wurde Anfang Oktober 2025 in Build 9413 von SmarterMail gepatcht. Es wird empfohlen, auf die neueste Version zu aktualisieren.

OSGeo GeoServer wird aktiv über XXE-Sicherheitslücke ausgenutzt

CVE-2025-58360 (CVSS 9,8, EPSS 99. Perzentil) ist eine nicht authentifizierte XML External Entity (XXE)-Sicherheitslücke [CWE-611] in OSGeo GeoServer. Die Schwachstelle ermöglicht es Schadakteuren aus der Ferne, beliebige Dateien zu lesen, Server-Side Request Forgery (SSRF) [CWE-918] auszulösen oder einen Denial-of-Service (DoS) zu verursachen. Die Ursache liegt in einer fehlerhaften Bereinigung der XML-Daten, die vom Endpunkt /geoserver/wms GetMap verarbeitet werden.

CVE-2025-58360 wurde am 11. Dezember zu CISA KEV hinzugefügt, und es gibt mehrere öffentliche PoC-Exploits [1][2][3]. Eine Verwendung in Ransomware-Angriffen oder Spionage wurde nicht bestätigt. Die Shadowserver Foundation hat 2.451 exponierte GeoServer-Instanzen verfolgt; Shodan meldet über 14.000, was auf ein erhebliches globales Risiko hinweist. Mehrere nationale CERT-Behörden haben Warnungen zu CVE-2025-58360 veröffentlicht [4][5][6][7][8]. Zuvor, im Jahr 2024, wurde CVE-2024-36401 (CVSS 9.8) in GeoServer aktiv ausgenutzt und führte zu einer bestätigten Sicherheitsverletzung bei einer nicht genannten US-Bundesbehörde. Dies deutet darauf hin, dass Cyber-Bedrohungen mit der Ausnutzung der GeoServer-Infrastruktur vertraut sind, was das Risiko erhöht.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, um anfällige GeoServer-Instanzen zu erkennen. CVE-2025-58360 betrifft die Hauptanwendung OSGeo GeoServer, docker.osgeo.org/geoserver-Container, gs-web-app und gs-wms Maven-Pakete. Der vollständige Status der betroffenen Produkte ist in einer offiziellen Mitteilung verfügbar.

Living on the Edge: Neue Bedrohungen für Netzwerkperimeter im Dezember 2025

Unser monatlicher Threat Report hat über das Jahr 2025 Software-Schwachstellen, die sich auf den Netzwerkperimeter auswirken, genau verfolgt [1][2][3]. Im Dezember 2025 gab es tatsächlich eine weitere Welle neuer hochriskanter CVEs und aktiver Ausnutzung. Betrachten wir einige neue Risiken für Perimeter-Netzwerke genauer:

Mehrere Fortinet-Produkte werden aktiv über Authentifizierungsumgehung ausgenutzt

Am 9. Dezember 2025 wurden CVE-2025-59718 (CVSS 9,8, EPSS 90. Perzentil) und CVE-2025-59719 (CVSS 9,8) eine Woche nach ihrer Veröffentlichung in die KEV-Liste der CISA aufgenommen. CVE-2025-59718 betrifft Fortinet FortiOS, FortiProxy und FortiSwitchManager, während CVE-2025-59719 nur FortiWeb betrifft. Die neuen CVEs ermöglichen die Umgehung der Authentifizierung bei FortiCloud SSO-Admin-Anmeldungen aufgrund einer unsachgemäßen kryptografischen Signaturprüfung [CWE-347] von SAML-Nachrichten. Laut dem ersten Bericht über aktive Angriffe von Arctic Wolf kann die FortiCloud-SSO-Anmeldung standardmäßig aktiviert sein, wenn Geräte über die FortiCare-GUI registriert werden.

Mindestens ein PoC-Exploit ist öffentlich verfügbar [1]. Die neuen CVEs lösten weltweit eine breite Reaktion nationaler CERT-Behörden aus [1][2][3][4][5][6][7][8][9][10][11][12]. Greenbone bietet Erkennung für beide neuen CVEs mit kritischem Schweregrad. Eine vollständige Liste der betroffenen Produkte finden Sie in der offiziellen Mitteilung von Fortinet.

Privilegieneskalationsfehler in SonicWall SMA 1000-Appliances

CVE-2025-40602 (CVSS 6.6, EPSS 84. Perzentil) ist eine lokale Privilegieneskalationsschwachstelle, die die Appliance Management Console von SonicWall Secure Mobile Access (SMA) 1000-Appliances betrifft. Die Schwachstelle wird durch unzureichende oder fehlende Autorisierung verursacht [CWE-862]. Die Ausnutzung kann zur Ausführung von Befehlen auf Root-Ebene des Betriebssystems führen. CVE-2025-40602 steht nun auf der KEV-Liste der CISA und wird aktiv für unauthentifizierte RCE ausgenutzt, kombiniert mit CVE-2025-23006 (CVSS 9,8, EPSS 98. Perzentil), die im Januar 2025 veröffentlicht wurde und in unserem Threat Report vom Januar 2025 behandelt wird. CVE-2025-40602 kann jedoch auch allein mit lokalem Kontozugriff ausgenutzt werden.

Für beide CVEs sind keine detaillierten Angriffsanleitungen oder PoC-Exploits öffentlich verfügbar. Dies könnte darauf hindeuten, dass die laufenden Angriffe von staatlichen Akteuren oder anderen APT-Gruppen durchgeführt werden. Der OPENVAS ENTERPRISE FEED enthält Remote-Banner-Prüfungen für beide oben beschriebenen CVEs [1][2]. Betroffen sind SMA 1000 Series-Geräte (6200, 6210, 7200, 7210, 8000v, 8200v) der Versionen 12.4.3-03093 und früher sowie der Versionen 12.5.x bis 12.5.0-02002.

CVE-2025-14733: WatchGuard-VPNs erneut aktiv ausgenutzt

CVE-2025-14733 (CVSS 9,8, EPSS 97. Perzentil) ist eine nicht authentifizierte RCE-Sicherheitslücke, die mobile User-VPNs und Zweigstellen-VPNs von WatchGuard Firebox mit IKEv2 betrifft, wenn diese mit einem dynamischen Gateway-Peer konfiguriert sind. Die Ursache ist ein Softwarefehler, der das Beschreiben von Speicher außerhalb der Grenzen im iked IKEv2-Daemon ermöglicht, der für die Verwaltung von VPN-Sitzungen zuständig ist. Laut dem Bedrohungsbericht des Anbieters haben Eindringlinge Konfigurationsdateien und die Benutzerdatenbank aus kompromittierten VPN-Geräten exfiltriert [TA0010].

Die CVE wurde in die KEV-Datenbank der CISA aufgenommen, aber es sind noch keine Proof-of-Concept- oder detaillierten technischen Berichte verfügbar. Die Shadowserver Foundation meldet mehr als 100.000 betroffene Geräte, die im Internet exponiert sind. Ein ähnlicher Fehler beim Schreiben außerhalb des zulässigen Bereichs in WatchGuard-VPNs, CVE-2025-9242 (CVSS 9.8), wird seit September 2025 in freier Wildbahn ausgenutzt.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält Remote-Prüfungen für die beiden oben genannten CVEs [1][2], sodass Sicherheitsverantwortliche betroffene Geräte schnell identifizieren können. Weitere Informationen, darunter die konkret betroffenen Versionen und Konfigurationsanforderungen für die Ausnutzung, Maßnahmen zur Schadensbegrenzung und Indikatoren für Kompromittierung (IoC), finden Sie in der offiziellen Empfehlung von WatchGuard.

Array Networks AG Series VPNs für RCE ausgenutzt

CVE-2025-66644 (CVSS 9.8, EPSS 86. Perzentil) ist eine Sicherheitslücke durch unbefugte Befehlsinjektion [CWE-78] in Array Networks ArrayOS AG Series VPNs mit aktivierter DesktopDirect-Fernzugriffsfunktion. Laut einem Anfang Dezember 2025 veröffentlichten Bericht wird CVE-2025-66644 seit mindestens August aktiv gegen Unternehmen in Japan ausgenutzt. Die Angriffskette umfasste die Installation von PHP-Webshells [T1505.003] und die Erstellung von betrügerischen Usern [T1136] zur Persistenz.

Die CVE wurde zur KEV-Liste der CISA hinzugefügt. Es ist jedoch kein öffentlicher PoC-Exploit verfügbar. Greenbone bietet eine Remote-Banner-Prüfung zur Erkennung anfälliger Geräte. Zur Risikominderung wird ein Upgrade auf ArrayOS Version 9.4.5.9 oder höher empfohlen.

Ivanti behebt neue Schwachstellen in EndPoint Manager (EPM)

Im Dezember 2025 wurden vier neue riskante CVEs veröffentlicht und gepatcht, die Ivanti EndPoint Manager (EPM) betreffen. Bislang wurden noch keine aktiven Exploits gemeldet, und keine der Schwachstellen hat zu hohen EPSS-Werten geführt. Sie sollten ein Upgrade auf Ivanti Endpoint Manager 2024 SU4 SR1 durchführen und sicherstellen, dass EPM nicht mit dem Internet verbunden ist. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Erkennung für alle vier neuen Ivanti-Schwachstellen. Weitere Informationen finden Sie in der offiziellen Empfehlung von Ivanti.

Die vier neuen CVEs werden im Folgenden kurz beschrieben.

• CVE-2025-13659 (CVSS 8.8) ermöglicht das Schreiben beliebiger Dateien auf dem Server ohne Authentifizierung, was aufgrund einer unsachgemäßen Kontrolle dynamisch verwalteter Code-Ressourcen [CWE-913] möglicherweise zur Ausführung von Remote-Code führen kann.
• CVE-2025-13662 (CVSS 7.8) ermöglicht die Ausführung von nicht authentifiziertem Code durch unsachgemäße Signaturüberprüfung im Patch-Management-Prozess [CWE-347].
• CVE-2025-13661 (CVSS 8.0) ist eine authentifizierte Pfadüberquerungsschwachstelle [CWE-22], die das Schreiben beliebiger Dateien ermöglicht.
• CVE-2025-10573 (CVSS 6.1): Eine gespeicherte XSS-Sicherheitslücke [CWE-79], die die Ausführung von nicht authentifiziertem JavaScript in einer Admin-Sitzung in Ivanti Endpoint Manager Core und Remote-Konsolen ermöglicht.

Update: Neue CVEs erhöhen das Risiko durch Social Engineering

Social Engineering ist eine beliebte Angriffsmethode. Die Verwendung irreführender Kontexte, um Opfer zum Klicken auf Links und Dateien zu verleiten [T1566], hat sich als äußerst wirksames Mittel erwiesen, um sich unbefugten Zugriff und sogar RCE zu verschaffen. Hier sind einige neue Bedrohungen im Bereich Social Engineering, denen sich Sicherheitsteams entgegenstellen sollten:

Neue hochriskante 7-Zip-Sicherheitslücke hat öffentlichen PoC

CVE-2025-11001 (CVSS 7.8) ist eine Path-Traversal-Sicherheitslücke [CWE-22] in der 7-Zip-Anwendung für Windows, die durch die unsichere Verarbeitung von symbolischen Links im Linux-Stil in ZIP-Dateien verursacht wird. Ein böswillig erstelltes ZIP-Archiv kann potenziell RCE ermöglichen, indem es Dateien in sensible Verzeichnisse legt [T1574], oder andere Angriffe ermöglichen, wie z. B. das Platzieren von Malware an sichtbaren Stellen auf dem System des Opfers, in der Hoffnung, dass sie ausgeführt wird [T1204.002]. Unter Windows hängt die Ausnutzung davon ab, dass der lokale Useraccount über die Berechtigung SeCreateSymbolicLinkPrivilege oder andere Konfigurationen wie den Entwicklermodus verfügt oder 7-Zip als Admin ausführt.

CVE-2025-11001 wurde nicht in die KEV-Liste der CISA aufgenommen, aber der britische NHS hat einen öffentlichen PoC-Exploit gemeldet [1]. Mehrere nationale CERT-Behörden haben weltweit Warnungen herausgegeben [2][3][4][5][6][7][8]. CVE-2025-11002 wird oft zusammen mit CVE-2025-11001 genannt, bleibt aber offiziell im Status RESERVED. CVE-2025-11001 wurde in der Version 25.00 von 7-Zip gepatcht. Der OPENVAS ENTERPRISE FEED von Greenbone enthält Erkennungstests für die Windows-Anwendung 7-Zip und andere Plattformen, die anfällige Versionen von 7-Zip enthalten.

CISA fügt neue WinRAR-Sicherheitslücke zur Liste aktiv ausgenutzter Schwachstellen hinzu

CVE-2025-6218 (CVSS 7.8) ist eine Verzeichnisüberquerungsschwachstelle [CWE-22], die WinRAR-Versionen 7.11 und früher betrifft. Ähnlich wie bei der oben beschriebenen CVE-2025-11001 können Eindringlinge, die ein Opfer dazu verleiten, eine bösartige Archivdatei zu öffnen, Dateien an sensiblen Speicherorten auf dem Zielsystem ablegen, was möglicherweise zu einer Malware-Infektion führen kann. Im August 2025 wurde eine weitere WinRAR-Sicherheitslücke, CVE-2025-8088 (CVSS 8.8), in Spionagekampagnen ausgenutzt.

Es liegen mehrere technische Analysen zu CVE-2025-6218 vor [1][2]. Die chinesische Bedrohungsanalyse 360 Threat Intel hat die Angriffe der Gruppe APT-C-08 (auch bekannt als BITTER, Manlinghua, T-APT-17) zugeschrieben. Die Gruppe ist eine seit 2013 aktive Advanced Persistent Threat (APT) und bekannt dafür, dass sie Regierungs-, Energie-, Militär- und Verteidigungsindustrieunternehmen in Südasien ins Visier nimmt [3][4]. Am 9. Dezember 2025 hat die CISA CVE-2025-6218 in ihre KEV-Liste aufgenommen, und es wurden zahlreiche nationale CERT-Warnungen herausgegeben, die bis zum Zeitpunkt der ersten Offenlegung der CVE zurückreichen [5][6][7][8][9][10][11].

Der OPENVAS ENTERPRISE FEED enthält eine authentifizierte Sicherheitsüberprüfung, um das Vorhandensein von anfälligen WinRAR-Anwendungen auf Windows-Endpunkten zu erkennen. Es wird empfohlen, auf die neueste Version von WinRAR für Windows zu aktualisieren.

CVE-2025-66516: Neue Leitlinien für kritische Apache-Tika-Sicherheitslücke

CVE-2025-66516 (CVSS 9.8) ist eine neue CVE mit maximaler Schwere, die Apache Tika betrifft, ein Open-Source-Toolkit zur Analyse und Extraktion von Inhalten. Die Anwendung wird häufig in Such-, ETL- und Indizierungspipelines, bei der Verhinderung von Datenverlusten (DLP) und Compliance-Scans sowie in KI-RAG-Systemen verwendet, um verschlüsselte Dokumente (wie .pdf und .docx) in Klartext und Metadaten umzuwandeln.

CVE-2025-66516 ermöglicht es jedem Schadakteur, der eine böswillig erstellte XFA-fähige PDF-Datei an den Apache Tika-Prozessor übermitteln kann, eine XML-External-Entity-Injection [CWE-611] auszulösen. Die Ausnutzung ermöglicht aufgrund der unsicheren Verarbeitung externer Entitäten während der XFA-XML-Analyse die Offenlegung von Dateien, SSRF und DoS.

CVE-2025-66516 gilt als Erweiterung von CVE-2025-54988 (CVSS 8.4), veröffentlicht im August 2025. CVE-2025-54988 beschrieb die betroffenen Komponenten nicht korrekt; wurde das tika-parser-pdf-Modul aktualisiert, aber nicht tika-core, waren Systeme weiterhin anfällig. Das Patchen erfordert die Aktualisierung der gesamten Abhängigkeitskette auf eine korrigierte Version.

Obwohl Berichte keine aktive Ausnutzung oder Verwendung von Ransomware vermuten lassen, ist ein öffentlicher PoC-Exploit verfügbar. Die Schwachstelle ist aufgrund der weit verbreiteten Verwendung von Tika in automatisierten Dokumentenverarbeitungs-Pipelines mit einem hohen Risiko verbunden. Das belgische CERT.be und das koreanische KRCERT haben Warnungen herausgegeben. Der OPENVAS ENTERPRISE FEED von Greenbone enthält Erkennungstests für CVE-2025-66516, darunter betroffene Upstream-SaaS-Produkte von Atlassian, Elastic und anderen.

Zusammenfassung

Im Dezember 2025 tauchten während der Feiertage kritische CVEs auf, die Sicherheitsverantwortliche zu Notfall-Patches und einer schnellen Triage zwangen. Dieser Bericht behandelt neue, aktiv ausgenutzte Schwachstellen, darunter MongoBleed, einen nicht authentifizierten RCE von SmarterMail, OSGeo GeoServer und aktuelle Angriffe auf Edge-Geräte wie die von Fortinet SonicWall, WatchGuard und anderen. Sicherheitsbeauftragte, die ihre IT-Infrastruktur absichern möchten, können OPENVAS BASIC kostenlos testen, einschließlich einer zweiwöchigen kostenlosen Testversion von OPENVAS ENTERPRISE FEED.

Wer will nicht, dass sich neue Software problemlos in eine bestehende IT-Umgebung integrieren lässt? Für uns bedeutet dies, eine plattformübergreifende Mischung aus Betriebssystemen und Infrastrukturen zu unterstützen. Wir freuen uns, unsere Unterstützung für Virtualisierungsplattformen zu erweitern und Proxmox VE in unsere Familie der unterstützten Hypervisoren aufzunehmen. Diese Ergänzung ermöglicht mehr Flexibilität bei der Bereitstellung von OPENVAS SCAN in unterschiedlichen IT-Umgebungen. Proxmox VE-Usern und anderen steht eine kostenlose Testversion von Greenbones OPENVAS BASIC zur Verfügung, mit der sie ihre IT-Infrastruktur auf Schwachstellen scannen und Cyberangriffen einen Schritt voraus sein können.

OPENVAS SCAN JETZT AUF PROXMOX VE

Für maximale Sicherheit und zuverlässige Leistung muss die Enterprise-Edition von OPENVAS SCAN von Greenbone innerhalb des Greenbone Operating System (GOS) ausgeführt werden. Dies ist jedoch kaum eine Einschränkung, da es viele Möglichkeiten gibt, Greenbone-Produkte einzusetzen. Erstens ist Greenbone der einzige Anbieter weltweit, der einsatzbereite, dedizierte Hardware-Appliances anbietet. Was die Virtual-Appliance-Editionen unserer Produkte angeht, so gewährleistet die große Auswahl an unterstützten Hypervisoren, dass Sie unsere Lösung auf allen gängigen Betriebssystemplattformen ausführen können. OPENVAS SECURITY INTELLIGENCE ist wirklich plattformübergreifend. Eine vollständige Übersicht über unsere Produktangebote finden Sie in unserem Lösungsvergleich.

Nun erweitern wir unsere Hypervisor-Unterstützung um Proxmox VE. Im weiteren Verlauf dieses Artikels werden wir die ersten Schritte mit der virtuellen Appliance OPENVAS SCAN im Proxmox VE Type-1-Hypervisor erläutern.

Die virtuelle Appliance OPENVAS SCAN unterstützt nun den Proxmox VE Type-1-Hypervisor

Greenbone freut sich, die Unterstützung für die Proxmox VE-Virtualisierung hinzuzufügen. Proxmox VE ist ein Debian-Linux-basierter Typ-1-Hypervisor. Als Typ-1-Hypervisor läuft Proxmox VE direkt auf der Hardware des Hosts. Dadurch sind virtualisierte Appliances näher an der zugrunde liegenden Hardware und bieten eine verbesserte Leistung, geringere Latenz und eine effizientere Nutzung der Ressourcen. Das Ergebnis ist eine schnellere und zuverlässigere Virtualisierungsumgebung. Im Gegensatz dazu laufen Typ-2-Hypervisoren auf dem Host-Betriebssystem und fügen eine zusätzliche Ebene zwischen der Hardware und den VMs hinzu.

Proxmox VE selbst wurde im April 2008 erstmals veröffentlicht und vereint den KVM-Hypervisor des Linux-Kernels und QEMU für die Hardware-Emulation über eine Debian-basierte Verwaltungsplattform. QEMU ist seit 2003 ein Open-Source-Maschinenemulator und wird heute von der QEMU-Projekt-Community gepflegt. Linux KVM erschien im Februar 2007 im Mainline-Kernel und unterstützt weiterhin das Linux-Virtualisierungs-Ökosystem.

Ganz gleich, ob Ihr Unternehmen bereits Greenbone nutzt und nach neuen Virtualisierungsoptionen sucht, oder ob Sie bisher auf Support für Ihre Proxmox-Umgebung gewartet haben – wir haben jetzt die passende Lösung für Sie.

Wie richte ich OPENVAS SCAN auf Proxmox VE ein?

Eine Proxmox VE-fähige Instanz der virtuellen Appliance OPENVAS SCAN bei einem Mitglied des Greenbone-Vertriebsteams angefordert werden. Dieses spezielle Image, das als .zst-Sicherungsdatei bereitgestellt wird, ist für Proxmox optimiert. Sobald Sie die .zst-Datei erhalten haben, führen Sie die folgenden Schritte aus, um die virtuelle Appliance OPENVAS SCAN zu installieren und zu konfigurieren:

1. Verwenden Sie den SSH-Befehl „secure copy“ (scp), um die .zst-Datei in den entsprechenden Ordner auf Ihrem Proxmox VE-System zu verschieben. Dies ist in der Regel der Ordner /var/lib/vz/dump. Ein typischer Befehl würde also lauten:

1. Das Backup-Image wird nun in der Proxmox VE-Weboberfläche auf der linken Seite unter Storage -> local (pve) -> Backups angezeigt.
2. Markieren Sie die hochgeladene Datei und klicken Sie auf die Schaltfläche „Zurückspielen“ (engl. “Restore”). Die virtuelle Appliance OPENVAS SCAN ist mit den optimalen virtuellen Hardwareeinstellungen und den erforderlichen Mindestressourcen vorkonfiguriert. Wenn Sie eine höhere Leistung wünschen, können Sie die Ressourcen wie CPU und RAM vor oder nach dem Importieren der Appliance erhöhen.
3. Nach dem Import wird die VM in der Registerkarte „Virtual Machine“ auf der linken Seite der Proxmox VE-Weboberfläche angezeigt. Sie können die VM markieren und ganz rechts auf „Start“ klicken.
4. Schließlich können Sie über die Schaltfläche „>_ Console“ ganz rechts eine NoVNC-Konsole für die laufende VM öffnen und den Einrichtungsprozess für OPENVAS SCAN abschließen

Welche Hypervisoren unterstützt die virtuelle Appliance OPENVAS SCAN?

Um Ihnen bei der Auswahl der für Ihre Umgebung am besten geeigneten Bereitstellungsmethode zu helfen, finden Sie im Folgenden eine Übersicht über die erforderlichen Ressourcen und die Hypervisor-Unterstützung von OPENVAS SCAN.

Die virtuelle Appliance OPENVAS SCAN benötigt die folgenden Ressourcen:

• 2 virtuelle CPUs
• 12 GB RAM
• 500 GB virtuelle Festplatte (kann dynamisch zugewiesen werden)

Die folgenden Hypervisoren werden offiziell unterstützt:

Zusammenfassung

Greenbone hat die Unterstützung für die Bereitstellung unserer virtuellen Appliance OPENVAS SCAN auf dem Proxmox VE Type-1-Hypervisor erweitert und bietet Ihnen damit eine schnellere, flexiblere und hardwareeffizientere Möglichkeit, Schwachstellenscans in Unternehmen durchzuführen. Diese neue Funktion erweitert die Virtualisierungsoptionen und stellt sicher, dass OPENVAS SCAN sicher in verschiedene IT-Umgebungen integriert werden. Proxmox VE-User und andere können eine kostenlose Testversion von Greenbones OPENVAS BASIC nutzen, um ihre IT-Infrastruktur auf neue Bedrohungen zu scannen und Cyberangriffen einen Schritt voraus zu sein.

Der Q-Day markiert den Zeitpunkt, an dem Quantencomputer klassische Kryptografie-Standards überflüssig machen werden. Die von Quantencomputern ausgehenden Risiken erfordern eine Umstellung auf Post-Quanten-Kryptografie (PQC). Greenbone bereitet sich proaktiv auf diese Zukunft vor – durch die Aktualisierung unserer internen Infrastruktur, die Prüfung unserer Partner und die Verbesserung der OPENVAS SECURITY INTELLIGENCE-Plattform mit verbesserten Erkennungs- und neuen Prüfungsfunktionen. Das Ziel ist es, sicherzustellen, dass unsere digitalen Abläufe und die unserer Kundschaft Post-Quanten-Sicherheit (PQS) erreichen können. Greenbone wird quantenfähig – innen und außen. Wir heben die Erkennung und das Management von Schwachstellen auf eine neue Ebene – die Quantenebene.

Quantencomputer versprechen eine beispiellose und fast unvorstellbare Rechenleistung [1]. Die Quanten-Singularität (bekannt als „Q-Day“) steht für den Übergang von einer theoretischen Quantenbedrohung zu einem realen, operativen Risiko – wenn ein quantenfähiger Bedrohungsakteur einer Organisation irreparablen Schaden zufügen kann [2][3]. Für Hochsicherheitsanwendungen arbeitet das deutsche BSI unter der Hypothese, dass der Q-Day Anfang der 2030er Jahre relevant werden wird [4]. Die Bemühungen zur Entwicklung und Standardisierung von PQC laufen seit mehr als einem Jahrzehnt. Während die Quantenforschung und -entwicklung eine globale Aufgabe ist, übernimmt das NIST die Führung bei der Fertigstellung globaler Standards bis 2027 [5][6].

Das primäre Ziel der Cyber-Verteidigung ist es, PQS zu erreichen, indem Hochsicherheitssysteme auf die neuen global qualifizierten PQC-Standards umgestellt werden. In einigen Fällen erfordert dies die schrittweise Einstellung der Unterstützung für Prä-Quanten-Algorithmen. In anderen Fällen bedeutet dies lediglich eine Erhöhung der Schlüssellänge für etablierte klassische Algorithmen. Durch die Umstellung auf PQS-Standards sind Unternehmen rechtzeitig vor dem Q-Day vorbereitet.

Als Verbraucher digitaler Produkte und Anbieter der OPENVAS SECURITY INTELLIGENCE-Plattform bereitet sich Greenbone auf den Q-Day und das Post-Quanten-Zeitalter vor. Wir haben dabei eine doppelte Verantwortung: Erstens müssen unsere internen Abläufe und digitalen Produkte widerstandsfähig gegen Angriffe sein. Zweitens müssen wir unsere Sicherheitsprodukte mit neuen Funktionen ausstatten und neue Erkennungs-, Audit- und Berichtsfunktionen hinzufügen, um unserer Kundschaft bei der Umsetzung der PQS-Konformität zu unterstützen. Lesen Sie weiter, um mehr über die Zukunft von PQS zu erfahren und zu erfahren, wie Greenbone sich auf das Post-Quanten-Zeitalter vorbereitet!

Greenbone macht sich bereit für Quanten – innen und außen

Als Anbieter digitaler Produkte muss Greenbone die etablierten PQC-Standards implementieren, um sowohl unsere eigenen IT-Abläufe zu schützen als auch unserer Kundschaft dabei zu helfen, ihre eigenen zu verteidigen. Intern wird Greenbones Weg zur PQS von mehreren Faktoren bestimmt. Dazu gehören unser Bekenntnis zu den höchsten Standards für IT-Sicherheit sowie unsere Zertifizierungen nach ISO/IEC 27001 und ISO 9001:2025 [1]. Unsere außergewöhnliche Erkennungsabdeckung motiviert uns ebenfalls, unsere Führungsrolle zu behaupten.

Technische Richtlinien, die von akkreditierten Regierungsstellen veröffentlicht wurden, wie beispielsweise die TR-02102-Reihe des deutschen BSI, definieren den Umfang der PQS-Landschaft; andere nationale Regierungen haben ihre eigenen Prognosen und Richtlinien veröffentlicht [2][3][4][5][6]. Unser Team bei Greenbone analysiert solche Prognosen, um die PQS-Konformität in unserer gesamten digitalen Infrastruktur zu gestalten und Upgrades für unsere OPENVAS SECURITY INTELLIGENCE-Produktreihe und den OPENVAS ENTERPRISE FEED zu planen. Unsere Bemühungen erstrecken sich auch auf die Prüfung von IKT Drittparteien, um die vollständige Konformität in unseren digitalen Abläufen sicherzustellen. Angesichts der zunehmenden Bedrohung durch Quantencomputer sind wir weiterhin bestrebt, mit den sich weiterentwickelnden PQS-Standards Schritt zu halten.

Aktualisierung der Erkennungs- und Compliance-Profile von OPENVAS SCAN

Als branchenführende Plattform für das Scannen und Verwalten von Schwachstellen muss Greenbone Verstöße gegen etablierte PQS-Standards erkennen. Um diesen Erwartungen gerecht zu werden, fügen wir unserem OPENVAS ENTERPRISE FEED neue Erkennungstests hinzu. Dazu gehören neue NASL-Skripte zur Prüfung der Implementierung von PQC und die Bereitstellung eines speziellen PQS-Compliance-Scans. Weitere Upgrades umfassen eine Cryptography Bill of Materials (CBOM) zur Verfolgung aller identifizierten Verschlüsselungsmethoden pro IT-Asset, die für mehr Transparenz sorgt, sowie spezialisierte Berichte in einem strukturierten Format.

Diese Upgrades liefern unserer Kundschaft einen klaren Nachweis der PQS-Konformität und melden nicht konforme Dienste. Gemäß den Vorgaben von NIST CSWP 48 wird OPENVAS SCAN die Erkennung von Netzwerkdiensten, Cloud-Diensten, Endusersystemen und -servern, Anwendungen sowie Softwarepaketen und -bibliotheken unterstützen. Durch die Implementierung von Discovery für PQS können Unternehmen die Einhaltung der IT-Sicherheitsstandards erreichen, die für ihre betrieblichen Anforderungen gelten.

OPENVAS SCAN wird die PQS-Konformität für viele gängige Protokolle erkennen, darunter:

Zeitplan für die Umsetzung der PQS-Standards

Das britische National Cyber Security Centre (NCSC) hat einen allgemeinen Zeitplan für die Migration der IT-Infrastruktur auf PQS-konforme Standards vorgelegt [1].

Abbildung 1: Allgemeiner Zeitplan für die Migration auf PQS

Die Auswirkungen von Quantencomputern auf kryptografische Primitive

Kryptografische Primitive sind die Grundbausteine einer sicheren digitalen Kommunikation. Jede kryptografische Funktion hat eine andere Aufgabe bei der Gewährleistung sicherer Online-Transaktionen: Fernauthentifizierung, Gewährleistung der Vertraulichkeit, Integrität und Authentizität von Daten während der Übertragung und im Ruhezustand sowie Nichtabstreitbarkeit. Obwohl es etablierte Standards zur Abwehr klassischer kryptografischer Angriffe auf Siliziumbasis gibt, wird erwartet, dass feindliche Quantentechnologien deren Widerstandsfähigkeit erheblich beeinträchtigen werden. Infolgedessen werden quantenfähige Angreifende in der Lage sein, verdeckte Spionagekampagnen und digitale Identitätsdiebstähle sowohl von menschlichen als auch von nicht-menschlichen Entitäten gegen Mechanismen durchzuführen, die nicht den neuen PQS-Standards entsprechen.

Die Sicherheitslage wird durch HNDL-Angriffe (Harvest Now Decrypt Later) weiter verkompliziert, bei denen Eindringlinge verschlüsselte Nachrichten aufzeichnen, die sie erst später entschlüsseln können – sobald sie über ausreichend fortschrittliche Quantentechnologie verfügen. HNDL-Angriffe machen die zeitnahe Implementierung von PQC noch wichtiger, insbesondere für hochsensible Daten. Gemäß der NIST-Standardisierung für Post-Quanten-Kryptografie werden Quantencomputer voraussichtlich folgende Auswirkungen auf die einzelnen kryptografischen Primitive haben:

Die Auswirkungen von Q-Day auf die symmetrische Verschlüsselung (AES, ChaCha20)

Bedrohungsstufe: Moderat – reduzierte effektive Schlüsselstärke

Quantencomputer, die den Grover-Algorithmus verwenden, sind in der Lage, einen Schlüsselraum in etwa √N Zeit zu durchsuchen, anstatt der N Zeit, die für herkömmliche Brute-Force-Kryptografieangriffe erforderlich ist [1]. Dadurch wird die Sicherheit symmetrischer Schlüssel effektiv halbiert: Ein 128-Bit-Schlüssel bietet nur noch eine Post-Quanten-Sicherheit von ≈64 Bit, ein 256-Bit-Schlüssel nur noch ≈128 Bit.

Die folgende Tabelle gibt einen Überblick darüber, wie symmetrische Schlüssel vom Grover-Algorithmus beeinflusst werden [2][3][4].

Darüber hinaus sind sich Experten zwar einig, dass aktuelle Verschlüsselungsalgorithmen wie AES durch eine einfache Erhöhung der Bitstärke geheimer Schlüssel ausreichend quantenresistent werden, doch dieser Ansatz stellt eine erhöhte Belastung für klassische CPUs auf Siliziumbasis dar. Daher besteht Bedarf an der Entwicklung neuer Algorithmen, die sowohl für die siliziumbasierte Datenverarbeitung effizient als auch gegenüber quantenbasierten kryptografischen Analysen robust sind.

Die Auswirkungen des Q-Day auf asymmetrische Verschlüsselung und digitale Signaturen (RSA, DSA, ECC)

Bedrohungsstufe: Schwerwiegend – vollständig geknackt

Der Shor-Algorithmus ermöglicht es Quantencomputern, große ganze Zahlen effizient zu faktorisieren und diskrete Logarithmen zu lösen [1][2] – die mathematische Grundlage von RSA, dem Digital Signature Algorithm (DSA) und der Elliptic Curve Cryptography (ECC). Daher müssen die klassischen Algorithmen, auf denen asymmetrische Verschlüsselung und digitale Signaturen basieren, vollständig durch quantenresistente Algorithmen ersetzt werden. Im August 2024 veröffentlichte das NIST FIPS 204 zur Fertigstellung von ML-DSA (CRYSTALS-Dilithium) und FIPS 205 für SLH-DSA (SPHINCS+) als US-Bundesstandards. FIPS 206 zur formellen Standardisierung von FN-DSA (Falcon) befindet sich in der Entwicklung [3][4][5].

Die folgende Tabelle gibt einen Überblick darüber, wie klassische und PQC-asymmetrische Kryptografiealgorithmen vom Shor-Algorithmus beeinflusst werden [6][7][8].

Die Auswirkungen des Q-Day auf die Echtzeit-Schlüsselerstellung

Bedrohungsstufe: Schwerwiegend – Diffie-Hellman und ECC sind geknackt

Da vorquantische Echtzeit-Schlüsselerstellungsmechanismen wie Diffie-Hellman (DH) und Elliptic-Curve Diffie-Hellman (ECDH) auf Public-Key-Kryptografie basieren, sind auch sie vom Shor-Algorithmus betroffen. Daher müssen diese klassischen Mechanismen durch postquantische Schlüsselkapselungsmechanismen (KEM) ersetzt werden. Per Definition unterscheidet sich KEM von anderen Schlüsselaustauschmechanismen dadurch, dass eine Partei einen zufälligen symmetrischen Schlüssel generiert und diesen dann mit dem öffentlichen Schlüssel der anderen Partei kapselt. Im Gegensatz dazu berechnen bei DH und ECDH beide Seiten unabhängig voneinander einen Teil des endgültigen gemeinsamen symmetrischen Schlüssels und sind beide Seiten dafür verantwortlich, diese Teile zu einem endgültigen gemeinsamen Schlüssel zu kombinieren.

Während der Übergangsphase hin zu einer vollständigen postquantum-sicheren Schlüsselvergabe werden hybride Schlüsselaustauschverfahren bevorzugt. Hybride Schlüsselaustauschverfahren verwenden sowohl einen klassischen Algorithmus wie ECDH als auch einen postquantum-sicheren KEM. Auf diese Weise bleibt die Sitzungsherstellung auch dann sicher, wenn ein Angriff auf einen Algorithmus entdeckt wird.

Im August 2024 finalisierte das NIST den FIPS-203-Standard für ML-KEM (basierend auf dem CRYSTALS-Kyber-Algorithmus) für die quantenresistente Schlüsselgenerierung. Zuletzt fügte das NIST im Jahr 2025 den Hamming-Quasi-Cyclic-Algorithmus (HQC) zur Liste der PQS-Schlüsselgenerierungsstandards hinzu [1].

Die folgende Tabelle beschreibt die Quantenbedrohung für klassische Echtzeit-Schlüsselaufbauverfahren sowie die PQS-konformen Hybrid- und ML-KEM-Algorithmen [4][5][6].

Die Auswirkungen des Q-Day auf Hash-Algorithmen (SHA-2, SHA-3)

Bedrohungsstufe: Niedrig – leicht geschwächt

Quantenangriffe wie der Grover-Algorithmus und der Brassard-Høyer-Tapp-Algorithmus (BHT) reduzieren die Kollisionsresistenz effektiv auf etwa ein Drittel ihrer klassischen Stärke [1]. Ähnlich wie bei der symmetrischen Verschlüsselung wurden für PQS keine speziellen Funktionen mit intrinsischen Eigenschaften entwickelt. Daher besteht die wirksame Strategie darin, die Ausgabelänge zu erhöhen. Beim Hashing bezieht sich die Bitstärke darauf, wie viele Rechenoperationen (im Durchschnitt) erforderlich sind, um entweder die Präimage-Resistenz oder die Kollisionsresistenz zu brechen [2].

Die folgende Tabelle gibt einen Überblick darüber, wie Hash-Algorithmen durch Grovers Algorithmus unter Verwendung eines Quantencomputers beeinflusst werden [3][4][5].

Zusammenfassung

Da der Q-Day näher rückt, müssen Unternehmen auf neue PQC-Standards umsteigen, um die Widerstandsfähigkeit ihrer Online-Kommunikation in Form von Datenschutz und Schutz vor Datenverlust zu gewährleisten. Greenbone unternimmt entschlossene Schritte, um vollständige PQS-Konformität zu erreichen – durch die Modernisierung interner Abläufe, die Anpassung an etablierte Standards und die Ausstattung unserer OPENVAS SECURITY INTELLIGENCE-Plattform mit PQC-Erkennungs- und robusten Compliance-Audit-Tools. Greenbone wird von innen und außen quantentauglich. Wir heben die Erkennung und das Management von Schwachstellen auf eine neue Ebene – die Quantenebene.

Dringlichkeit, Angst, Neugier, Vertrauen, Gier, Mitgefühl – Social Engineering ist äußerst erfolgreich darin, menschliche Emotionen für Cyberangriffe auszunutzen. Social-Engineering-Angriffe wurden als eine der wichtigsten Hauptursachen für eine große Zahl von Sicherheitsverletzungen identifiziert. Die meisten Auswertungen von Sicherheitsvorfällen führen Social Engineering unter den führenden Techniken für den Initialzugriff. Der jüngste Anstieg von KI-gestützten Phishing-Angriffen und Datendiebstahl verschafft Angreifern zusätzlich einen Vorteil, da ihnen kontextbezogene personenbezogene Daten und sensible Geschäftsinformationen zur Verfügung stehen.

Der Data Breach and Investigations Report (DBIR) 2025 von Verizon führt die Incident-Class „Social Engineering“ als Ursache für rund 17 % aller Sicherheitsverletzungen weltweit und 20 % im asiatisch-pazifischen Raum (APAC) an. Laut Sprinto war Social Engineering im Jahr 2025 in etwa 36 % der Vorfälle der Vektor für den Erstzugriff. Für Unternehmen können die Folgen verheerend sein; Ransomware, Datendiebstahl und Betriebsunterbrechungen können zu schwerwiegenden, umsatzschädigenden Auswirkungen führen.

Zu den fortgeschrittensten Social-Engineering-Kampagnen gehört eine besonders gefährliche Kombination: psychologische Manipulation gepaart mit der ausgefeilten Ausnutzung von Softwareschwachstellen. Solche Angriffsverläufe gehen weit über den „klassischen“ Phishing-Angriff hinaus, der darauf abzielt, den Benutzernamen und das Passwort eines Ziels zu stehlen. Sie verfolgen das Ziel, sich unmittelbar unbefugten Zugriff auf den Rechner des Opfers zu verschaffen, sich seitlich im lokalen Netzwerk zu bewegen und Daten zu exfiltrieren — mit nur einem falschen Klick, in einem einzigen Schlag.

In diesem Artikel betrachten wir einige ausgefeilte Social-Engineering-Kampagnen der jüngeren Vergangenheit — Angriffe, die menschliche Täuschung mit der Ausnutzung ungepatchter Softwareschwachstellen verbinden. Lesen Sie weiter, um mehr über die aktuelle Social-Engineering-Bedrohungslage zu erfahren und darüber, wie proaktives Vulnerability Management mit OPENVAS SECURITY INTELLIGENCE eine Defense-in-Depth-Strategie der Cybersicherheit unterstützt, einschließlich des Schutzes vor fortgeschrittenen Social-Engineering-Angriffen.

Fortgeschrittene Social-Engineering-Angriffe erfordern einen Defense-in-Depth-Ansatz

Die ausgefeiltesten Social-Engineering-Angriffe verbinden menschliche Täuschung mit technischer Ausnutzung. Der klassische „Phishing-Angriff“ [T1566] verleitet Benutzer dazu, ihre Zugangsdaten — einschließlich MFA-Codes — auf einer täuschend echt gestalteten, gefälschten Website einzugeben. In weiterentwickelten Varianten von Social-Engineering-Angriffen können Angreifer jedoch Remote Code Execution (RCE) direkt auf dem System des Opfers erreichen, um eine vollständige Systemkompromittierung zu erzielen, persistente Malware installieren oder sich sogar seitlich innerhalb des internen Netzwerks einer Organisation bewegen [T1210].

So funktionieren fortgeschrittene Social-Engineering-Angriffe:

• Phishing-Nachrichten liefern bösartige Dateianhänge [001] oder Links [T1566.002], begleitet von einem sozialen Kontext, der das Opfer zum Anklicken verleitet [T1204].
• Sobald geklickt wurde, wird das bösartige Payload des Angreifers ausgeführt. Je nach Aufbau kann es versuchen, Daten zu stehlen [T1003][T1005], ausgenutzte Softwareschwächen auf dem lokalen System des Opfers anzugreifen [T1203] oder zu zugänglichen Netzwerkdiensten zu pivotieren [T1210].
• In einigen Fällen müssen Angreifer nicht einmal direkt mit ihren Zielen kommunizieren. Indem sie bösartige Ressourcen im öffentlichen Internet bereitstellen [T1189], können Opfer ihnen über manipulative Werbung [008] oder beim Ausführen von Dokumenten oder Softwareanwendungen begegnen, die sie für sicher halten [T1189][T1204].
• Selbst wenn der Social-Engineering-Angriff der ersten Stufe keine Softwareschwachstelle direkt ausnutzt, können Angreifer Malware nachladen [T1105], um Fernzugriff auf den Rechner des Opfers zu erhalten.
• Sobald sie im System sind, versuchen Angreifer schnell, ihren unbefugten Zugriff auszuweiten: Persistenz aufzubauen [TA0003], ihre Privilegien zu erhöhen [TA0004] und sich seitlich im Netzwerk zu bewegen [TA0008].

In all diesen Fällen bedeutet ungepatchte Software häufig den Unterschied zwischen einem harmlosen Sicherheitsvorfall und einem kostspieligen Data-Breach-Szenario. Defense-in-Depth-Sicherheitskontrollen, einschließlich Vulnerability Management, Patch-Management und Netzsegmentierung, stellen sicher, dass ein Angreifer seinen Zugriff nicht ausweiten kann — selbst wenn ein Social-Engineering-Versuch erfolgreich ist. Durch die kontinuierliche Identifizierung und Beseitigung ausnutzbarer Schwachstellen begrenzt Vulnerability Management den Schadensradius des Erstzugriffs und verhindert, dass sich lokale Kompromittierungen in der gesamten Umgebung ausbreiten.

Wie Greenbone bei der Abwehr fortgeschrittener Social-Engineering-Angriffe hilft

Greenbone unterstützt Organisationen dabei, ihre Resilienz gegenüber fortgeschrittenen Social-Engineering-Angriffen zu erhöhen, indem IT-Verantwortlichen ermöglicht wird, technische Sicherheitslücken zu schließen. Der OPENVAS ENTERPRISE FEED von Greenbone enthält über 200.000 einzelne Schwachstellentests — eine Erkennungs-Engine, die in der Branche führend ist. Der Feed wird täglich aktualisiert, um die Abdeckung neu aufkommender CVEs sicherzustellen. Eine kostenlose Testversion von OPENVAS BASIC steht IT-Verantwortlichen zur Verfügung, um ihre Enterprise-IT-Infrastruktur auf neu entstehende Bedrohungen zu scannen, einschließlich der Schwachstellen, die in fortgeschrittenen Social-Engineering-Kampagnen ausgenutzt werden.

Vulnerability Management gilt als eine grundlegende Sicherheitsmaßnahme [1][2][3]. Durch die Aufrechterhaltung eines kontinuierlichen Vulnerability Management-Prozesses können Organisationen die Wahrscheinlichkeit erheblich verringern, dass eine einzelne Phishing-E-Mail oder ein bösartiger Anhang zu einer umfassenden Sicherheitsverletzung eskaliert. Das Scannen einer IT-Umgebung ermöglicht es Sicherheitsteams, Schwachstellen zu identifizieren und zu beheben, die Angreifern einen Erstzugriff verschaffen könnten, und trägt zudem dazu bei, zu verhindern, dass Angreifer nach einer anfänglichen Kompromittierung Privilegien eskalieren, sich seitlich bewegen oder Malware bereitstellen. Mit Greenbones neuem Produktangebot OPENVAS REPORT erhalten Unternehmen klare Risikoanalysen über ihre gesamte IT-Infrastruktur hinweg und können schnell erweiterte Compliance-Berichte erstellen.

Social-Engineering-Kampagnen, die ungepatchte Software ausnutzen

Viele fortgeschrittene Social-Engineering-Kampagnen sind dafür bekannt, ungepatchte Softwareschwachstellen auszunutzen. In diesem Abschnitt betrachten wir einige reale Kampagnen, die fortgeschrittenes Exploit-Chaining über Dateianhänge und linkbasierte Angriffe einsetzen. Die nachfolgend beschriebenen Kampagnen bilden jedoch nur einen kleinen Ausschnitt der bekannten Angriffe ab — und kontinuierlich entstehen neue, weiterentwickelte Angriffskampagnen.

CVE-2025-8088: WinRAR-Schwachstelle ermöglicht das Einschleusen bösartiger Dateien

Mitte Juli 2025 beobachtete ESET die aktive Ausnutzung von CVE-2025-8088 (CVSS 8.8), einer WinRAR-Schwachstelle, im Rahmen fortlaufender Social-Engineering-Angriffe. CVE-2025-8088 ermöglicht es unbefugten Angreifern, bösartige Dateien in sensible Verzeichnisse — darunter den Windows-Autostart-Ordner — zu kopieren, sodass sie automatisch ausgeführt werden, sobald sich das Opfer anmeldet. Die technischen Details zu dieser Kampagne wurden im August ausführlich im Greenbone-Blog behandelt.

Die Angriffe wurden der Gruppe RomCom (auch bekannt als Storm-0978, Tropical Scorpius, UNC2596) zugeschrieben, einem russlandnahen Bedrohungsakteur, der für den Einsatz seiner eigenen charakteristischen Malware (RomCom RAT) bekannt ist. Während der jüngsten Kampagne, in der CVE-2025-8088 in WinRAR ausgenutzt wurde, verteilten Spear-Phishing-E-Mails präparierte RAR-Archive an Zielorganisationen aus den Bereichen Finanzwesen, Fertigung, Verteidigung und Logistik in Europa und Kanada. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2025-8088.

CVE-2025-27915: Bösartige Kalenderdateien zur Ausnutzung von Zimbra

Im September 2025 richtete sich eine Kampagne gegen das brasilianische Militär, bei der manipulierte .ICS-Kalenderdateien ausgeliefert wurden, die speziell dafür entwickelt waren, CVE-2025-27915 (CVSS 5.4) auszunutzen — eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle [CWE-79] in der Zimbra Collaboration Suite. Die Phishing-E-Mails waren als legitime Einladungen ausländischer politischer Stellen getarnt. Die .ICS-Dateien enthielten eingebettetes JavaScript, das beim Öffnen im Classic Web Client von Zimbra automatisch ausgeführt wurde. Der iCalendar-Standard weist eine lange Historie von Sicherheitsrisiken auf, darunter zahlreiche XSS-Schwachstellen in verschiedenen Unternehmenssoftware-Anwendungen.

In der jüngsten Kampagne waren Angreifer in der Lage, Session-Cookies, E-Mail-Inhalte und Kontaktlisten zu stehlen sowie bösartige E-Mail-Weiterleitungsregeln zu erstellen, um die Kommunikation der Opfer dauerhaft zu exfiltrieren. Ungepatchte Systeme bleiben verwundbar und werden weiterhin in gezielten Angriffen ausgenutzt. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2025-27915.

CVE-2025-2783: Chrome-Sandbox-Escape zur Spyware-Installation

Im März 2025 wurden Phishing-E-Mails mit Einladungen zu einem russischen Politikforum verwendet, um Opfer dazu zu verleiten, auf eine bösartige Datei zu klicken. Nach ihrer Ausführung nutzte die Datei CVE-2025-2783 (CVSS 8.3) aus — eine Sandbox-Bypass-Schwachstelle in der Mojo-Komponente von Google Chrome für Windows —, um Spyware zu installieren. Die Kampagne wurde unter dem Namen Operation ForumTroll bekannt.

CVE-2025-2783 geht auf eine Schwachstelle im Handle-Management des Mojo-IPC-Subsystems zurück und betrifft ausschließlich die Windows-Implementierung von Google Chrome. Die Schwachstelle ermöglicht es Angreifern, den Sandbox-Schutz von Chrome zu umgehen und auf das Windows-Betriebssystem zuzugreifen. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2025-2783 unter Windows [1].

CVE-2025-24054: Windows NTLM-Hash-Leak gegen europäische Einrichtungen

Im März 2025 wurden Phishing-E-Mails mit angehängten library-ms-Dateien in Angriffen eingesetzt, die sich gegen staatliche und private Unternehmen in Polen und Rumänien richteten. Die Angriffe nutzten eine neu offengelegte Schwachstelle aus — CVE-2025-24054 (CVSS 5.4) —, die Windows NTLM betrifft; die Ausnutzung begann nur wenige Tage nach der Veröffentlichung der Schwachstelle.

.library-ms-Dateien sind Library Description Schemas, die zur Definition von Windows-Bibliotheken verwendet werden. Die bösartigen.library-ms-Dateien enthielten Links zu von Angreifern kontrollierten Ressourcen und wurden entweder innerhalb von ZIP-Archiven ausgeliefert oder über Dropbox verlinkt. Das Anzeigen der Datei nutzte die Windows-SMB-Authentifizierungsfunktion aus, um NTLM-Authentifizierungshashes zu stehlen und diese Hashes anschließend wiederzuverwenden, um eine Domänenkompromittierung sowie laterale Bewegung im Netzwerk der Opfer zu erreichen.

CVE-2024-21412: Umgehung von Windows SmartScreen durch DarkGate-Akteure

Mitte Januar 2024 begann die Bedrohungsakteur-Gruppe hinter der DarkGate-Malware, CVE-2024-21412 (CVSS 8.1) auszunutzen — eine Umgehung von Microsoft Defender SmartScreen, die durch eine fehlerhafte Verarbeitung von Internet-Verknüpfungen verursacht wird. Phishing-E-Mails lieferten PDF-Anhänge mit eingebetteten Links, die Opfer auf .URL-Verknüpfungsdateien umleiteten, welche wiederum gefälschte Software-Installer nachluden. Diese Installer gaben sich als legitime Software aus (z. B. NVIDIA oder iTunes) und sideloadeten eine bösartige DLL, um die DarkGate-RAT-Malware zu installieren.

Die Kampagne richtete sich gegen Finanzorganisationen in Nordamerika, Europa, Asien und Afrika. Microsoft veröffentlichte am 13. Februar 2024 einen Patch für CVE-2024-21412. Diese Kampagne war jedoch nicht die erste, die Windows SmartScreen in Social-Engineering-Angriffen ausnutzte. Bereits 2023 wurde CVE-2023-36025 in ähnlicher Weise unter aktiver Ausnutzung beobachtet. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2024-21412 [1][2][3][4][5].

CVE-2024-42009: Roundcube Webmail XSS Schwachstelle von UNC1151 ausgenutzt

Im Juni 2025 zielte eine ausgefeilte Spear-Phishing-Kampagne über CVE-2024-42009 (CVSS 9.3https://secinfo.greenbone.net/cvsscalculator?cvssVector=CVSS%3A3.1%2FAV%3AN%2FAC%3AL%2FPR%3AN%2FUI%3AR%2FS%3AC%2FC%3AH%2FI%3AH%2FA%3AN) auf polnische Organisationen ab — eine Schwachstelle, die Roundcube Webmail betrifft. Die Schwachstelle ist ein kritischer Cross-Site-Scripting-(XSS)-Fehler, der die Ausführung beliebigen JavaScripts im Browser eines Benutzers erlaubt, allein durch das Öffnen einer speziell präparierten E-Mail.

In diesen Angriffen versendete die Bedrohungsgruppe UNC1151 rechnungsthematische E-Mails, die die Schwachstelle auslösten und dadurch einen bösartigen Service Worker im Browser des Opfers registrierten. Die Malware leitete anschließend die legitime Roundcube-Anmeldeseite über einen Proxy um, während sie gleichzeitig still und heimlich Zugangsdaten erfasste, Adressbücher stahl und Business-E-Mail-Compromise-(BEC)-Angriffe durchführte. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2024-42009.

CVE-2023-36884: Windows Search für RCE von Storm-0978 ausgenutzt

Mitte 2023 nutzten Bedrohungsakteure Social Engineering aus, um CVE-2023-36884 (CVSS 7.5) auszunutzen — eine Race-Condition-Schwachstelle [CWE-362] in Windows Search. Die Kampagne, die dem Bedrohungsakteur RomCom zugeschrieben wurde, verbreitete Word-Dokumente und nutzte die durch den Ukrainischen Weltkongress erzeugte Dringlichkeit aus, um Mitarbeiter von Verteidigungs- und Regierungsstellen in Europa und Nordamerika ins Visier zu nehmen. Nach dem Öffnen luden die Dokumente Skripte nach, injizierten iframes und stufen malware für den Fernzugriff vor, um CVE-2023-36884 auszunutzen.

Die Kampagne führte bei den betroffenen Organisationen zu finanziellen Verlusten, Datendiebstahl und betrieblicher Beeinträchtigung und ermöglichte zudem Spionage durch die Kompromittierung von Zugangsdaten und den Einsatz persistenter Remote-Access-Malware. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2023-36884.

Ist User Awareness-Training nicht ausreichend?

Viele Organisationen starten Programme zum Awareness-Training für Benutzer mit großen Erwartungen. Die tatsächliche Wirksamkeit solcher Trainings wurde jedoch zunehmend infrage gestellt. Zwar deuten einige Forschungsergebnisse darauf hin, dass Schulungen die Erkennung von Phishing-Versuchen deutlich verbessern können, doch zeigte sich, dass diese Verbesserungen ohne kontinuierliche Wiederholung im Laufe der Zeit wieder verblassen [1][2][3]. Zudem wurde festgestellt, dass der Grad der Verbesserung von Person zu Person stark variiert und dass es Zeit benötigt, bis das Training überhaupt wirksam wird [4]. Eine weitere Studie ergab, dass die Kombination von Awareness-Training mit technischen Kontrollen (z. B. MFA/OTP-Mechanismen oder URL-/Barrierefiltern) bessere Präventionsresultate liefert als Schulungen allein [5]. Andere Studien zeigten hingegen negative Befunde, die mit Awareness-Training in Verbindung stehen:

• Eine groß angelegte Studie aus dem Jahr 2025 fand keinerlei signifikante Vorteile von Awareness-Training in Bezug auf Klickraten oder Melderaten [6].
• 25,43 % der Nutzer führten im Verlauf einer 15-monatigen Studie mindestens eine gefährliche Aktion aus [7].
• Uneinheitliche Wiederholungen oder unrealistische Simulationen bergen das Risiko, künstliche Verhaltensweisen zu normalisieren, was die Wirksamkeit gegenüber realen Angriffen im Laufe der Zeit verringert [8].
• Obwohl Awareness-Training einen leicht positiven Effekt bei der Reduzierung der Anfälligkeit für Social Engineering zeigte, war der resultierende p-Wert (0,141) nicht signifikant [9].
• Jährliches Awareness-Training reduzierte die Phishing-Anfälligkeit nicht, während simulationsbasiertes Training zwar eine statistisch signifikante, aber sehr geringe Verbesserung erzielte. Darüber hinaus weisen Awareness-Trainings sehr geringe Teilnahmeintensität auf: 75–90 % der Nutzer verbringen weniger als eine Minute mit dem Training [10].

Daher kann Awareness-Training zwar einen gewissen Schutz gegen die grundlegendsten Social-Engineering-Angriffe bieten, jedoch liefert es nur wenig Sicherheit gegenüber hochgradig zielgerichteten und technisch ausgefeilten Kampagnen. Für eine hohe Widerstandsfähigkeit müssen IT-Verantwortliche zusätzliche Sicherheitsmaßnahmen einplanen. Vulnerability Management ist eine grundlegende Defense-in-Depth-Sicherheitskontrolle, um die Auswirkungen fortgeschrittener Social-Engineering-Angriffe zu mindern. Durch die Priorisierung von Patches für Assets, die von Schwachstellen betroffen sind, die in aktiven Ausnutzungskampagnen identifiziert wurden, können Organisationen ihr Risiko für unbefugten Erstzugriff reduzieren und eine weitreichende Sicherheitsverletzung verhindern.

Zusammenfassung

Die fortschrittlichsten Social-Engineering-Angriffe zielen nicht einfach darauf ab, Benutzernamen und Passwörter zu stehlen. Ausgefeilte Social-Engineering-Kampagnen kombinieren sensible Informationen, um hochwirksame Auslöser zu erzeugen. Zudem setzen sie technische Payloads ein, die darauf ausgerichtet sind, Softwareschwachstellen sowohl auf dem Rechner des Opfers als auch im Netzwerk der Zielorganisation auszunutzen. Um sich vor den schwerwiegendsten Folgen zu schützen, müssen IT-Verantwortliche einen Defense-in-Depth-Ansatz in der Cybersicherheit verfolgen, einschließlich kontinuierlichen Vulnerability Managements. Eine kostenlose Testversion von Greenbones OPENVAS BASIC steht IT-Verantwortlichen zur Verfügung, um ihre Enterprise-IT-Infrastruktur auf neu auftretende Bedrohungen zu scannen — einschließlich jener Schwachstellen, die in fortgeschrittenen Social-Engineering-Angriffen ausgenutzt werden.

Mit der umfassenden Suite an Sicherheitstools von Greenbone sind IT-Verantwortliche deutlich besser in der Lage, Softwareschwachstellen in großem Maßstab innerhalb ihrer IT-Umgebungen zu erkennen, zu priorisieren und die exponierten Angriffsflächen zu patchen, die von APT-Akteuren ausgenutzt werden könnten. Eine kostenlose Testversion von OPENVAS BASIC bietet eine hervorragende Möglichkeit, die Sicherheitsfunktionen von Greenbone in der Praxis zu testen. OPENVAS SECURITY INTELLIGENCE ermöglicht es Organisationen, aus erster Hand zu erleben, wie automatisiertes Schwachstellenscanning, tägliche Feed-Updates und klare Risikoberichte IT-Verantwortliche im Kampf gegen sich weiterentwickelnde Social-Engineering- und andere Ausnutzungskampagnen stärken können.