5. September 2026 · Cybersecurity
Ihr Perimeter-Gerät ist der Weg hinein
Was CISAs Ausnutzungskatalog sagt, sobald man aufhört, Schwachstellen zu zählen, und anfängt, Folgen zu zählen
Management Summary
Ausgangslage
Situation. Unternehmen stellen Sicherheits- und Netzwerk-Appliances an den Internetrand. Dort terminieren sie verschlüsselte Sitzungen, halten Zugangsdaten und betreiben umfangreichen privilegierten Code. Anschließend sind genau diese Geräte häufig von der Patch-Disziplin ausgenommen, die für Server gilt, weil ihr Neustart alle gleichzeitig trifft.
Komplikation. Der naheliegende Weg, das zu bewerten, nämlich die Schwachstellen je Anbieter zu zählen, erzeugt eine irreführende Rangliste, die von der Größe der installierten Basis bestimmt wird. Ein anderes Maß im selben öffentlichen Datensatz liefert eine stabile und unbequeme Antwort.
Frage. Wie exponiert ist der Netzwerkrand, gemessen auf eine Weise, die einer Prüfung standhält, und was folgt daraus für Patch-Steuerung, Beschaffung und Notfallplanung?
Kernbefunde
1. Nach Folgen statt nach Anzahl gemessen, fallen Edge-Produkte auf. Im CISA-KEV-Katalog (Version 2026.09.04, 1.695 Einträge, direkt aus dem maschinenlesbaren Feed gezählt) tragen 20,9 Prozent aller Einträge eine bestätigte Ransomware-Nutzung. Für die Gruppe der Edge- und Appliance-Anbieter sind es 35,9 Prozent. Und deshalb? Die Frage ist nicht, ob Ihr Edge-Anbieter Schwachstellen hat. Die hat jeder. Sie lautet, dass Schwachstellen dieser Kategorie überproportional häufig in einer Ransomware-Kampagne landen.
2. Schwachstellen zu zählen erzeugt die falsche Rangfolge, und Cisco beweist es. Cisco hat 96 Einträge im Katalog, mehr als dreimal so viele wie Fortinet mit 29. Der Ransomware-Anteil liegt bei 6 Prozent gegenüber 48 Prozent bei Fortinet. Und deshalb? Jeder Anbietervergleich auf Basis von Eintragszahlen misst Portfoliobreite und Jahre im Katalog. Er misst kein Risiko, und eine darauf gestützte Beschaffungsentscheidung misst die falsche Größe.
3. Patchen genügt manchmal ausdrücklich nicht, und der Hersteller sagt es selbst. Barracudas eigene Mitteilung zu CVE-2023-2868 lautet: „Compromised ESG appliances must be immediately replaced regardless of patch version level.“ Das Unternehmen stellte die Ersatzgeräte kostenlos bereit. Und deshalb? Ein Notfallplan, dessen einziger Zweig „patchen und weiter“ lautet, hat keinen Zweig für den Fall, den der Hersteller selbst empfiehlt. Lieferzeit für Ersatz und Übergangsanbindung lassen sich unter Vorfallbedingungen schlecht improvisieren.
4. Das Zeitfenster betrug in diesem Fall rund sieben Monate. Barracuda erkannte die Schwachstelle am 19. Mai 2023. Die eigene Mitteilung hält fest: „Earliest identified evidence of exploitation of CVE-2023-2868 is currently October 2022.“ Und deshalb? Die Beschränkung liegt bei der Erkennung am Netzwerkrand, nicht bei der Patch-Geschwindigkeit. Kein Patch-Rhythmus schließt ein Fenster, das sich öffnet, bevor jemand von seiner Existenz weiß.
5. Einen Trend gibt es hier nicht, und einen zu behaupten hieße, Rauschen zu lesen. Der Anteil der Edge-Gruppe an den je Jahr neu aufgenommenen Einträgen liegt bei 12,5, 9,2, 15,5, 21,0, 18,4 und 13,3 Prozent für 2021 bis 2026. Und deshalb? Der Befund ist ein Niveau, keine Richtung. Wer Ihnen sagt, die Edge-Gefährdung steige, beschreibt eine Steigung, die in diesen Daten nicht enthalten ist.
Zentrale Empfehlungen
| Priorität | Empfehlung | Aufwand | Zeitraum |
|---|---|---|---|
| Hoch | Patch-Rhythmus für Edge-Appliances getrennt von Servern festlegen, mit benannter Person, die ein Notfenster auslösen darf | Gering | Sofort |
| Hoch | Prüfen, dass Management-Oberflächen tatsächlich nicht aus dem Internet erreichbar sind, durch Scannen statt durch Nachfragen | Gering | Sofort |
| Hoch | Den Zweig „Austausch statt Patch“ in den Notfallplan aufnehmen, samt Lieferzeit und Übergangsanbindung | Mittel | Ein Quartal |
| Mittel | Sicherstellen, dass Edge-Geräte Telemetrie liefern, die ihre eigene Kompromittierung zeigt, und dass jemand sie liest | Mittel | Ein Quartal |
| Mittel | Vor der Konsolidierung auf ein Fabric den Plan für eine Schwachstelle in dessen eigener Managementebene testen | Hoch | Vor der nächsten Verlängerung |
Fazit
Der Anbieterwechsel ändert den Namen in der Tabelle, nicht die strukturelle Exposition. Was sie ändert, sind der Patch-Rhythmus am Netzwerkrand, eine Erkennung, die das Gerät selbst einschließt, und ein Notfallplan, in dem das Wort „austauschen“ vorkommt.
Wie gemessen wurde
Der CISA-Katalog bekannter ausgenutzter Schwachstellen listet Schwachstellen mit bestätigter Ausnutzung in der Praxis. Ein Eintrag ist dort keine Schweregradbewertung, sondern eine Beobachtung. Jeder Eintrag trägt ein Feld dazu, ob die Schwachstelle bekanntermaßen in Ransomware-Kampagnen genutzt wurde. Damit wird eine zweite, bessere Frage beantwortbar.
Alle Zahlen wurden am 5. September 2026 direkt aus dem maschinenlesbaren Feed gezogen, Katalogversion 2026.09.04 mit 1.695 Einträgen. Sie sind mit derselben Datei von jedem reproduzierbar.
Die Anbietergruppe, offengelegt, damit sie bestritten werden kann: Fortinet, Ivanti, Citrix, SonicWall, Palo Alto Networks, Barracuda, Sophos, WatchGuard, Zyxel, Check Point, F5, Pulse Secure, Array Networks, Juniper, SolarWinds, Progress, Accellion, QNAP, Synology, Netgear, D-Link, TP-Link. Microsoft, Apple, Adobe und Oracle sind als Betriebssystem- und Anwendungsanbieter ausgeschlossen. Cisco ist bewusst ausgeschlossen, trotz seines Edge-Portfolios, weil seine Einträge Routing, Telefonie, Collaboration und Managementsoftware umfassen; eine Aufnahme würde die geprüfte Kategorie verwischen.
Befund 1: Folgen statt Anzahl
| Grundgesamtheit | Einträge | Bestätigte Ransomware-Nutzung | Anteil |
|---|---|---|---|
| Gesamtkatalog | 1.695 | 354 | 20,9 % |
| Edge- und Appliance-Anbieter | 231 | 83 | 35,9 % |
| Microsoft | 386 | 115 | 29,8 % |
Eine Schwachstelle in einer Edge-Appliance taucht rund 1,7-mal so häufig in einer Ransomware-Kampagne auf wie der Katalogdurchschnitt. Das ist keine Aussage über Codequalität. Es ist eine Aussage über Position: Diese Geräte stehen dort, wo ein Angreifer hinwill, halten lohnende Zugangsdaten und sind ohne vorherigen Fuß in der Tür erreichbar.
Befund 2: Warum die naheliegende Tabelle in die Irre führt
| Anbieter | Einträge | Produkte | Jahre im Katalog | Einträge pro Jahr | Ransomware-Anteil |
|---|---|---|---|---|---|
| Microsoft | 386 | 72 | 6 | 64,3 | 30 % |
| Cisco | 96 | 41 | 6 | 16,0 | 6 % |
| Ivanti | 35 | 15 | 6 | 5,8 | 34 % |
| Fortinet | 29 | 9 | 6 | 4,8 | 48 % |
| VMware | 26 | 14 | 5 | 5,2 | 35 % |
| Citrix | 23 | 12 | 6 | 3,8 | 30 % |
| SonicWall | 19 | 9 | 6 | 3,2 | 68 % |
| Palo Alto Networks | 15 | 2 | 5 | 3,0 | 40 % |
| F5 | 7 | 4 | 6 | 1,2 | 57 % |
Als Rangliste gelesen sagt diese Tabelle, Cisco sei ein viermal so großes Problem wie Ivanti. Nach Folgen gelesen sagt sie beinahe das Gegenteil. Cisco trägt die meisten Einträge aller randnahen Anbieter und den niedrigsten Ransomware-Anteil der Gruppe. Microsofts Zahl spiegelt die Größe seiner Oberfläche, nicht vergleichsweise schlechtere Entwicklung.
Deshalb darf die Eintragszahl nie als Anbieterrangliste veröffentlicht werden, und deshalb ist die Anteilsspalte diejenige, die ein Argument trägt. Auch kleine Nenner verlangen Vorsicht: Check Points 67 Prozent beruhen auf drei Einträgen und bedeuten für sich genommen wenig.
Befund 3: Wenn Patchen nicht die Abhilfe ist
Der lehrreichste dokumentierte Fall ist keine Statistik. Im Mai 2023 erkannte Barracuda CVE-2023-2868 in seiner Email Security Gateway Appliance, patchte binnen eines Tages weltweit alle Geräte und stellte anschließend fest, dass das nicht genügte.
Die Mitteilung ist für Herstellermaterial ungewöhnlich deutlich:
„Compromised ESG appliances must be immediately replaced regardless of patch version level.“
Barracuda stellte die Ersatzgeräte kostenlos bereit, und die spätere Einschätzung hält fest, dass Betroffene, die nicht ausgetauscht haben, weiterhin einem Risiko ausgesetzt sein können. Im Dezember 2023 folgte eine zweite Runde über eine Schwachstelle in einer Drittbibliothek, die der Virenscanner der Appliance nutzt.
Zwei Dinge machen das für die Geschäftsleitung relevant. Der Hersteller sagte seinen Kunden gegen das eigene wirtschaftliche Interesse, dem Gerät sei nach dem Patchen nicht mehr zu trauen. Und die meisten Notfallpläne haben für diese Anweisung keinen Zweig: Sie unterstellen patchen, prüfen, weitermachen.
Befund 4: Das Fenster öffnet sich, bevor Sie davon wissen
Barracuda erkannte die Schwachstelle am 19. Mai 2023. Die eigene Mitteilung nennt als frühesten festgestellten Nachweis einer Ausnutzung den Oktober 2022, also rund sieben Monate früher, und kennzeichnet das ausdrücklich als Zwischenstand einer laufenden Untersuchung.
Kein Patch-Rhythmus adressiert dieses Intervall, denn in ihm gab es nichts einzuspielen. Was es adressiert, ist eine Erkennung, die die Appliance selbst einschließt, und genau die fehlt Edge-Geräten am häufigsten: Sie liefern oft nicht die Telemetrie, die ihre eigene Kompromittierung zeigen würde, oder liefern sie an eine Stelle, die niemand ansieht. Die Kompromittierung des Perimeters fällt dann stromabwärts auf, an dem, was der Angreifer als Nächstes tut, und die Kosten sind die Zeit dazwischen.
Befund 5: Ein Niveau, kein Trend
| Jahr | Edge-Einträge | Alle neuen Einträge | Anteil |
|---|---|---|---|
| 2021 | 39 | 311 | 12,5 % |
| 2022 | 51 | 555 | 9,2 % |
| 2023 | 29 | 187 | 15,5 % |
| 2024 | 39 | 186 | 21,0 % |
| 2025 | 45 | 245 | 18,4 % |
| 2026 | 28 | 211 | 13,3 % |
Der Anteil bewegt sich zwischen 9 und 21 Prozent ohne Richtung. Das als wachsende Bedrohung zu berichten hieße, eine Steigung in Rauschen zu lesen, und 2026 ist zudem ein Teiljahr. Belastbar ist die Aussage, dass das Niveau anhaltend über dem Katalogdurchschnitt liegt, nicht dass es steigt.
Was das für die Geschäftsleitung bedeutet
Die Anbieterauswahl ist der falsche Hebel. Das Band ist das Band. Ein Wechsel ändert, welcher Name in der Tabelle steht; die strukturellen Eigenschaften, die die Kategorie für Angreifer attraktiv machen, hängen an der Funktion, nicht am Logo.
Patch-Steuerung am Netzwerkrand ist eine eigene Richtlinie. Die Systeme, die am seltensten zeitnah gepatcht werden, sind genau die aus dem Internet erreichbaren, weil sich für den Neustart des Geräts, das alle Remote-Arbeitsplätze trägt, niemand freiwillig meldet. Dieser Widerspruch braucht einen Inhaber und einen vorab genehmigten Notfallweg, keine guten Absichten.
Konsolidierung hat einen Preis, der selten eingepreist wird. Firewall, SASE, SIEM, EDR und die Managementebene auf das Fabric eines Anbieters zu legen bedeutet, dass eine Schwachstelle in der gemeinsamen Managementschicht Telemetrie, Erkennung und Reaktion gleichzeitig trifft. Das ist ein legitimer Handel, und er sollte bewusst geschlossen werden statt nebenbei.
Empfehlungen
| Empfehlung | Begründung | Inhaber | Aufwand |
|---|---|---|---|
| Eigener Patch-Rhythmus für Edge-Appliances mit benannter Notfallfreigabe | Diese Geräte werden systematisch zuletzt gepatcht und zuerst erreicht | Infrastruktur und CISO | Gering |
| Den eigenen Perimeter auf offene Management-Oberflächen scannen | Herstellerhinweise sagen wiederholt, dass diese nicht erreichbar sein sollten, und wiederholt sind sie es | Security Operations | Gering |
| Einen Austauschzweig in den Notfallplan aufnehmen | Ein Hersteller hat Kunden bereits gesagt, dass Patchen nicht genügt | Incident Response | Mittel |
| Prüfen, dass Edge-Telemetrie an einer Stelle landet, die jemand liest | Sonst wird die Kompromittierung des Geräts erst stromabwärts bemerkt | SOC | Mittel |
| Den Wirkungsradius vor der Konsolidierung auf ein Fabric beziffern | Ein Fehler in der gemeinsamen Managementschicht trifft alle Funktionen zugleich | Architektur | Hoch |
Übersicht für die Geschäftsleitung
| Frage | Antwort aus den Daten | Konfidenz |
|---|---|---|
| Sind Edge-Produkte in bestätigter Ausnutzung überrepräsentiert? | Ja, 35,9 % Ransomware-Anteil gegen 20,9 % im Gesamtkatalog | Hoch |
| Trägt der Anbieter mit den meisten Einträgen das höchste Risiko? | Nein, Cisco hat die meisten Einträge und den niedrigsten Anteil | Hoch |
| Steigt die Edge-Gefährdung? | Nicht nachweisbar, der Jahresanteil bewegt sich ohne Richtung | Hoch |
| Genügt Patchen immer? | Nein, ein Hersteller empfahl Austausch unabhängig vom Patch-Stand | Hoch |
| Wie lange kann Ausnutzung der Entdeckung vorausgehen? | Rund sieben Monate im dokumentierten Fall | Mittel |
| Senkt ein Anbieterwechsel die Exposition? | Strukturell nicht | Mittel |
Häufige Fragen
Heißt das, unser Edge-Anbieter ist eine schlechte Wahl?
Nein. Der Befund betrifft eine Kategorie, keinen Lieferanten. Die Anbieter der Gruppe liegen in einem Band miteinander, und die Eigenschaften, die Angreifer anziehen, Erreichbarkeit aus dem Internet, terminierte verschlüsselte Sitzungen, gespeicherte Zugangsdaten, privilegierter Code, hängen an der Funktion und nicht an der Marke.
Warum ist Cisco aus der Gruppe ausgeschlossen?
Weil seine Katalogeinträge Routing, Telefonie, Collaboration und Managementsoftware umfassen und eine Aufnahme die geprüfte Kategorie verwischen würde. In der zweiten Tabelle taucht Cisco gerade deshalb auf, weil es der deutlichste Beleg dafür ist, dass Eintragszahlen in die Irre führen.
Warum wurden Porter oder eine PESTEL-Analyse nicht verwendet?
Sie beantworten Fragen, die diese Untersuchung nicht stellt. Hier geht es um einen öffentlichen Ausnutzungsdatensatz und eine Herstellermitteilung, nicht um Branchenstruktur oder Makroumfeld. Diese Rahmen anzuwenden hätte Abschnitte ohne Belegbasis erzeugt.
Können wir die Eintragstabelle für einen Anbietervergleich nutzen?
Nein, und das ist der methodische Kernpunkt. Die Zahlen sind nicht um installierte Basis, Produktbreite oder Jahre im Katalog bereinigt. Die Anteilsspalte trägt das Argument, und auch sie verlangt Vorsicht, wo der Nenner klein ist.
Ist der Barracuda-Fall repräsentativ?
Er ist ein dokumentierter Fall, keine Grundrate. Er belegt, dass es die Lage gibt, in der ein Hersteller Patchen für unzureichend hält, und dass ein Notfallplan sie vorsehen sollte. Über die Häufigkeit sagt er nichts.
Was, wenn wir den Netzwerkrand aus betrieblichen Gründen nicht schnell patchen können?
Dann ist genau das der Befund, und er gehört als bewusste Position ins Risikoregister statt als Zufall. Die realistischen Gegenmaßnahmen sind kompensierende Erkennung auf dem Gerät selbst und ein vorab genehmigtes Notfenster, nicht der Vorsatz, schneller zu patchen.
Woher stammen diese Zahlen, und können wir sie reproduzieren?
Aus CISAs maschinenlesbarem KEV-Feed, Katalogversion 2026.09.04, 1.695 Einträge, gezogen am 5. September 2026. Die Anbietergruppe ist oben vollständig aufgeführt, damit die Zählung wiederholt oder bestritten werden kann.
Anhang: Methodik
Art der Untersuchung. Quantitative Auswertung eines öffentlichen Behördendatensatzes, verbunden mit der Primärdokumentenanalyse einer Herstellermitteilung zu einem Vorfall.
Angewandte Rahmen. SCQA für die Rahmung. Für die Daten eine Normalisierung nach Folgen (Ransomware-Anteil) statt nach Menge, dazu je Anbieter eine Normalisierung nach Jahren im Katalog und nach Anzahl distinkter Produkte.
Geprüfte und verworfene Rahmen. Porter, BCG-Matrix, Wertkette und PESTEL, von denen keiner die Frage adressiert. Die Technologieadoptionskurve wurde verworfen, weil der Datensatz keine Verbreitungsdimension trägt.
Quellen. CISA-KEV-Katalog, maschinenlesbarer Feed, Version 2026.09.04, abgerufen und gezählt am 5. September 2026. Barracudas Trust-Center-Mitteilung zur ESG-Schwachstelle, vollständig gelesen am 5. September 2026. Das Barracuda-Material ist Herstellermaterial und nicht interessenneutral; sein Beweiswert liegt darin, dass es gegen dieses Interesse läuft.
Konfidenz. Hoch für die Befunde 1, 2, 3 und 5, die auf direkt gezogenen Zahlen oder wörtlichen Herstelleraussagen beruhen. Mittel für Befund 4, weil die Sieben-Monats-Angabe der Zwischenstand des Herstellers in einer als laufend bezeichneten Untersuchung ist.
Grenzen.
- Der Katalog erfasst bestätigte Ausnutzung, nicht jede Ausnutzung. Abwesenheit ist kein Beleg für Sicherheit.
- Das Ransomware-Feld erfasst bekannte Kampagnennutzung. Es untererfasst konstruktionsbedingt, weil Zuschreibung nachläuft.
- Die Anbietergruppe ist eine Ermessensentscheidung. Sie ist vollständig aufgeführt, damit die Zählung mit anderer Gruppierung wiederholt werden kann.
- Kleine Nenner machen einzelne Anbieteranteile instabil. Check Points 67 Prozent beruhen auf drei Einträgen.
- 2026 ist ein Teiljahr und sein Anteil sollte nicht mit vollständigen Jahren verglichen werden.
Was offen bleibt. Wie viele der Edge-Einträge als Zero Day ausgenutzt wurden und wie viele erst, nachdem ein Patch verfügbar war. Dieses Verhältnis entscheidet, ob die Antwort schnelleres Patchen ist oder etwas ganz anderes, und der Feed führt das Feld nicht.
Anlass zur Fortschreibung. Neu rechnen, wenn sich die Katalogversion wesentlich ändert, und erneut prüfen, falls CISA ein Feld ergänzt, das Ausnutzung vor und nach Patch-Verfügbarkeit unterscheidet.
Quellen
- CISA, Known Exploited Vulnerabilities Catalog, maschinenlesbarer Feed, Katalogversion 2026.09.04. Abgerufen und gezählt am 5. September 2026.
- Barracuda Networks, Trust-Center-Mitteilung zur Schwachstelle der Email Security Gateway Appliance, Einträge von Mai 2023 bis Januar 2024. Gelesen am 5. September 2026.
