Das Bundesamt für Sicherheit in der Informationstechnik und das österreichische CERT.at warnen vor einer kritischen Lücke in einem verbreiteten E-Mail-Sicherheitssystem für Unternehmen. Angreifer nutzen sie bereits aus. Betriebe, die das Produkt einsetzen, sollten sofort handeln.
Worum es geht
Am Abend des 14. September hat der Netzwerkausrüster Cisco eine Sicherheitslücke in seinem Produkt Secure Email Gateway öffentlich gemacht. Das System wird in Unternehmen und Behörden eingesetzt, um eingehende und ausgehende E-Mails zu filtern, etwa gegen Spam und Schadsoftware. Die Schwachstelle trägt die Kennung CVE-2026-76461 und steckt in der Software AsyncOS, genauer in der Verarbeitung von E-Mails.
Nach Angaben des Herstellers genügt eine präparierte E-Mail, um die Lücke auszunutzen. Angreifer benötigen dafür weder Zugangsdaten noch vorherigen Zugriff. Im Erfolgsfall können sie Befehle mit den höchsten Rechten auf dem System ausführen. Auf der gängigen Skala zur Bewertung von Sicherheitslücken erreicht die Schwachstelle 9,8 von 10 Punkten und gilt damit als kritisch. Cisco hat nach eigenen Angaben bereits Kenntnis von tatsächlichen Angriffen.
Warnungen in Deutschland und Österreich
Das BSI hat am 15. September einen IT-Sicherheitshinweis veröffentlicht und die Lage mit der Stufe Orange eingestuft. Das bedeutet nach der Skala des Amtes, dass Maßnahmen unverzüglich ergriffen werden müssen und der Regelbetrieb massiv beeinträchtigt werden kann. Am selben Tag warnte auch CERT.at, das nationale Computer-Notfallteam in Österreich. In den USA hat die Cybersicherheitsbehörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.
Das BSI weist darauf hin, dass E-Mail-Systeme für Angreifer besonders lohnend sind. Wer die Kontrolle über ein solches System erlangt, kann Kommunikation mitlesen oder verändern und von dort weitere Angriffe wie Phishing starten. Weil Angreifer mit vollen Rechten arbeiten, können sie zudem ihre Spuren auf dem Gerät verwischen.
Welche Versionen betroffen sind
Betroffen sind laut BSI sowohl physische als auch virtuelle Installationen, und zwar unabhängig von der Konfiguration. Die Lücke ist in folgenden Versionen von AsyncOS geschlossen:
- Version 15.5.5-014 und neuer im 15.5-Zweig
- Version 16.0.4-302 und neuer im 16.0-Zweig
- Version 16.5.0-780 und neuer, die Cisco generell empfiehlt
Workarounds, die vor einem Angriff schützen, gibt es nach Herstellerangaben nicht. Andere Produkte wie Secure Email and Web Manager und Secure Web Appliance sind laut Cisco nicht betroffen.
Was Betriebe jetzt tun sollten
Zunächst sollten Unternehmen klären, ob sie das System überhaupt einsetzen. Gerade kleinere Betriebe wissen oft nicht genau, welche Technik ihr IT-Dienstleister für den E-Mail-Schutz verwendet. Eine kurze Nachfrage schafft hier Klarheit. Wer das Gateway selbst betreibt, sollte das Update sofort einspielen und die Protokolle auf verdächtige Einträge prüfen. Konkrete Suchbefehle dafür nennen Cisco und das BSI in ihren Hinweisen.
Da bereits angegriffen wurde, reicht das Update allein nicht aus. Das BSI rät, auch Protokolle aus anderen Quellen auszuwerten, etwa auf ungewöhnliche Datenübertragungen vom Gateway zu externen Servern. Kunden, die den Dienst als Cloud-Lösung beziehen, werden von Cisco kontaktiert, falls Hinweise auf eine Kompromittierung vorliegen. Sie sollten daher die hinterlegten Kontaktdaten im Blick behalten. Grundsätzlich empfehlen Hersteller und Behörde, den Zugang zum Gateway aus dem Internet einzuschränken, die Verwaltung vom Mailbetrieb zu trennen und Protokolle auf einen externen Server auszulagern.
Unabhängig vom konkreten Fall gilt seit dem 11. September eine neue Pflicht aus dem europäischen Cyber Resilience Act: Hersteller vernetzter Produkte müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die Behörden melden. Das soll dafür sorgen, dass Warnungen wie diese künftig schneller bei den Anwendern ankommen.
