IT-Sicherheit

Angriff in Stunden: Warum Zero-Days auf Firewalls und VPN jetzt so gefährlich sind

Von Christopher Schütz · Juli 2026 · 9 Min. Lesezeit
Es gibt eine Art von Sicherheitslücke, die besonders unangenehm ist: die Zero-Day-Lücke. Der Name bedeutet, dass die Hersteller null Tage Zeit hatten, sie zu schließen, bevor sie ausgenutzt wurde. Für Angreifer sind solche Lücken Gold wert, denn es gibt zunächst kein Update, das schützt. Und ein Ort ist in den letzten Monaten besonders ins Visier geraten: die Geräte am Rand des Netzwerks, also Firewalls, VPN-Zugänge und ähnliche Systeme.

Diese Randgeräte, im Fachjargon Edge-Geräte, sind der Türsteher Ihres Unternehmensnetzes. Sie stehen bewusst offen zum Internet, damit Mitarbeiter von außen arbeiten können. Genau das macht sie zu einem bevorzugten Ziel.

Vom Türsteher zum Einfallstor

Firewalls und VPN-Systeme haben eine undankbare Doppelrolle. Einerseits sollen sie schützen, andererseits sind sie ständig aus dem Internet erreichbar. Wird in einem solchen Gerät eine Lücke bekannt, steht die Tür ins Unternehmen potenziell für jeden offen, der sie ausnutzt.

Die Entwicklung ist deutlich messbar. Laut dem Data Breach Investigations Report von Verizon ist der Anteil der Sicherheitsvorfälle, die auf ausgenutzte Edge-Geräte zurückgehen, innerhalb eines Jahres stark gestiegen, von einem kleinen einstelligen Prozentbereich auf über 20 Prozent. Sicherheitsanalysen zeigen zudem, dass ein erheblicher Teil der besonders brisanten Zero-Day-Lücken 2025 genau solche Randgeräte betraf.

Das eigentliche Problem ist die Geschwindigkeit

Früher blieb nach dem Bekanntwerden einer Lücke oft Zeit, in Ruhe zu reagieren. Diese Zeit gibt es nicht mehr. Laut den Berichten beginnen automatisierte Suchläufe heute oft schon wenige Stunden nach der Veröffentlichung einer Schwachstelle, teils bevor der Hersteller überhaupt ein fertiges Update ausgeliefert hat. In dokumentierten Fällen wurden verwundbare Geräte innerhalb weniger Stunden nach Bekanntwerden kompromittiert.

Dazu kommt ein neuer Beschleuniger: Angreifer nutzen inzwischen KI-Werkzeuge, um aus einer frisch veröffentlichten Lücke sehr schnell einen funktionierenden Angriff zu bauen. Der Wettlauf zwischen Angriff und Absicherung hat sich damit weiter zugespitzt.

Warum reines Schnellerpatchen nicht reicht

Die naheliegende Antwort lautet: einfach schneller patchen. Das ist richtig, aber allein nicht genug. Die Berichte zeigen ein Dilemma: Selbst dort, wo Unternehmen sich um Updates bemühen, dauert das Einspielen bei vielen Edge-Geräten im Median mehrere Wochen, während die Ausnutzung schon nach Stunden beginnt. Zwischen dem Bekanntwerden und der Möglichkeit, überhaupt zu reagieren, klafft also eine gefährliche Lücke.

Daraus folgt: Schnelles Patchen ist Pflicht, muss aber durch weitere Schutzschichten ergänzt werden. Wer sich allein auf Updates verlässt, verliert das Rennen zu oft.

Was KMU jetzt konkret tun sollten

1. Überblick verschaffen. Wer nicht weiß, welche Firewalls, VPN-Zugänge und ähnlichen Systeme im Einsatz sind, kann sie auch nicht schützen. Der erste Schritt ist eine ehrliche Bestandsaufnahme aller aus dem Internet erreichbaren Geräte.

2. Kritische Updates mit Vorrang einspielen. Für Randgeräte gilt eine andere Dringlichkeit als für einen internen Bürorechner. Kritische Sicherheitsupdates sollten hier nach klaren, kurzen Fristen eingespielt werden. Ein Blick auf die Liste bekannter, aktiv ausgenutzter Schwachstellen, etwa den KEV-Katalog der US-Behörde CISA, hilft bei der Priorisierung.

3. Angriffsfläche verkleinern. Nicht jedes Gerät muss aus dem gesamten Internet erreichbar sein. Verwaltungsoberflächen gehören nicht offen ins Netz, und ungenutzte Zugänge werden abgeschaltet. Jede geschlossene Tür ist eine, die niemand aufbrechen kann.

4. Zugänge zusätzlich absichern. Fernzugriffe gehören hinter eine starke, phishing-resistente Anmeldung. Ein gestohlenes Passwort allein darf nie ausreichen, um durch das VPN ins Unternehmen zu kommen.

5. Überwachen statt hoffen. Wo ein Update noch fehlt, ist Aufmerksamkeit die zweitbeste Verteidigung. Ein laufendes Sicherheitsmonitoring bemerkt ungewöhnliche Zugriffe und schlägt Alarm, bevor aus dem Einbruch ein Schaden wird.

Wie TwoPixels das übernimmt

Für unsere Kunden halten wir diese Kette zusammen. Unser automatisiertes Patch-Management sorgt dafür, dass kritische Updates zeitnah und nachvollziehbar eingespielt werden, statt in Vergessenheit zu geraten. Über unser Sicherheitsmonitoring auf Wazuh-Basis behalten wir die Systeme rund um die Uhr im Blick, auch die Randgeräte. Fernzugänge sichern wir über eine verschlüsselte Fernwartung mit RustDesk ab, und mit einem Security-Audit prüfen wir, welche Geräte überhaupt aus dem Internet erreichbar sind und wo unnötige Türen offen stehen.

Häufige Fragen

Was genau ist ein Zero-Day?
Eine Sicherheitslücke, die ausgenutzt wird, bevor der Hersteller ein schützendes Update bereitstellen konnte. Es gibt in diesem Moment also keinen Patch, der die Lücke schließt.

Wir haben doch eine Firewall, reicht das nicht?
Die Firewall selbst kann das Ziel sein. Ist in ihr eine Lücke, schützt sie nicht mehr, sondern wird zum Einfallstor. Deshalb müssen gerade diese Geräte besonders aktuell gehalten und überwacht werden.

Wie schnell muss ein kritisches Update rein?
Bei aus dem Internet erreichbaren Geräten gilt: so schnell wie möglich, idealerweise innerhalb von Stunden bis wenigen Tagen. Die Angreifer sind oft schon nach Stunden aktiv.

Was, wenn der Hersteller noch kein Update hat?
Dann helfen die anderen Schichten: Angriffsfläche verkleinern, Zugänge zusätzlich absichern und die Systeme eng überwachen, bis der Patch verfügbar ist.

Fazit und nächster Schritt

Firewalls und VPN-Zugänge sind heute ein bevorzugtes Ziel, und die Zeit zwischen Bekanntwerden einer Lücke und dem ersten Angriff schrumpft auf Stunden. Schnelles Patch-Management, eine kleine Angriffsfläche und ein laufendes Monitoring gehören deshalb zusammen. Nur eine dieser Maßnahmen allein reicht nicht.

Sie möchten wissen, welche Ihrer Systeme aus dem Internet erreichbar sind und wie aktuell sie wirklich sind? Fordern Sie einen Sicherheits-Check bei TwoPixels an: Christopher Schütz, info@webagentur-twopixels.de, +49 1556 7039821.

Quellen

Weiterführende Leistungen & Ratgeber

KI-Cyberangriffe: Fall GTG-1002 KI-Phishing & Deepfakes Prompt Injection & KI-Agenten IT-Sicherheits-Fahrplan 2026 NIS2 & IT-Sicherheit

Sie möchten wissen, wie sicher Ihre IT wirklich ist? Wir prüfen Ihre Systeme und richten ein passendes Schutzkonzept ein. Fordern Sie einen Sicherheits-Check an oder rufen Sie direkt an: +49 1556 7039821.

Kostenlos beraten lassen