Cisco-VPN wird angegriffen: Wer jetzt patchen muss
Eine Schwachstelle im Firewall-VPN von Cisco wird aktiv ausgenutzt und steht seit vergangenem Donnerstag im KEV-Katalog der CISA. Die Behebung und die Entscheidung über ZTNA sind getrennte Aufgaben.
Das Wichtigste in Kürze
- Cisco empfiehlt betroffenen Kunden ein Softwareupdate. Die Behebung der bestehenden Schwachstelle bleibt eine eigenständige Aufgabe neben der Architekturentscheidung.
- Ein VPN kann innerhalb einer Zero-Trust-Architektur weiterlaufen. Seine Ablösung richtet sich nach Organisationszielen, Risikobereitschaft und benötigten Schutzfunktionen.
- NetBird berechnet seine Cloud-Tarife pro Nutzer und Monat. Team kostet sechs Euro und Business zwölf Euro bei unterschiedlichem Funktionsumfang.
Verwandt: Was ist Zero Trust? Definition, Prinzip und Bausteine
Was an der Cisco-Lücke drängt
Die CISA hat am 29. Oktober die aktiv ausgenutzte Schwachstelle CVE-2026-76418 in ihren Katalog aufgenommen. Betroffen sind Cisco Secure Firewall ASA und Secure FTD, wenn drei Bedingungen zusammenkommen: eine verwundbare Softwareversion, ein erreichbarer SSL-VPN-Anmeldedienst und eine sekundäre Authentifizierung in einer Tunnelgruppe.
Für den Angriff ist keine erfolgreiche VPN-Anmeldung nötig. Cisco rät zum Update auf eine korrigierte Version. Das ist die Aufgabe dieser Woche, gleich wie die Entscheidung über das VPN später ausfällt.
Ob ein Gerät betroffen ist, zeigen die drei Bedingungen. Zuerst die installierte Softwareversion, abgeglichen mit der Liste im Cisco-Advisory. Dann die Frage, ob der SSL-VPN-Anmeldedienst aus dem Internet erreichbar ist. Zuletzt die Tunnelgruppen: Ist dort eine sekundäre Authentifizierung konfiguriert? Fehlt eine der drei Bedingungen, passt der beschriebene Angriffsweg nicht. Das Update bleibt trotzdem der saubere Weg.
Was ist Zero Trust? Kein Zugriff gilt von vornherein als vertrauenswürdig. Das BSI-Modell verbindet minimale Rechte, Mikrosegmentierung und dynamische Zugriffsrichtlinien mit laufender Überwachung und Risikoanalyse.
Muss das VPN weg?
Das britische National Cyber Security Centre verneint das: Ein VPN kann Teil einer Zero-Trust-Architektur bleiben. Ob und wann es abgelöst wird, hängt von den Zielen der Organisation ab, von ihrer Risikobereitschaft und von den Schutzfunktionen, die sie weiter braucht.
Das Zero-Trust-Modell des BSI beschreibt die Bausteine, die ein Umstieg schrittweise aufbaut. Ein Umstieg muss deshalb nicht auf einen Schlag kommen und kann neben dem bestehenden Zugang wachsen.
Die Regel für den Übergang
Für die Migration zieht das NCSC eine klare Linie: Bestehende Sicherheitskontrollen bleiben, bis die neue Architektur mindestens gleich gut schützt. Das VPN läuft also weiter, solange ZTNA diesen Stand nicht erreicht. Bis dahin braucht es dieselbe Patchpflege wie heute, die aktuelle Cisco-Lücke eingeschlossen.
Praktisch heißt das: Erst wenn ZTNA die Zugriffe ebenso fein steuert und überwacht wie heute VPN und Firewall, verliert der alte Zugang seine Aufgabe. Bis dahin gehört er in den Patch- und Überwachungsplan, mit festen Verantwortlichen und Wartungsfenstern.
Was ZTNA kostet: ein Beispiel
Wie sich die Preise staffeln, zeigt NetBird. Der Cloud-Tarif Team kostet sechs Euro pro Nutzer und Monat und enthält Mehrfaktorauthentifizierung sowie die Synchronisierung von Nutzern und Gruppen aus dem Identitätsanbieter.
Business kostet zwölf Euro pro Nutzer und Monat. Dazu kommen Gerätefreigaben, Integrationen für MDM und EDR und Prüfungen des Gerätezustands. Für die Kalkulation zählt damit vor allem, ob die Gerätekontrolle schon an anderer Stelle im Haus läuft.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Muss ein VPN für Zero Trust abgeschaltet werden?
Ein VPN kann innerhalb einer Zero-Trust-Architektur weiterlaufen. Seine Ablösung soll von den Organisationszielen, der Risikobereitschaft und den weiterhin benötigten Schutzfunktionen abhängen.
Welche Sicherheitsbedingung gilt während der Migration?
Bestehende Sicherheitskontrollen sollen erhalten bleiben, bis die neue Architektur gleichwertigen oder stärkeren Schutz bereitstellt. Die Behebung der bestehenden Cisco-Schwachstelle und die Entscheidung über die künftige Architektur bleiben getrennte Aufgaben.
Wie unterscheiden sich die genannten NetBird-Cloud-Tarife?
Team kostet sechs Euro pro Nutzer und Monat und umfasst unter anderem Mehrfaktorauthentifizierung sowie die Synchronisierung von Nutzern und Gruppen. Business kostet zwölf Euro pro Nutzer und Monat und ergänzt unter anderem Gerätefreigaben, MDM- und EDR-Integrationen sowie Prüfungen des Gerätezustands.
Lesetipps der Redaktion
LesetippKI-Agenten brauchen begrenzte VollmachtenLesetippOT-Security: Was der Cyber Resilience Act jetzt verlangtLesetippit-sa 2026: KI-Agenten brauchen eine eigene Identität
Bildquelle: KI-generiert (November 2026)
Mehr aus dem MBF Media Netzwerk
cloudmagazinOpenAI und das Fundament der Teilchenphysik
MyBusinessFutureStudie der Hochschule München: Wie KI die Unternehmensberatung verändert
Digital ChiefsTech-Karte Europa: 1.400 Firmen in acht Zukunftsfeldern
