Executive Threat Dashboard

CVE-2026-20182 ist ein Authentication-Bypass im Peering-Authentifizierungsmechanismus des Cisco Catalyst SD-WAN Controllers (vormals SD-WAN vSmart) und des Cisco Catalyst SD-WAN Managers (vormals vManage). Ein unauthentifizierter, entfernter Angreifer kann sich durch präparierte Requests als interner hochprivilegierter Account anmelden, NETCONF-Zugriff erlangen und die gesamte SD-WAN-Fabric-Konfiguration manipulieren. Das Cisco PSIRT hat im Mai 2026 limitierte aktive Ausnutzung bestätigt; CISA hat die Schwachstelle am 14. Mai 2026 in den KEV-Katalog aufgenommen.

SD-WAN-Controller sind nicht nur ein Netzwerkbaustein – sie sind die Steuerungsebene, über die in vielen DACH-Konzernen die gesamte Standort-zu-Standort-Anbindung, Cloud-Konnektivität und Segmentierungspolitik definiert wird. Wer hier Admin-Zugriff erlangt, kontrolliert die Topologie, nicht nur einen Endpunkt. Die Tatsache, dass keine Authentifizierung benötigt wird und der CVSS bei 10.0 liegt, macht diese Schwachstelle zur derzeit gefährlichsten offenen Edge-Komponente im Markt.

Sofortiges Einspielen der von Cisco bereitgestellten Fixed Releases für Catalyst SD-WAN Controller und Manager. Externe Erreichbarkeit der Management-Plane einschränken, NETCONF-Sessions und Konfigurationsänderungen seit Mitte April auf ungewöhnliche Muster prüfen. Bei Verdacht auf Kompromittierung: SD-WAN-Fabric als kompromittierte Vertrauensgrenze behandeln – nicht nur den Controller.

CVE-2026-6973 ist eine Improper-Input-Validation-Schwachstelle in Ivanti Endpoint Manager Mobile (EPMM), die einem entfernt authentifizierten Nutzer mit Administratorzugriff Remote Code Execution ermöglicht. Ivanti hat die Schwachstelle am 7. Mai 2026 als aktiv ausgenutzten Zero-Day bestätigt und Patches für die Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 veröffentlicht. CISA hat die Schwachstelle am selben Tag in den KEV-Katalog aufgenommen und US-Bundesbehörden eine Frist von nur drei Tagen (bis 10. Mai 2026) zur Behebung gesetzt – ein ungewöhnlich kurzer Wert. Das BSI hat eine Sicherheitsmitteilung mit Kritikalität „Hoch" veröffentlicht.

EPMM verwaltet Smartphones und Tablets von Außendienst, Geschäftsführung und Werksleitung – also genau die mobilen Endgeräte, auf denen E-Mail-Zugriff, M&A-Dokumente und VPN-Konfigurationen liegen. Ein kompromittierter EPMM-Server bedeutet nicht nur Datenzugriff, sondern die Möglichkeit, manipulierte Konfigurationen und Apps zentral an alle verbundenen Geräte auszurollen. Die Tatsache, dass CISA eine Drei-Tage-Frist gesetzt hat, ist Signalwirkung – das ist keine Routine-Schwachstelle, sondern ein Worst-Case-Szenario für Mobile-Device-Management.

Sofortige Aktualisierung auf EPMM 12.6.1.1, 12.7.0.1 oder 12.8.0.1. Administrative EPMM-Zugriffe seit April 2026 auf ungewöhnliche Aktivität prüfen, sämtliche Admin-Credentials rotieren und MFA für die EPMM-Konsole verpflichtend machen. Bei Verdacht auf Kompromittierung: konfigurierte Geräte forensisch betrachten, da MDM-Push-Funktionalität Schadcode an die Endgeräte verteilen kann.

CVE-2026-41091 ist eine Elevation-of-Privilege-Schwachstelle in der Microsoft Malware Protection Engine (Microsoft Defender). Defender löst symbolische Links beim Dateizugriff nicht korrekt auf; ein lokal angemeldeter Angreifer kann einen Link auf eine geschützte Systemressource setzen, sodass Defender mit SYSTEM-Privilegien auf das Ziel zugreift. Microsoft hat den Fix in Engine-Version 1.1.26040.8 bereitgestellt; CISA hat die Schwachstelle am 20. Mai 2026 in den KEV-Katalog aufgenommen mit Patch-Frist 3. Juni 2026 für US-Bundesbehörden. Parallel exploited Microsoft die verwandte CVE-2026-45498 (Defender Denial of Service).

Microsoft Defender ist in DACH-Unternehmensumgebungen praktisch ubiquitär – sowohl in Standalone-Lizenzen als auch in Defender for Endpoint. Eine Privilege-Escalation in der Schutzkomponente selbst kehrt die Sicherheitsannahme um: Das Werkzeug, das gegen lokale Eskalation schützen soll, wird zum Eskalationsvektor. Besonders relevant in Umgebungen mit lokal authentifizierten Standardnutzern (Helpdesk-Sessions, Citrix-/AVD-Hosts, Shared Workstations).

Verifizieren, dass Microsoft Malware Protection Engine ≥ 1.1.26040.8 auf allen Endpunkten ausgerollt ist – automatische Update-Verteilung prüfen, nicht annehmen. EDR-Telemetrie auf Link-Following-Muster und ungewöhnliche Defender-Aktivität korrelieren. In Citrix-, AVD- und VDI-Umgebungen mit Priorität behandeln, da mehrere Nutzer dieselbe Engine-Instanz teilen.

Die Qilin-Ransomware-Gruppe (Ransomware-as-a-Service) führt die globalen Ransomware-Statistiken 2026 an und ist für 15 % aller veröffentlichten Angriffe verantwortlich. In Deutschland wurden 29 bestätigte Vorfälle registriert, darunter die Kanzlei Harte-Bavendamm und die Partei Die Linke. Seit März 2026 ist eine operative Übernahme durch die nordkoreanische staatlich gestützte Gruppe Moonstone Sleet dokumentiert – was den Charakter von rein finanziell zu geopolitisch motivierten Angriffen verschiebt.

Die Verbindung zu Moonstone Sleet ist ein Paradigmenwechsel: Qilin ist damit nicht mehr nur eine kriminelle RaaS-Gruppe, sondern ein Werkzeug staatlich gesteuerter Spionage und Destabilisierung. Für DACH-Unternehmen bedeutet das, dass die klassische Ransomware-Reaktion (Zahlen oder Restore) die eigentliche Gefahr – nämlich Datenexfiltration für nachrichtendienstliche Zwecke – nicht adressiert. Wer betroffen ist, muss von einer vollständigen Kompromittierung ausgehen.

Ransomware-Incident-Response-Playbook auf Double-Extortion-Szenarien (Verschlüsselung + Exfiltration) aktualisieren. Offline-Backups verifizieren. Endpoint Detection auf Qilin-IoCs (LSASS-Dumping, VSS-Deletion, Rclone-Aktivität) testen. Bei Verdacht auf Kompromittierung: vor Zahlung immer forensische Analyse des Exfiltrations-Umfangs.

Die dreimonatige NIS2-Registrierungsfrist ist am 6. März 2026 abgelaufen. Nach BSI-Schätzungen haben rund 18.500 Unternehmen die Frist nicht eingehalten. Das BSI hat mit Mai 2026 den Übergang von der Registrierungsphase zur aktiven Durchsetzung vollzogen. Erste Bußgeldverfahren nach §30 BSIG laufen an. Bußgelder: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen; persönliche Geschäftsführerhaftung nach §38 BSIG.

Der Wechsel von Gnadenfrist zu aktiver Strafverfolgung ist die relevante Entwicklung dieser Woche – nicht die Schwachstellen. Viele Unternehmen haben NIS2 als IT-Thema behandelt und die Registrierung verpasst, weil niemand in der Geschäftsführung das Datum auf dem Schirm hatte. Jetzt ist Nachregistrierung möglich, aber der Nachweis, dass man die Frist "gutgläubig" verpasst hat, wird schwer zu führen sein – erst recht, wenn gleichzeitig ein Sicherheitsvorfall bekannt wird.

NIS2-Registrierung beim BSI unverzüglich nachholen (registrierung.bsi.bund.de). Dreistufigen Meldeprozess nach §32 NIS2UmsuCG dokumentieren: Frühwarnung 24h, Folgemeldung 72h, Abschlussbericht 1 Monat. Geschäftsführung formal über Haftungsrisiko nach §38 BSIG informieren und dies schriftlich festhalten.

Die geopolitische Unsicherheit des ersten Quartals 2026 hat eine paradoxe Situation erzeugt: Unternehmen, die angesichts wirtschaftlicher Unsicherheit Budgets kürzen, tun das häufig zuerst bei Sicherheitsausgaben – während genau diese Unsicherheit die Angriffsfläche dramatisch vergrößert. Staatlich gesteuerte Akteure nutzen wirtschaftliche Instabilität gezielt aus, weil sie wissen, dass Unternehmen in Konsolidierungsphasen organisatorisch und technisch verwundbarer werden.

Hinzu kommt ein strukturelles Problem: In einem Umfeld steigender Finanzierungskosten und rückläufiger Bewertungsmultiplikatoren gerät IT-Security in Budgetverhandlungen systematisch unter Druck. Die klassische Argumentation – „wir investieren in Security, weil wir es müssen" – verfängt in Board-Diskussionen über Kostensenkung immer weniger. Was verfängt: die Sprache der Werterhaltung. Ein nicht behobenes Sicherheitsrisiko ist kein IT-Problem. Es ist ein Abwertungsrisiko für das Unternehmen – und das ist genau die Sprache, die PE-Investoren und Kreditgeber sprechen.

Meine Empfehlung für April: Wenn Sie in einem Budget-Review-Gespräch sitzen und Security-Ausgaben verteidigen müssen – rahmen Sie die Frage nicht als Kostendebatte, sondern als Bewertungsfrage. Ein ungesichertes Unternehmen wird bei der nächsten Due Diligence abgewertet. Das ist keine Theorie – das ist der Markt, der seit 2024 Sicherheitsreife systematisch bepreist.

In den letzten Wochen führe ich auffällig viele Gespräche mit Geschäftsführern, die dasselbe sagen: „Das macht meine IT." Wenn es um NIS2 geht. Wenn es um Lieferkettensicherheit geht. Wenn es um Incident Response geht. Und jedes Mal denke ich: Das ist das eigentliche Risiko.

NIS2 ist kein Technik-Gesetz. Es ist ein Governance-Gesetz. Es regelt, wer persönlich haftet, wenn ein Unternehmen seiner Sorgfaltspflicht nicht nachkommt – und das ist nicht der IT-Leiter. Die erste Welle der BSI-Bußgeldverfahren, die wir gerade sehen, richtet sich gezielt gegen Unternehmen, bei denen die Geschäftsführung nachweislich keine Kenntnis von den eigenen Sicherheitsprozessen hatte. Das ist keine Fahrlässigkeit. Das ist Gleichgültigkeit vor dem Gesetz.

Meine Empfehlung für den März: Setzen Sie sich mit Ihrer IT zusammen und beantworten Sie drei Fragen schriftlich: (1) Was würde in unserem Unternehmen passieren, wenn wir morgen einen Ransomware-Angriff erleben? (2) Wer ist verantwortlich, das BSI zu informieren, und in welchem Zeitfenster? (3) Können wir das belegen? Wenn Sie auf eine dieser Fragen keine klare Antwort haben – sprechen Sie mit uns.