18 Jahre alter Cisco-Fehler: jetzt 3 Tage Frist

Drei Hauptstädte handelten am selben Montag

Im Dezember 2025, mitten im Winter, kam ein Angriff auf die polnische Energieinfrastruktur dem Erfolg nahe genug, dass Regierungen heute beschreiben, was er angerichtet hätte: rund 500.000 Zivilisten ohne Strom. Er gelang nicht. Am 13. Juli 2026 sagte Europa laut, wer es versucht hat.

Die EU und Großbritannien kündigten am selben Tag abgestimmte Sanktionen an. Großbritannien benannte 24 Personen und Einrichtungen. Die EU listete neun Personen und vier Einrichtungen, nach den Worten ihrer Außenbeauftragten das bislang größte Cyber-Sanktionspaket der Union. Zusammen 33 Ziele, verbunden mit dem Einfrieren von Vermögenswerten, Einreiseverboten und dem Verbot, ihnen Gelder oder wirtschaftliche Ressourcen zur Verfügung zu stellen.

Die Namen sind konkret. Drei GRU-Offiziere: Vyacheslav Stafeyev, Ivan Senin, Ivan Kasyanenko. Der Bulletproof-Hoster Media Land LLC und dessen Ableger ML.Cloud, verknüpft mit Ransomware- und Phishing-Schäden in ganz Europa. Z-Pentest, das laut Rat kritische Infrastruktur einschließlich Energie und Wasser angegriffen hat. Zehn Personen hinter der Rybar LLC. Die Betreiber der Zugangsdaten-Schadsoftware Lumma Stealer. Und hinter dem Angriff auf das polnische Netz eine Einheit: das FSB-Zentrum 16.

Sanktionen sind eine Aussage über die Vergangenheit. Was am selben Tag erschien, ist eine Aussage über Ihr Netzwerk.

Der Weg hinein war nicht raffiniert

Das britische National Cyber Security Centre veröffentlichte gemeinsam mit zwölf weiteren Ländern eine Warnung, mit den Vereinigten Staaten, Australien, Kanada, Tschechien, Dänemark, Estland, Finnland, Frankreich, Italien, Neuseeland, Polen und Schweden. Sie beschreibt, wie das FSB-Zentrum 16 tatsächlich hineinkommt. Die Gruppe wird seit Jahren unter einem ganzen Regal von Namen geführt: Berserk Bear, Energetic Bear, Dragonfly, Crouching Yeti, Static Tundra.

Ernüchternd sind die Techniken. Weltweites Scannen nach dem Simple Network Management Protocol mit Standard- oder schwachen Community-Strings. Missbrauch von Cisco Smart Install, einer Funktion zur bequemen Inbetriebnahme von Switches, die die meisten Organisationen nach dem Rollout nie wieder ausgeschaltet haben. Bekannte, längst veröffentlichte Schwachstellen in den Weboberflächen von Netzwerkgeräten. Angegriffene Sektoren: Kommunikation, Verteidigung, Energie, Finanzdienstleistungen, Verwaltung, Gesundheitswesen.

In dieser Liste steckt keine exotische Fähigkeit. Ein staatlicher Nachrichtendienst spaziert über Standardkonfigurationen und ungepatchte Randgeräte in kritische Infrastruktur, weil es funktioniert und weil es leise ist. Auf Netzwerkgeräten läuft kein Endpoint-Agent. Sie tauchen in den meisten Schwachstellenscans nicht auf. Niemand wird alarmiert, wenn eines übernommen wird, weil auf ihnen nichts liegt, das alarmieren könnte.

Die Maßnahmen der Warnung sind entsprechend schlicht: Umstieg auf SNMPv3 und Abschaltung der Altversionen, starke und eindeutige Passwörter auf Netzwerkgeräten, Beschränkung des Zugriffs auf Managementprotokolle, und Smart Install aus.

Warum ein Fehler aus dem Jahr 2008 eine Dreitagesuhr bekam

Am selben 13. Juli nahmen die Vereinigten Staaten genau eine Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Keinen frischen Zero-Day. CVE-2008-4128, eine Cross-Site-Request-Forgery-Lücke in Cisco IOS, offengelegt im Jahr 2008. Die zugehörige Frist zur Behebung war der 16. Juli: drei Tage.

Ein Eintrag in diesem Katalog bedeutet genau eine Sache. Er ist kein theoretischer Schweregrad und kein Proof of Concept aus der Forschung. Er bedeutet, dass die Lücke gerade jetzt in freier Wildbahn ausgenutzt wird, und der Katalog, der sie führt, überschritt mit dieser Aufnahme 1.638 Einträge. Die Dreitagesfrist bindet die US-Bundesbehörden, doch ihr Signal ist kein verwaltungsinternes. Ein achtzehn Jahre alter Fehler bekommt keine Notfalluhr, weil ihn jemand wiederentdeckt hat. Er bekommt sie, weil er gerade benutzt wird.

Legt man beide Dokumente nebeneinander, wird das Bild scharf. Die Warnung sagt, dass ein staatlicher Akteur auf Netzwerktechnik wohnt. Der Katalog nennt die konkrete Tür: eine Cisco-Lücke, alt genug, um wählen zu dürfen. Für diese Kampagne musste niemand etwas erfinden. Es genügte, dass der Verteidiger nie auf den Switch geschaut hat.

Wem gehört der Router?

Stellen Sie diese Frage im eigenen Haus und beobachten Sie, was passiert. Server haben einen Verantwortlichen, einen Patch-Zyklus und einen Monitoring-Agenten. Notebooks haben ein Flottenmanagement. Der Router im Rack, der Switch in der Filiale, die Firewall, die der Dienstleister vor vier Jahren installiert und seither nie wieder angefasst hat: Die gehören meist dem, der sie aufgesetzt hat, und das heißt häufig niemandem, der noch im Haus ist.

Diese Lücke ist inzwischen nicht nur technisch, sondern auch rechtlich. Unter NIS2 müssen wesentliche und wichtige Einrichtungen die Risiken der Netz- und Informationssysteme beherrschen, die sie nutzen, und Netzwerkgeräte gehören zweifelsfrei dazu. Eine Aufsichtsbehörde, die fragt, wie Sie Ihre Lieferanten und Ihre Infrastruktur überwachen, wird nicht hinnehmen, dass die Randgeräte zwischen interner Mannschaft und ausgelagertem Betrieb hindurchgefallen sind. Für den Dienstleister gilt dasselbe: Betreibt er Ihre Netzwerktechnik, ist seine Konfigurationshygiene Ihr Risiko, und der Vertrag mit ihm ist der Ort, an dem das geregelt ist oder eben nicht.

Wer in Energie, Wasser, Verkehr, Gesundheit oder digitaler Infrastruktur arbeitet, liest hier kein allgemeines Sensibilisierungsmaterial. Die Warnung nennt Ihren Sektor, sie nennt das Protokoll, und sie kommt mit einer Liste benannter Personen, die genau das getan haben.

Was in dieser Woche zu tun ist

Zuerst die Inventur, denn patchen lässt sich nur, was auf einer Liste steht. Jeder gemanagte Switch, jeder Router, jede Firewall und jede Netzwerk-Appliance, auch die in den Filialen und die, die ein Lieferant eingebaut hat. Fehlt dieses Verzeichnis, ist sein Aufbau die Arbeit dieser Woche, und er ist mehr wert als jedes Werkzeug, das Sie stattdessen kaufen könnten.

Dann drei konkrete Schritte aus der Warnung. Cisco Smart Install überall abschalten, wo es noch läuft, was in den meisten Beständen heißt: überall, wo es je lief. SNMP auf Version 3 umstellen, mit Authentifizierung und Verschlüsselung, und die Versionen 1 und 2c abschalten, die Community-Strings im Klartext übertragen. Managementschnittstellen aus jedem Pfad nehmen, der aus dem Internet erreichbar ist, und hinter ein kontrolliertes Netzsegment legen.

Prüfen Sie zuletzt, ob Ihre Netzwerkgeräte Protokolle erzeugen, die überhaupt jemand liest. Diese Kampagne hielt sich, weil übernommene Netzwerktechnik stumm ist. Ein umkonfigurierter Router sieht exakt aus wie ein unveränderter, solange niemand ihn mit einem bekannten guten Stand vergleicht.

Nichts davon ist ein neuer Ratschlag. Genau das ist der Punkt, und genau deshalb hielten es dreizehn Regierungen für nötig, es gemeinsam auszusprechen.

Weiterlesen: Der nginx-Patch ist da, der Exploit kommt im August  |  ServiceNow patchte die eigene Cloud zuerst, Sie 103 Tage später