OT-Learnings KW 44: Cisco-VPN, Altsysteme & Veeam-Backup

Von Max Gilg · 30.10.2026 · 5 Min. Lesezeit

Kurz gesagt: KW 44: Cisco-VPN-Lücke wird ausgenutzt, ICONICS-Altsysteme ohne Patch, Veeam-Lücke im Backup. Was Betreiber jetzt prüfen, patchen und abschotten sollten.

In KW 44 stand vor allem der Weg von außen in die Anlage im Mittelpunkt. Eine Lücke im SSL-VPN von Cisco ASA/FTD wird aktiv ausgenutzt, WatchGuard meldet sieben kritische Lücken. Bei der TRO600-Serie von Hitachi Energy lassen sich über Lücken Code ausführen und sensible Informationen auslesen. Für Betreiber und Maschinenbauer in Bayern, Salzburg, Tirol und ganz DACH heißt das: Die Fernzugänge gehören noch in dieser Woche geprüft. Systeme, die sich nicht patchen lassen, werden abgeschottet. Und auch das Backup sollte dabei nicht zu kurz kommen. Für Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, ergeben sich aus der Woche drei Lehren. Vorweg die gute Nachricht: Für den 23. bis 30.10. ließ sich kein bestätigter OT-Vorfall bei einem Versorger in DACH finden.

Infografik: OT-Learnings KW 44: Fernzugang, Altsysteme, Backup

Learning 1: Der Fernzugang ist das erste Ziel und fällt im Ernstfall als Erstes weg

Was ist passiert: Eine Lücke im SSL-VPN von Secure Firewall ASA und FTD wird ausgenutzt (CVE-2026-76418, Cisco Advisory). Ein nicht angemeldeter Angreifer kann das Gerät neu starten lassen, sofern in einer Tunnel-Gruppe eine sekundäre Authentifizierung eingerichtet ist, auch in der DefaultWEBVPNGroup. Am 29.10. hat die CISA die Lücke in den KEV-Katalog aufgenommen. Am selben Tag wurden 18 Lücken bei WatchGuard bekannt: 17 in Fireware OS und eine im VPN-Client für Windows, sieben davon mit CVSS 9,1 bis 9,5. Von laufenden Angriffen weiß WatchGuard bisher nichts. Beim TRO600 ermöglichen Lücken Remote Code Execution und die Preisgabe sensibler Informationen (ICSA-26-302-02).

Was daraus folgt: Laufen Bereitschaft und Fernwartung über solche Geräte, sieht ein Neustart des VPN zunächst nach einer Kleinigkeit aus. Nachts im Störfall sieht das anders aus: Dann kommt niemand mehr von außen auf die Anlage. Secure Remote Access ist Control 4 der SANS Five ICS Critical Controls. Entscheidend ist dabei nicht nur der Patch, sondern auch ein Weg auf die Anlage für den Fall, dass der Fernzugang ausfällt.

Was jetzt zu tun ist: Bei der ASA gehören alle Tunnel-Gruppen auf secondary-authentication-server-group geprüft, danach geht es auf eine im Cisco-Advisory genannte behobene Version. Einen Workaround, der die Lücke schließt, gibt es nicht. WatchGuard lässt sich in derselben Wartung auf Fireware 2026.4 bzw. 12.12.4 bringen (T15/T35: 12.5.22). Access Portal und SIP-Proxy sollten abgeschaltet werden, wenn sie niemand braucht. Auch die Frage, ob die Managementschnittstelle aus dem Internet erreichbar ist, gehört geklärt.

Beim TRO600 steht zuerst das Advisory an: die dort genannten Maßnahmen umsetzen und danach alle Zugangsdaten auf den Geräten wechseln. Managementschnittstellen sollten nur aus einem dedizierten Netz erreichbar sein (Zonen und Conduits nach IEC 62443-3-2). Schließlich braucht die Bereitschaft einen Notzugang, der festgelegt und getestet ist. Für NIS2-pflichtige Betreiber gehört das zur Aufrechterhaltung des Betriebs im Risikomanagement. Unterstützung dabei bietet die OT-Security-Beratung.

Learning 2: Wenn der Fix eine neue Produktgeneration ist, bleiben Segmentierung und ein Ablöseplan

Was ist passiert: Hitachi Energy hat ein Advisory zu CoreTec veröffentlicht. CoreTec5 ist von der Kernel-Lücke CVE-2026-43284 und von CVE-2026-13162 (OS Command Injection) betroffen, CoreTec4 von CVE-2026-13162. Für CoreTec4 nennt der Hersteller als Fix das Upgrade auf CoreTec5 Version 5.0.0. Gleichwohl steht Version 5.0.0 im Advisory zugleich in der Liste der betroffenen Versionen.

Was daraus folgt: Für ältere Systeme kommt die Lösung oft nicht als Update. Sie kommt erst mit dem Wechsel auf die nächste Produktgeneration. Das fällt unter Control 5, Risk-Based Vulnerability Management: Entscheidend ist, welches System wie abgeschirmt wird, bis es ersetzt ist.

Was jetzt zu tun ist: Zuerst gehören alle CoreTec-Geräte mit Version ins OT-Asset-Inventar. Vor dem Aktualisieren sollte mit dem Hersteller geklärt sein, welche Version die Lücken tatsächlich schließt. Systeme, die noch nicht aktualisiert sind, werden vom Remote Access getrennt. Die Ablösung sollte schon jetzt geplant werden. In der nächsten Ausschreibung gehören Supportzeitraum und Sicherheitsupdates festgeschrieben, ebenso ein Advisory-Prozess des Herstellers. Genau das verlangt der CRA künftig von Herstellern. Dabei hilft das OT-Schwachstellen-Management.

Learning 3: Ohne erreichbares Backup kein schneller Wiederanlauf

Was ist passiert: Veeam hat Lücken in Backup & Replication geschlossen, behoben in Version 13.1.2 (KB4948).

Was daraus folgt: Vor der Verschlüsselung schalten Ransomware-Gruppen gezielt Schutzmaßnahmen ab, damit sie unentdeckt bleiben. Ein Backup, das im Netz erreichbar ist, gerät dabei besonders in Gefahr. Wie lange die Produktion nach einem Angriff steht, entscheidet sich in aller Regel beim Backup. Control 1, ICS Incident Response, setzt deshalb lange vor dem Vorfall an: Gebraucht wird eine Kopie, an die der Angreifer nicht herankommt. Und ein Wiederanlauf, den das Team bereits einmal geübt hat.

Was jetzt zu tun ist: VBR auf 13.1.2 aktualisieren und den Backup-Server vom Office-Netz trennen. Mindestens eine Kopie sollte unveränderbar oder offline liegen, und darin gehören auch SPS-Projekte und HMI-Konfigurationen. Den Wiederanlauf einer Anlage aus dem Backup sollte das Team einmal real durchspielen. Wenn es doch passiert: OT-Notfallhilfe, 24/7 erreichbar.

Checkliste zum Abhaken

☐ Cisco ASA/FTD: Tunnel-Gruppen auf sekundäre Authentifizierung geprüft und gepatcht
☐ WatchGuard Fireware aktualisiert, Access Portal und SIP-Proxy abgeschaltet, wo unnötig
☐ Notzugang für die Bereitschaft festgelegt und getestet
☐ CoreTec-Geräte im Asset-Inventar, nicht aktualisierte Systeme vom Remote Access getrennt
☐ TRO600-Advisory umgesetzt, danach Zugangsdaten gewechselt
☐ Veeam auf 13.1.2 aktualisiert, eine Backup-Kopie unveränderbar oder offline
☐ Von außen gescannt, welche HMIs, Steuerungen und Gateways aus dem Internet erreichbar sind

Was von KW 44 bleibt

Die wichtigsten Lücken dieser Woche lagen am Rand der Anlage: im VPN, in der Firewall und in den TRO600-Geräten. Aktiv ausgenutzt wird davon laut CISA die Cisco-Lücke. Ein gepatchter Fernzugang allein reicht allerdings nicht. Gibt es keinen Plan für seinen Ausfall, kommt die Bereitschaft im Störfall trotzdem nicht auf die Anlage. VPN und Backup sollten deshalb noch in dieser Woche geprüft werden: Dort wird aus einem Angriff am schnellsten ein Stillstand.

Schema: Drei Schritte für diese Woche

Die Lage-Reports dieser Woche

Häufige Fragen

Darf der Servicetechniker weiter per Fernwartung auf die Anlage, wenn unsere Cisco ASA betroffen ist?

Ja, solange die ASA gepatcht ist. Betroffen sind nur Geräte mit sekundärer Authentifizierung in einer Tunnel-Gruppe, und die Lücke führt zum Neustart des Geräts. Bis zum Update sollten Sie einen Notzugang für die Bereitschaft festlegen, damit im Störfall jemand auf die Anlage kommt.

Was tun, wenn für unsere Leitwarten-Software wie MC Works64 oder GENESIS32 kein Patch mehr kommt?

Erfassen Sie die Installationen im Asset-Inventar, ersetzen Sie die Challenge-Datei durch eine leere Datei und beschränken Sie den Schreibzugriff auf ein separates Admin-Konto. Trennen Sie die Systeme vom Remote Access und planen Sie die Ablösung mit klaren Security-Anforderungen in der Ausschreibung.

Wer hilft bei OT-Security und NIS2 in Bayern, Salzburg und Tirol?

Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, unterstützt Betreiber und Maschinenbauer in der Grenzregion und ganz DACH: von der Prüfung der Fernzugänge über das OT-Asset-Inventar bis zur OT-Notfallhilfe, die rund um die Uhr erreichbar ist.

Quellen

← Alle Artikel