Citrix Bleed 2, Ivanti & Fortinet: Wenn Ihr VPN zum Einfallstor wird
2025 reißt eine Welle kritischer CVEs in Remote-Access-Gateways die Türen auf. Wer jetzt nicht patcht – oder gar nicht weiß, was er einsetzt – riskiert den Totalverlust.
Das stille Drama hinter Ihrem VPN
Über 80 % aller Unternehmen verlassen sich auf ein VPN-Gateway oder einen Reverse-Proxy als Tür zum Firmennetz. 2025 wurde diese Tür mehrfach aufgesprengt – mit Werkzeugen, die Angreifer im Darknet für unter 500 Euro kaufen.
Die kritischen 2025er-CVEs auf einen Blick
- Citrix NetScaler ADC / Gateway – „Citrix Bleed 2" (CVE-2025-5777): Speicher-Leak, der Session-Tokens unverschlüsselt herausgibt. Aktive Ausnutzung in der Praxis seit Juli 2025.
- Ivanti Connect Secure / Policy Secure (CVE-2025-22457): Remote Code Execution ohne Authentifizierung – das vierte schwere CVE in 18 Monaten.
- Fortinet FortiOS / FortiProxy (CVE-2025-32756): Stack-Overflow im SSL-VPN-Daemon, ausgenutzt seit Mai 2025.
- SonicWall SSL-VPN (CVE-2025-23006): Pre-Auth Deserialisierung – betrifft alle Geräte mit aktiviertem SMA-100-Modul.
Was alle vier gemeinsam haben: Die Lücken liegen vor der Authentifizierung. Ein Angreifer braucht keine Zugangsdaten. Ein Scan, ein Exploit, fertig.
Warum es 2025 schlimmer ist als je zuvor
Drei Faktoren verschärfen die Lage massiv:
1. Patch-Latenz im Mittelstand: Studien des BSI zeigen, dass mittelständische Unternehmen 2025 im Schnitt 38 Tage zwischen CVE-Veröffentlichung und Patch brauchen. Angreifer nutzen dieselbe Lücke nach 48 Stunden großflächig aus. 2. Vergessene Geräte: Wir finden in fast jedem Audit mindestens ein vergessenes VPN-Gateway aus Pandemiezeiten – ohne Wartungsvertrag, ohne Patches, ohne Monitoring. 3. Ransomware-as-a-Service: Banden wie Akira, Black Basta und BlackSuit haben sich auf genau diese Gateway-CVEs spezialisiert. Initial Access Broker verkaufen Ihren Zugang vorab für 800–5.000 USD.
Was wir konkret prüfen
Wenn wir ein Unternehmen das erste Mal sehen, beginnen wir immer an dieser Stelle:
- Asset-Inventar aller exponierten Geräte (Shodan-Abgleich)
- Versions- und Patch-Status für jedes einzelne Gateway
- Continuous Vulnerability Scanning mit Greenbone / OpenVAS
- CVSS-Priorisierung statt panischer „alles ist kritisch"-Listen
- Notfall-Patch-Fenster mit dokumentiertem Rollback-Plan
Das Schwachstellenmanagement nach ISO-27001-Methodik ist kein Luxus – es ist das günstigste Tool, das Sie haben, um nicht in der nächsten Pressemitteilung zu landen.
Die ehrliche Wahrheit über VPN-Patches
Ein gepatchtes Gateway ist nur der erste Schritt. Was 2025 zusätzlich zur Pflicht wurde:
- Conditional Access statt nur Username/Passwort
- MFA mit FIDO2 / Hardware-Tokens – SMS-MFA ist tot
- Geo-Fencing und Zeit-Fencing
- Session-Recording für Admin-Zugriffe
- Monitoring auf Anomalien (Logins außerhalb der Geschäftszeiten, neue Geräte, Tor-Exits)
Das alles können Sie selbst aufbauen. Es dauert dann ungefähr 9 bis 14 Monate und kostet drei Vollzeitstellen. Oder Sie holen sich einen Managed-Security-Partner.
Klingt das nach Ihrem Risiko?
Wir analysieren in einem kostenfreien 30-Minuten-Gespräch, wie verwundbar Ihre Infrastruktur aktuell ist – konkret, ohne Verkaufs-Folien. Anschließend erhalten Sie eine schriftliche Einschätzung mit drei priorisierten Maßnahmen.
Über 10 Jahre Erfahrung in Managed Security für den deutschen Mittelstand. Made in Germany. Inhabergeführt.
Oder rufen Sie direkt an: +49 (0) 6629 9153890.