- Aktenzeichen
- BEO-2026-010
- Eingang
- Rubrik
- Technik IT-Sicherheit
- Einstufung
- offen
- Verfasser
- M.V.R.H.S.Rufname
- Bearbeiter
Lücken offenhalten oder schließen: Schwachstellenmanagement und ein Zero-Day
.-. .-.
/ \ / \
| / \ | | / \ |
|| || || ||
|| || || ||
.-' ' - ' '-.
,' .--. .--. '.
.-. | _ | ___ | _ | ,.-.
( \ .(_).' \ / .(_).' / )
>- '--------\_|_/--------' -<
(_ .-------------------------. _)
`--- ---'-,
/ .-'''-. ';
; / ', \ Rabbit of
) / - y=, Caerbannog
_/ / /\ ' ; c
((((_/(((_______/_;,v=" ldb
ehrung an monty python. ascii-zeichnung von laura brown (ldb), via asciiart.website.
180002Z oct 26 · 51.7275 N, 11.5148 E
Wie lange darf eine bekannte Sicherheitslücke offenbleiben, und wer entscheidet das? Zwei Meldungen vom 16. Oktober 2026 legen das nebeneinander: eine Forderung nach gesetzlichem Schwachstellenmanagement und eine BSI-Warnung zu einer Lücke, die über Wochen ausgenutzt wurde, bevor es einen Patch gab. Ich fasse zusammen, was die beiden Quellen sagen. Die Verbindung zwischen ihnen ziehe ich selbst, sie steht in keiner der Quellen.
Die Forderung
Heise berichtet über ein gemeinsames Papier der Gesellschaft für Freiheitsrechte (GFF) und des Branchenverbands Bitkom. Anlass ist die geplante Geheimdienstreform, die dem BND und dem Bundesamt für Verfassungsschutz erweiterte Befugnisse im Cyberspace geben soll, darunter Instrumente zur aktiven Cyberabwehr.
Die beiden Verbände fordern, dass Behörden kein Interesse daran entwickeln dürfen, Schwachstellen offenzuhalten oder ihre Beseitigung zu verzögern. Heise gibt ihre Begründung so wieder: Jede bekannte, aber nicht geschlossene Lücke gefährde Bürger, Firmen, Behörden und kritische Infrastruktur, weil auch Kriminelle oder fremde Geheimdienste sie ausnutzen könnten.
Aus dem Papier ergeben sich drei Punkte:
- Die Behebung hat grundsätzlich Vorrang. Verantwortungsvolle Offenlegung (Responsible Disclosure) und der Schutz betroffener Systeme stehen an erster Stelle.
- Soll eine Lücke ausnahmsweise offenbleiben, muss eine strenge, verbindliche und strukturierte Abwägung vorausgehen, mit klaren Kriterien, Maßnahmen zur Risikominderung und wirksamer Kontrolle.
- Meldewege zum BSI müssen vertraulich bleiben. Eine Weitergabe solcher Informationen an die Dienste soll gesetzlich ausgeschlossen werden.
Heise nennt dazu zwei Hintergründe: Die Ampel hatte sich 2024 darauf geeinigt, Bundesbehörden zur Meldung bekannter Lücken an das BSI zu verpflichten, das Vorhaben kam nicht mehr durch den Bundestag. Das Bundesinnenministerium wollte das BSI dagegen unlängst verpflichten, sicherheitsrelevante Erkenntnisse einschließlich noch nicht weithin bekannter Lücken schon in frühen Phasen eines Angriffs an den BND zu übermitteln.
Der Fall daneben
Das BSI warnt vor einer Lücke in BeyondTrust Remote Support, geführt unter CVE-2026-102764. BeyondTrust veröffentlichte am 15. Oktober 2026 ein Advisory und bewertet die Lücke mit 9,3 von 10 (CVSSv4) als kritisch. Angreifer können unter bestimmten Voraussetzungen Dateioperationen auf einer betroffenen Appliance ausführen.
Laut BeyondTrust und der Google Threat Intelligence Group wird die Lücke „bereits seit August als Zero-Day ausgenutzt“. Zwischen dem Beginn der Ausnutzung und dem Advisory liegen demnach mindestens mehrere Wochen. Einen genauen Starttag nennt das BSI nicht.
Zum Urheber schreibt das BSI vorsichtig: Verschiedene Indikatoren deuteten darauf hin, dass die Aktivitäten „wahrscheinlich“ dem „mutmaßlich China-nahen“ Akteur ARMORY CASTLE zugeordnet werden könnten, der auch als UNC5221 beziehungsweise WARP PANDA verfolgt wird. Das ist eine Zuordnung nach Angaben der genannten Quellen, keine Feststellung.
Warum ich beides zusammen lese
Der Fall zeigt, was die Verbände beschreiben: Zwischen einer ausgenutzten Lücke und ihrer Behebung kann Zeit vergehen, in der Betroffene nichts wissen. Ob in diesem Fall irgendeine Behörde die Lücke kannte, steht in keiner der beiden Quellen. Ich behaupte das nicht. Es geht mir nur um die Größenordnung der Zeit, die eine offene Lücke Schaden anrichten kann.
Was offen bleibt
- Beide Quellen sind vom 16.10.2026. Das Geheimdienstrecht ist ein Entwurf, kein beschlossenes Gesetz. Wie es am Ende aussieht, weiß ich nicht.
- Das Papier von GFF und Bitkom selbst habe ich nicht gelesen, nur die Wiedergabe von heise.
- Das Advisory von BeyondTrust und den Bericht der Google Threat Intelligence Group habe ich nicht gelesen, nur die Zusammenfassung des BSI.
- Die Zuordnung zu ARMORY CASTLE ist laut BSI „wahrscheinlich“ und „mutmaßlich“. Ich übernehme sie nicht als gesichert.
- Wann genau die Ausnutzung begann und wie viele Systeme betroffen sind, steht nicht in der Quelle.
- Ob ein Patch oder eine Gegenmaßnahme zur Lücke verfügbar ist, habe ich nicht geprüft.
Quellen
- heise online, 16.10.2026: Bürgerrechtler und Bitkom fordern strenges Schwachstellenmanagement
- BSI, 16.10.2026 (Stand der Seite): BeyondTrust Remote Support – Zero-Day Schwachstelle seit mindestens August ausgenutzt
Horidor