MikroTik Router unter Beschuss: Was die aktuellen Sicherheitslücken für Ihr Netzwerk bedeuten – und was Sie jetzt tun müssen
Inhaltsverzeichnis
Veröffentlicht: 07. September 2026 · Lesezeit: ca. 11 Minuten
Über eine Million MikroTik-Geräte weltweit – das ist keine Hochrechnung, sondern der von VulnCheck dokumentierte Bestand an Geräten, die allein durch CVE-2023-30799 angreifbar waren (Heise Online, Juli 2023). Wer dachte, solche Zahlen betreffen nur Großkonzerne, wird durch die aktuellen Ereignisse eines Besseren belehrt: Bereits im September 2026 meldete Golem, dass über 100.000 MikroTik-Router aktiv angegriffen werden – Handwerksbetriebe, Steuerberater und Arztpraxen eingeschlossen. Das Unangenehme daran: Die Angriffe liefen nachweislich drei Tage, bevor die erste öffentliche Warnung erschien. Wer in dieser Zeit nicht zufällig in seine Logs geschaut hat, hatte keine Chance zu reagieren.
Die aktuelle MikroTik Router Sicherheitslücke – genauer: die Exploit-Kette namens „MikroTrick“, die vom CERT Polska im September 2026 koordiniert offengelegt wurde – ist kein abstraktes Großunternehmensproblem. Sie betrifft jeden Betrieb, der einen MikroTik-Router als Firewall, VPN-Gateway oder Netzwerkzentrale einsetzt. Sechs RouterOS-Schwachstellen, darunter zwei kritische SSH-Lücken, ermöglichen einem Angreifer unauthentifizierten Vollzugriff auf das betroffene Gerät – und damit auf Ihr gesamtes internes Netzwerk.
Was den Fall besonders ernst macht: MikroTik-Geräte sind in mittelständischen Betrieben weit verbreitet, weil sie leistungsfähig und vergleichsweise günstig sind. Sie landen häufig in Netzwerken, werden einmal konfiguriert – und dann über Jahre nicht mehr angefasst. Genau das ist das Problem. Ungepatchte Firmware, offene SSH-Ports und unveränderte Standard-Credentials bilden zusammen eine Einladung, die Angreifer seit Jahren systematisch nutzen.
In diesem Beitrag schildern wir, was wir in der Praxis immer wieder beobachten, welche Fehler sich wiederholen – und was Sie konkret tun können, um Ihr Gerät abzusichern oder eine mögliche Kompromittierung aufzudecken.
Was wir bei MikroTik-Geräten immer wieder antreffen
Wenn wir als ISO/IEC 27001 zertifiziertes IT-Systemhaus in ein Netzwerk schauen, das wir nicht selbst aufgebaut haben, ist MikroTik fast immer dabei. Das ist kein Zufall: RouterOS bietet für seinen Preis bemerkenswert viel Funktionsumfang. Das Problem liegt nicht im Gerät – es liegt in der Art, wie es betrieben wird.
In Duderstadt wie andernorts begegnet uns ein typisches Bild: Der Router wurde vor drei, vier oder mehr Jahren von einem Techniker eingerichtet, läuft seitdem stabil – und wurde nie wieder angefasst. Kein Firmware-Update, kein Passwort-Wechsel, SSH offen auf Port 22, erreichbar aus dem gesamten Internet. Das Botnetz Mēris bestand laut Qrator Labs zeitweise aus bis zu 250.000 auf diese Weise gekaperten MikroTik-Routern (Heise Online, September 2021) – viele davon in kleinen Unternehmen, die nichts davon wussten.
Konkret sehen wir folgende Muster immer wieder:
- SSH-Zugang direkt aus dem Internet erreichbar, ohne IP-Beschränkung
- Admin-Konto heißt noch „admin“, Passwort ist leer oder trivial
- RouterOS-Version ist zwei bis vier Hauptversionen alt
- Die RouterOS-API ist aktiv, wird aber von niemandem aktiv genutzt
- Kein Monitoring, keine Log-Auswertung – Angriffe bleiben wochenlang unbemerkt
Die MikroTik Router Sicherheitslücke in der aktuellen „MikroTrick“-Exploit-Kette setzt genau an diesem Zustand an: Ein über das Internet erreichbarer SSH-Dienst reicht als einziger Angriffspunkt. Wer diesen Port offen hat, ist exponiert – unabhängig davon, wie gut der Rest des Netzwerks abgesichert ist.
Unserer Einschätzung nach ist das kein Versagen einzelner Administratoren, sondern ein strukturelles Problem: MikroTik-Geräte werden oft ohne klare Wartungsvereinbarung betrieben. Niemand fühlt sich zuständig – bis etwas passiert.
Typischer Ausgangszustand: Wie Unternehmen starten – und warum das riskant ist
Viele Betriebe setzen MikroTik-Router bewusst ein: Die Hardware ist robust, RouterOS flexibel, und der Preis liegt deutlich unter vergleichbaren Cisco- oder Fortinet-Geräten. Für einen Handwerksbetrieb mit zehn Mitarbeitern oder eine Steuerberatungskanzlei mit zwei Standorten ist das eine nachvollziehbare Entscheidung.
Das Ausgangsproblem liegt nicht in der Geräteauswahl, sondern in der Betreuung danach. Eine MikroTik Router Sicherheitslücke bleibt nur dann folgenlos, wenn regelmäßig gepatcht wird. Stattdessen erleben wir in der Praxis häufig folgendes Bild:
- Der Router läuft auf einer RouterOS-Version, die bei Erstinstallation aktuell war – und seitdem nicht mehr aktualisiert wurde
- SSH ist aktiviert, weil der damalige Techniker es zur Einrichtung brauchte – und nie wieder deaktiviert hat
- Das WebFig-Interface ist über HTTP (nicht HTTPS) erreichbar, inklusive Klartext-Übertragung der Zugangsdaten
- Die RouterOS-API ist aktiv, obwohl keine Anwendung sie nutzt – und damit ist auch CVE-2026-14227 relevant: WireGuard-Private-Keys können über die API im Klartext ausgelesen werden, sofern ein Angreifer niedrige Rechte erlangt hat (CISA, Juli 2026)
Letzterer Punkt ist besonders heimtückisch: Wer den SSH-Port sperrt und glaubt, damit sicher zu sein, übersieht, dass ein zweiter Angriffsweg über die API existiert. VPN-Verbindungen, die als sicher galten, können kompromittiert sein – ohne dass jemand es bemerkt hat.
Die IT-Sicherheitslösungen der TTG GmbH beginnen deshalb immer mit einer Bestandsaufnahme: Welche Dienste sind aktiv? Wer hat Zugriff? Was läuft wann und warum? Erst danach lässt sich beurteilen, wo der tatsächliche Handlungsbedarf liegt.
Wichtig: Die CISA hat im Juli 2026 zwei ICS-Advisories zu MikroTik RouterOS herausgegeben – darunter auch fehlende Rate-Limitierung in der API-Authentifizierung. Das erlaubt Brute-Force-Angriffe auf Zugangsdaten, ohne dass der Router den Angriff unterbricht. Wer die API nicht braucht, sollte sie sofort deaktivieren.
Der häufigste Fehler: Patchen als Reaktion statt als Routine
Der verbreitetste Fehler ist nicht Unwissenheit – er ist Aufschub. Firmware-Updates werden nicht ignoriert, weil Administratoren sie nicht kennen. Sie werden verschoben, weil der Router „läuft“ und niemand das Risiko eines Reboots während der Arbeitszeit eingehen möchte. Das ist nachvollziehbar. Aber es schafft genau das Zeitfenster, das Angreifer ausnutzen.
Die aktuelle Exploit-Kette „MikroTrick“ illustriert das scharf: Die frühesten bestätigten Angriffe fanden am 2. September 2026 statt – drei Tage bevor CERT Polska die Schwachstellen öffentlich machte. MikroTik veröffentlichte Notfall-Patches am 3. September (RouterOS 7.24.2, 7.23.4, 6.49.21 LTS sowie 7.25 beta 3). Wer in diesen drei Tagen nicht zufällig in seine Logs geschaut hat, hatte keine Warnung.
Das ist die Realität eines Zero-Day-Fensters: Keine Sicherheitsmeldung, keine CVE-Nummer, keine öffentliche Warnung – und trotzdem aktive Angriffe. Für Betriebe ohne Threat-Intelligence-Abonnement oder aktives Log-Monitoring bedeutet das: Sie erfahren von einem Angriff erst, wenn er abgeschlossen ist.
Was konkret hilft, um dieses Fenster zu verkleinern:
- RouterOS-Kanal auf „Stable“ setzen und automatische Update-Benachrichtigungen aktivieren (System → Packages → Check for Updates)
- RSS-Feed oder E-Mail-Benachrichtigung von BSI – IT-Grundschutz für Unternehmen abonnieren
- Festes monatliches Wartungsfenster für Netzwerkgeräte einrichten – nicht ad hoc, sondern geplant
- Vor jedem Update ein vollständiges Konfigurations-Backup erstellen (Files → Backup)
Zur sicheren IT-Infrastruktur für KMU gehört aus unserer Sicht ein dokumentierter Patch-Prozess, der nicht vom Tagesgeschäft abhängt. Ein Firmware-Update ist in den meisten Fällen in unter 15 Minuten erledigt – die Frage ist nur, ob es auf der Agenda steht.
Übrigens: Die aktuelle Welle zeigt, dass MikroTik nicht allein betroffen ist. Im September 2026 wurde ebenfalls eine aktiv ausgenutzte Lücke in Google Chrome gemeldet, die Schadcode-Ausführung in der Browser-Sandbox ermöglicht – ein weiteres Beispiel dafür, dass reaktives Patchen strukturell zu langsam ist.
Der zweithäufigste Fehler: Zugriffswege offen lassen, die niemand mehr braucht
SSH auf Port 22, erreichbar aus aller Welt – das ist der primäre Angriffsvektor der „MikroTrick“-Exploit-Kette. Aber in der Praxis ist SSH oft nur der sichtbarste offene Dienst. Was wir daneben regelmäßig finden, ist mindestens genauso problematisch.
Ein konkretes Beispiel aus unserer Praxis: Ein Unternehmen betrieb seinen MikroTik-Router mit aktiver API, weil ein Mitarbeiter vor Jahren eine Automatisierung gebaut hatte, die längst nicht mehr genutzt wurde. Die API war noch offen, das zugehörige Passwort seit Jahren unverändert. Seit dem CISA-Advisory zu CVE-2026-14227 ist bekannt: Wer über die API – selbst mit niedrigen Rechten – Zugriff erlangt, kann WireGuard-Private-Keys im Klartext auslesen. Eine VPN-Strecke, die als sicher galt, war damit potenziell kompromittierbar.
Die folgende Tabelle hilft bei der Entscheidung, welche Dienste aktiv bleiben sollten:
| Dienst | Empfehlung | Begründung |
|---|---|---|
| SSH (Port 22, offen) | Deaktivieren oder auf bekannte IPs beschränken | Primärer Angriffsvektor von „MikroTrick“ |
| RouterOS-API | Deaktivieren, wenn nicht aktiv genutzt | Kein Rate-Limiting, WireGuard-Key-Exposition (CVE-2026-14227) |
| WebFig über HTTP | Auf HTTPS umstellen, HTTP deaktivieren | Zugangsdaten werden im Klartext übertragen |
| Management-Zugriff offen | Auf dediziertes VLAN oder VPN beschränken | Reduziert Angriffsfläche erheblich |
Die Grundregel lautet: Alles, was nicht aktiv gebraucht wird, wird deaktiviert. Das ist keine übertriebene Vorsicht – es ist der Standard, den auch das BSI im Lagebericht Cybersicherheit für vernetzte Netzwerkkomponenten beschreibt.
Zu den IT-Dienstleistungen der TTG GmbH gehört deshalb standardmäßig ein Härtungs-Check für Netzwerkgeräte – mit dokumentierter Nachher-Konfiguration, damit beim nächsten Gerätewechsel niemand von vorne beginnen muss.
Was sich nach der Absicherung konkret verändert
Ein Maschinenbauer aus unserer Region – ein mittelständischer Betrieb mit rund 30 Mitarbeitern und mehreren Produktionshallen – kam zu uns, nachdem unbekannte Nutzerkonten im Router aufgetaucht waren. Genau das sind die Indikatoren (IoCs), die CERT Polska für die „MikroTrick“-Kette beschreibt: hochprivilegierte Konten mit unbekannten Bezeichnungen und Login-Logs mit dem Muster ssh:-2@.
Nach der vollständigen Analyse – Konfigurationsprüfung, Entfernung fremder Skripte und Scheduler-Einträge, Firmware-Update auf 7.24.2, Schließung aller nicht benötigten Dienste – war das Ergebnis messbar: Die Zahl täglich blockierter Zugriffsversuche im Firewall-Log sank von mehreren Hundert auf unter zehn. Nicht weil weniger Angriffe stattfanden, sondern weil die Angriffsfläche so drastisch reduziert wurde, dass automatisierte Scanner nichts mehr fanden.
Was konkret besser wurde:
- SSH-Zugang nur noch über ein dediziertes Management-VLAN erreichbar – kein direkter Internetzugang mehr
- RouterOS-API deaktiviert – CVE-2026-14227 damit nicht mehr ausnutzbar
- Monatliches Patch-Fenster eingerichtet, Firmware seitdem aktuell
- Log-Monitoring eingerichtet: Auffällige Muster werden automatisch gemeldet
- Neuer „Flagged“-Mechanismus in RouterOS 7.24.2 aktiv – unautorisierte Konfigurationsänderungen werden sofort sichtbar
Als ISO/IEC 27001-zertifizierter regionaler IT-Partner mit über 25 Jahren Erfahrung wissen wir: Die technische Absicherung ist der einfachere Teil. Was dauerhaft funktioniert, ist ein strukturierter Betriebsprozess – mit klaren Zuständigkeiten, dokumentierten Konfigurationen und einem Ansprechpartner, der reagiert, bevor etwas schiefgeht.
Das BSI empfiehlt für Unternehmen genau diesen Ansatz: Netzwerkgeräte als Teil eines kontinuierlichen Sicherheitsmanagements betrachten, nicht als einmalige Investition. Eine MikroTik Router Sicherheitslücke ist beherrschbar – wenn der Betrieb dafür aufgestellt ist.
Was wir Ihnen jetzt direkt empfehlen
Wenn Sie einen MikroTik-Router betreiben und noch nicht gepatcht haben: Tun Sie es heute. Die Notfall-Patches für alle Release-Kanäle sind verfügbar – RouterOS 7.24.2, 7.23.4 und 6.49.21 (LTS). Der Weg dorthin: System → Packages → Check for Updates. Vorher ein vollständiges Backup erstellen, den Reboot planen – fertig.
Wenn Sie unsicher sind, ob Ihr Gerät bereits kompromittiert wurde, prüfen Sie folgende Punkte:
- Unbekannte Benutzerkonten unter System → Users – insbesondere Konten mit dem Namen „ops“ oder ähnlichen unbekannten Bezeichnungen
- Login-Logs auf Einträge mit dem Muster
ssh:-2@(Log → Filter) - Scheduler-Einträge und Skripte auf unbekannte Einträge prüfen (System → Scheduler, System → Scripts)
- „Flagged“-Meldungen im System-Log – der neue Mechanismus in RouterOS 7.24.2 zeigt unautorisierte Änderungen aktiv an
Darüber hinaus empfehlen wir drei strukturelle Maßnahmen, die über das reine Patchen hinausgehen: Erstens, SSH-Zugang aus dem Internet vollständig sperren. Zweitens, die RouterOS-API deaktivieren, sofern kein aktiver Anwendungsfall existiert. Drittens, das Admin-Konto umbenennen und ein starkes, generiertes Passwort setzen.
Eine MikroTik Router Sicherheitslücke wie „MikroTrick“ ist kein unabwendbares Schicksal. Sie ist das Ergebnis von Konfigurationen, die irgendwann getroffen wurden und seitdem nicht mehr hinterfragt wurden. Das lässt sich ändern – und der Aufwand dafür ist geringer, als viele erwarten.
Wenn Sie nicht sicher sind, wo Ihr Gerät steht, oder wenn Sie einen Router haben, der von jemandem eingerichtet wurde, der nicht mehr erreichbar ist: Sprechen Sie uns an. Die TTG GmbH begleitet Betriebe in Duderstadt und der gesamten Region dabei, solche Altlasten strukturiert abzuarbeiten – ohne Betriebsunterbrechung und mit dokumentiertem Ergebnis.
Jetzt unverbindlich Kontakt aufnehmen – wir melden uns innerhalb eines Werktags.
Ihre Checkliste: So starten Sie jetzt
- Erstellen Sie ein Konfigurations-Backup Ihres MikroTik-Routers, bevor Sie irgendeine Änderung vornehmen (Files → Backup).
- Spielen Sie das Firmware-Update ein: RouterOS 7.24.2, 7.23.4 oder 6.49.21 (LTS) – je nach eingesetztem Release-Kanal (System → Packages → Check for Updates).
- Prüfen Sie alle Benutzerkonten unter System → Users auf unbekannte oder hochprivilegierte Einträge – insbesondere Konten namens „ops“ oder ähnlichem.
- Sichten Sie die Login-Logs auf Einträge mit dem Muster
ssh:-2@– das ist ein bestätigter IoC der „MikroTrick“-Exploit-Kette. - Deaktivieren Sie SSH aus dem Internet oder beschränken Sie den Zugang per Firewall-Regel auf bekannte IP-Adressen.
- Schalten Sie die RouterOS-API ab, sofern Sie keine Anwendung aktiv nutzt – Befehl: IP → Services → api → Disable.
- Stellen Sie WebFig auf HTTPS um und deaktivieren Sie den unverschlüsselten HTTP-Zugang (IP → Services).
- Richten Sie ein festes monatliches Wartungsfenster für Netzwerkgeräte ein und dokumentieren Sie den Patch-Stand schriftlich.
Häufig gestellte Fragen
Wie dringend ist das Update wirklich – mein Router läuft doch stabil?
Ein Router, der stabil läuft, kann trotzdem bereits kompromittiert sein – das ist das Tückische an dieser Angriffskette. Angreifer wollen kein Aufsehen erregen; sie nutzen gekaperte Geräte als Relay-Knoten oder für Datenabfluss, ohne den Betrieb zu stören. „Stabil“ bedeutet hier ausdrücklich nicht „sicher“. Das Update sollte innerhalb der nächsten 24 bis 48 Stunden eingespielt werden – nicht irgendwann.
Was kostet mich eine professionelle Überprüfung meines Routers?
Das hängt vom Umfang ab: Ein gezielter Sicherheitscheck für einen einzelnen MikroTik-Router – inklusive Firmware-Update, Konfigurationshärtung und Log-Analyse – ist in der Regel in zwei bis drei Stunden erledigt. Die TTG GmbH bietet solche Checks als Einzelleistung an. Die Kosten einer ungepatchten Kompromittierung – Datenverlust, Betriebsausfall, DSGVO-Meldepflicht – liegen erfahrungsgemäß um ein Vielfaches höher.
Bin ich auch betroffen, wenn der Router nicht direkt aus dem Internet erreichbar ist?
Für die „MikroTrick“-Exploit-Kette ist ein aus dem Internet erreichbarer SSH-Dienst der Hauptangriffsvektor. Ist SSH intern oder gar nicht erreichbar, sinkt das Risiko für diese spezifische Kette deutlich. Allerdings bleibt CVE-2026-14227 (WireGuard-Key über API) relevant, solange die RouterOS-API aktiv ist und ein Angreifer anderweitig niedrige Rechte erlangt. Grundsätzlich gilt: Patchen ist in jedem Fall richtig.
Muss ich das meiner Datenschutzbehörde melden?
Wenn personenbezogene Daten über den kompromittierten Router übertragen wurden oder abgeflossen sein könnten, besteht unter der DSGVO grundsätzlich eine Meldepflicht innerhalb von 72 Stunden. Das gilt für Arztpraxen, Steuerberater und jeden Betrieb, der Kundendaten verarbeitet. Im Zweifel sollten Sie Ihren Datenschutzbeauftragten sofort einbeziehen. Eine dokumentierte Sofortreaktion – Patch, Log-Sicherung, Konfigurationsprüfung – wirkt sich positiv auf die behördliche Bewertung aus.
Reicht es, den Router auszutauschen, statt ihn zu patchen?
Ein Gerätewechsel löst das Problem dauerhaft nur dann, wenn das neue Gerät von Anfang an korrekt konfiguriert und in einen Wartungsprozess eingebunden wird. Ein MikroTik-Router, der ungepatcht ersetzt wird, schafft dieselbe Ausgangslage in wenigen Jahren neu. Patchen ist schneller, günstiger und zeigt unmittelbar Wirkung. Wenn das Gerät älter als fünf bis sechs Jahre ist und keine aktuellen RouterOS-Versionen mehr unterstützt, ist ein Austausch sinnvoll – aber als geplante Maßnahme, nicht als Notlösung.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie wirklich, welche Dienste auf Ihrem MikroTik-Router gerade offen und aus dem Internet erreichbar sind?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
