Zum Hauptinhalt springen
Diese Website enthält mit KI erstellte Inhalte. Mehr erfahren
Hintergrundbild zu „Wenn das Werkzeug der IT zur Hintertür wird“KI
Aktuell

Wenn das Werkzeug der IT zur Hintertür wird

Backup, Fernwartung, Sicherheitssoftware: Werkzeuge mit Generalschlüssel werden zum Einfallstor. Vier Fälle aus einer Woche und was hilft.

  • Security
  • Backup
  • Updates

Eine Sicherheitssuite, die über ihr eigenes Update eine Hintertür verteilt. Ein Anbieter von Backup- und Fernwartungssoftware, der nach einem Angriff Teile seiner Dienste abschaltet. Ein Passwortmanager, der seinen Nutzern nach „ungewöhnlichen Aktivitäten“ rät, die Passwörter neu abzusichern. Das alles geschah in der ersten Novemberwoche 2026. Gemeinsam ist den Fällen, dass nicht die Opfer selbst angegriffen wurden, sondern die Werkzeuge, denen sie am meisten vertrauen.

Kernaussage

Werkzeuge für Backup, Fernwartung, Sicherheit und Passwörter haben die weitestgehenden Rechte im Netz und aktualisieren sich meist automatisch. Wer ihren Hersteller kompromittiert, erreicht mit einem einzigen Update alle Kunden gleichzeitig. Diese Werkzeuge verdienen deshalb nicht weniger Kontrolle als der Rest der IT, sondern mehr.

Vier Fälle aus einer Woche

cPGuard: Schutz wird zum Einbruch

Die Sicherheits- und Anti-Malware-Suite für Linux-Webserver verteilte Anfang November über ihre Updates eine Hintertür. Ein eingeschleustes Skript kopierte die Kennwortdatei, Datenbankzugänge und die SSH-Schlüssel des Root-Benutzers auf den Lizenzserver des Herstellers. Server mit den Versionen 5.88.12 bis 5.88.19 gelten als kompromittiert.

Iperius: Angriff auf den Werkzeughersteller

Der italienische Anbieter von Backup-, Fernwartungs- und Verwaltungssoftware für IT-Dienstleister meldete am 4. November einen Cyberangriff. Eingeschränkt waren unter anderem das zentrale Dashboard und der Kundenbereich; Backup- und Fernwartungsdienste liefen laut Hersteller weiter.

mSecure: Unruhe beim Passwortmanager

Der US-Anbieter des gleichnamigen Passwortmanagers empfahl seinen Nutzern am 4. November, ihre Passwörter neu abzusichern, und sprach von „ungewöhnlichen Aktivitäten“. Details nannte er nicht.

Entwicklerwerkzeug mit Hintertür

Ende Oktober verteilte der Marktplatz des Code-Editors Cursor eine manipulierte Fassung der echten Erweiterung für Claude Code als normales Update. Sie richtete auf den Rechnern von Entwicklern eine dauerhafte SSH-Hintertür ein.

Dass solche Wege funktionieren, zeigt auch der Diebstahl von 6,3 Milliarden US-Dollar bei der Kryptobörse Binance: Am Anfang stand laut Binance ein KI-Werkzeug, das ein Entwickler über eine Internetsuche gefunden und installiert hatte. Mehr zu den Geräten und Dienstleistern als Einfallstor steht in Das Einfallstor liegt draußen.

Warum gerade diese Werkzeuge

  • Höchste Rechte: Ein Backup-Agent liest jede Datei, ein Fernwartungsprogramm steuert jeden Rechner, eine Sicherheitssuite darf alles prüfen und verändern. Wer das Werkzeug übernimmt, braucht keinen eigenen Einbruch mehr.
  • Automatische Updates: Was der Hersteller ausliefert, wird überall installiert, meist ohne dass jemand hinsieht – bei Sicherheitswerkzeugen zu Recht, denn sie sollen schnell aktuell sein.
  • Ausnahmen von der Überwachung: Damit sie funktionieren, werden solche Werkzeuge oft vom Virenschutz ausgenommen und dürfen ins Internet. Genau das nutzt ein Angreifer, der sie kapert.
  • Ein Hersteller, viele Kunden: Der Aufwand lohnt sich für Angreifer besonders, weil ein erfolgreicher Angriff auf den Hersteller gleich Hunderte oder Tausende Organisationen erreicht.

Was hilft

  1. Werkzeuge mit Generalschlüssel erfassen: Welche Programme haben auf vielen Systemen Administratorrechte? Backup, Fernwartung, Endpoint-Schutz, Verwaltungs- und Update-Werkzeuge, Passwortmanager. Wer diese Liste kennt, weiß bei einer Herstellermeldung sofort, ob er betroffen ist.
  2. Updates gestaffelt einspielen: Auch Updates dieser Werkzeuge zuerst auf wenigen Systemen und erst nach kurzer Beobachtung überall – außer bei akuten Sicherheitskorrekturen. Wenige Stunden Vorsprung reichen oft, um von einem Vorfall beim Hersteller zu erfahren.
  3. Ausgehende Verbindungen beschränken: Ein Backup-Agent muss mit dem Backup-Server sprechen, nicht mit beliebigen Adressen im Internet. Bei cPGuard gingen die gestohlenen Daten an den Lizenzserver – eine Firewall-Regel, die nur die nötigen Ziele erlaubt, macht solche Abflüsse zumindest sichtbar.
  4. Eigene Zugänge mit Mehr-Faktor-Anmeldung: Konsolen von Backup, Fernwartung und Verwaltung mit eigenen, personengebundenen Konten und phishing-resistenter MFA, getrennt vom Active Directory, wo es geht.
  5. Auf Auffälligkeiten achten: Startet ein Backup- oder Fernwartungsagent plötzlich eine Kommandozeile oder baut neue Verbindungen auf, ist das ein Alarmzeichen, gerade weil er sonst als vertrauenswürdig gilt.
  6. Den Notfall vorbereiten: Wie wird ein Werkzeug sofort abgeklemmt, ohne dass Backup oder Wartung für Wochen ausfallen? Diese Frage sollte beantwortet sein, bevor ein Hersteller sie stellt.

Wenn ein Hersteller einen Vorfall meldet

Herstellerhinweise lesen und die betroffenen Versionen prüfen. Updates des Werkzeugs anhalten. Ausgehende Verbindungen des Werkzeugs sperren, soweit der Betrieb das zulässt. Protokolle sichern, bevor etwas bereinigt wird. Und alle Zugangsdaten erneuern, die das Werkzeug gesehen haben könnte – bei cPGuard etwa Root-Kennwörter, SSH-Schlüssel und Datenbankzugänge. Im Zweifel gilt: lieber einen Tag ohne Werkzeug als Wochen mit einem kompromittierten.

Wie wir unterstützen

Bestandsaufnahme

Wir erfassen mit Ihnen, welche Werkzeuge in Ihrem Netz weitreichende Rechte haben, und wer sie verwaltet – einschließlich der Werkzeuge, über die wir selbst auf Ihre Systeme zugreifen.

Absicherung

Firewall-Regeln für ausgehende Verbindungen, eigene Zugänge mit MFA und gestaffelte Updates für Backup-, Wartungs- und Sicherheitswerkzeuge.

Notfallplan

Ein kurzer Plan, was bei der Vorfallsmeldung eines Herstellers in den ersten Stunden zu tun ist – und wie der Betrieb danach weiterläuft.

Wem vertrauen Ihre Systeme blind?

Wir gehen mit Ihnen die Werkzeuge mit Generalschlüssel durch und sorgen dafür, dass ein Vorfall beim Hersteller nicht zu Ihrem wird.

Kontakt aufnehmen

Häufige Fragen

Sollte man automatische Updates abschalten?+
Nein. Automatische Updates schließen weit mehr Lücken, als sie öffnen. Sinnvoll ist eine kurze Staffelung bei Werkzeugen mit weitreichenden Rechten: erst wenige Systeme, dann alle – akute Sicherheitskorrekturen ausgenommen.
Wie erfahre ich von einem Vorfall beim Hersteller?+
Meist per E-Mail an die hinterlegte Adresse, oft auch erst über Fachmedien. Deshalb sollte die Kontaktadresse beim Hersteller ein Postfach sein, das jemand täglich liest – und nicht die Adresse eines ehemaligen Mitarbeiters.
Sind Passwortmanager nach solchen Vorfällen noch zu empfehlen?+
Ja, ein Passwortmanager bleibt deutlich sicherer als Kennwörter im Browser oder in Listen. Wichtig sind ein starkes Hauptkennwort, MFA für den Zugang und ein Anbieter, der Vorfälle offen kommuniziert.

Quellen & weiterführende Links

Recherchestand: 5. November 2026.

Wenn das Werkzeug der IT zur Hintertür wird