Aktive Angriffe auf SonicWall SSLVPN – was die Lücke für Ihre VPN-Strategie bedeutet
Inhaltsverzeichnis
Veröffentlicht: 09. November 2026 · Lesezeit: ca. 7 Minuten
Wann haben Sie zuletzt geprüft, ob Ihre SonicWall-Firewall auf dem aktuellen Firmware-Stand ist – und zwar nicht nur die Versionsnummer verglichen, sondern auch kontrolliert, ob alle lokalen SSLVPN-Passwörter nach der letzten Migration zurückgesetzt wurden? Und: Wissen Sie mit Sicherheit, wer in Ihrem Unternehmen für genau diese Aufgabe verantwortlich ist?
Die ehrliche Antwort fällt vielen Betrieben schwer. Nicht weil Ihnen Sicherheit gleichgültig ist, sondern weil Firmware-Stände und Credential-Hygiene nach Migrationen in der Praxis regelmäßig in der Lücke zwischen Systemhaus-Auftrag und internem IT-Betrieb verschwinden. Genau das nutzt die Akira-Ransomware-Gruppe derzeit systematisch aus.
Die SonicWall SSLVPN Angriffe KMU treffen mit CVE-2024-53704 eine Schwachstelle mit CVSS-Score 9.8 – also der höchsten Kritikalitätsstufe unterhalb von 10. Die Lücke erlaubt vollständige Authentifizierungsumgehung: Ein Angreifer kann eine aktive SSLVPN-Session kapern, ohne gültige Credentials zu kennen. SonicWall hat den Patch im Januar 2025 veröffentlicht – doch Bishop Fox zählte Anfang Februar 2025 noch rund 4.500 ungepatchte Server weltweit, darunter nach BSI-Daten rund 470 in Deutschland allein.
Besonders brisant ist der Credential-Carry-Over nach Gen-6-auf-Gen-7-Migrationen: Lokale Benutzerpasswörter werden dabei häufig nicht automatisch zurückgesetzt. Das BSI stuft diesen Angriffsvektor explizit als primäres Einfallstor der Akira-Gruppe ein. Hat Ihr Systemhaus die Migration durchgeführt – und hat es danach sämtliche SSLVPN-Passwörter zurückgesetzt? Diese Frage ist in den meisten Wartungsverträgen nicht eindeutig geregelt.
Dieser Beitrag ordnet den Sachverhalt technisch ein, zeigt konkrete Prüfschritte für Ihr System und nennt die Sofortmaßnahmen in der richtigen Reihenfolge. Abschließend ordnen wir ein, was das strukturell für Ihre VPN-Strategie bedeutet.
Was konkret passiert ist: Sachverhalt, betroffene Versionen und Angriffsweg
CVE-2024-53704 betrifft SonicOS-Versionen unterhalb von 7.1.1-7058, 7.1.2-7019 und 8.0.0-8035. Die Schwachstelle liegt in der SSLVPN-Session-Verwaltung: Durch eine manipulierte Anfrage kann ein Angreifer eine aktive Session übernehmen, ohne sich authentifizieren zu müssen. Betroffen sind Gen-6- und Gen-7-Firewalls mit aktiviertem SSLVPN-Feature. Heise Security berichtete aktuell über aktiv ausgenutzte Angriffe auf SonicWall-SSLVPN-Instanzen – sofortiges Handeln ist erforderlich.
Parallel dazu schließt CVE-2024-40766 (ebenfalls kritisch) den Management-Zugriff ein und wird von der Akira-Gruppe kombiniert genutzt. Der typische Angriffsablauf: Login über gültige, aber kompromittierte Credentials → laterale Bewegung im Netzwerk → Verschlüsselung noch am selben Tag. E-Mail-Filter und Endpoint-Agenten bleiben dabei wirkungslos, weil der Angreifer bereits im Netzwerk sitzt, bevor Schadsoftware übertragen wird (Arctic Wolf / it-daily.net).
Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH beobachten wir, dass die SonicWall SSLVPN Angriffe KMU überproportional treffen – nicht weil die Geräte schlechter wären, sondern weil Patch-Zyklen in kleinen IT-Teams oft nachrangig behandelt werden.
- Prüfen Sie, ob Ihre SonicOS-Version unter 7.1.1-7058 liegt (Management-Interface: System → Firmware & Backups).
- Prüfen Sie, ob das SSLVPN-Feature aktiv ist (VPN → SSL-VPN → Server Settings).
- Prüfen Sie, ob CVE-2024-40766 ebenfalls auf Ihrem Gerät offen ist – betrifft auch den Management-Port (Standard: 443 oder 8443).
- Dokumentieren Sie den aktuellen Stand schriftlich – Zeitpunkt, Version, Status SSLVPN an/aus.
Sind Sie betroffen? Prüfschritte ohne Umwege
Ob Ihre Firewall exponiert ist, lässt sich in unter 15 Minuten feststellen. Navigieren Sie im SonicOS-Management-Interface zu System → Diagnostics → Tech Support Report und notieren Sie die exakte Firmware-Version. Vergleichen Sie sie mit den Mindestversionen aus dem SonicWall-Advisory: 7.1.1-7058, 7.1.2-7019 oder 8.0.0-8035. Liegt Ihr Gerät darunter, ist CVE-2024-53704 offen.
Für die Credential-Prüfung: Öffnen Sie Users → Local Users & Groups und filtern Sie nach Konten mit SSLVPN-Zugriff (VPN Access-Tab je Benutzer). Jedes Konto, dessen Passwort vor der letzten Firmware-Migration gesetzt wurde, ist potenziell kompromittiert – das gilt besonders, wenn Sie von Gen-6 auf Gen-7 migriert haben, ohne danach einen erzwungenen Passwort-Reset (User must change password at next login) aktiviert zu haben.
Ergänzend empfiehlt sich eine Auswertung der SSLVPN-Authentifizierungslogs (Log → View, Filter: SSL-VPN): Suchen Sie nach Login-Ereignissen außerhalb der üblichen Geschäftszeiten, unbekannten Quell-IPs und mehrfachen Fehlversuchen. Akira agiert bevorzugt nachts und an Wochenenden. Die IT-Sicherheitslösungen der TTG GmbH umfassen genau diese Art von Log-Analyse als Teil des laufenden Betriebs.
- Firmware-Version in System → Diagnostics ablesen und mit Advisory-Mindestversionen vergleichen.
- Alle lokalen SSLVPN-Nutzer unter Users → Local Users & Groups auf Passwortalter prüfen.
- SSLVPN-Logs der letzten 30 Tage auf nächtliche Logins und unbekannte IPs auswerten.
- Shadowserver-Feed prüfen: Shadowserver Exposed SonicWall Report zeigt, ob Ihre externe IP gelistet ist.
Was jetzt zu tun ist: Sofortmaßnahmen in der richtigen Reihenfolge
Reihenfolge ist hier keine Formalität – wer zuerst patcht, ohne Passwörter zurückzusetzen, schließt die Tür, lässt den Angreifer aber möglicherweise bereits im Haus. Gehen Sie diese Schritte der Reihe nach durch:
- SSLVPN temporär einschränken (sofort, < 30 Minuten): Schränken Sie den SSLVPN-Zugriff unter VPN → SSL-VPN → Server Settings → SSLVPN Access Rules auf bekannte IP-Ranges ein. Ist kein Whitelist-Betrieb möglich, deaktivieren Sie SSLVPN bis zum Abschluss der weiteren Schritte – so empfehlen es BSI und CERT.at ausdrücklich.
- Firmware aktualisieren (innerhalb von 24 Stunden): Beziehen Sie das aktuelle SonicOS 7.3.0 oder neuer über mysonicwall.com. Bei Gen-6-Geräten sind laut ReliaQuest sechs zusätzliche manuelle Härtungsschritte erforderlich – das Firmware-Update allein reicht nicht.
- Alle lokalen SSLVPN-Passwörter zurücksetzen (gleichzeitig mit Schritt 2): Aktivieren Sie unter Users → Local Users je Benutzer die Option User must change password at next login. Betrifft alle Accounts – nicht nur Administratoren.
- MFA erzwingen: Aktivieren Sie TOTP- oder Push-basierte MFA für alle SSLVPN-Nutzer (Users → Settings → Two-Factor Authentication). Reine E-Mail-MFA genügt nicht: Verfügen Angreifer über gültige Credentials, kontrollieren sie häufig auch den E-Mail-Pfad.
- Verantwortlichkeit dokumentieren: Klären Sie schriftlich mit Ihrem Systemhaus, wer künftig Patch-Management und Passwort-Reset nach Migrationen verantwortet. Die sichere IT-Infrastruktur für KMU von TTG GmbH schließt diese Zuständigkeit vertraglich ein.
Die SonicWall SSLVPN Angriffe KMU zeigen: Technische Maßnahmen und organisatorische Klärung müssen parallel laufen – eine ohne die andere bleibt Stückwerk.
Einordnung: Was die SonicWall SSLVPN Angriffe für Ihre VPN-Strategie bedeuten
CVE-2024-53704 mit CVSS 9.8 ist keine theoretische Schwachstelle. Dass Anfang Februar 2025 noch rund 4.500 Server weltweit ungepatcht waren – obwohl der Fix seit Januar verfügbar ist – zeigt das eigentliche Problem: nicht fehlende Patches, sondern fehlende Patch-Prozesse. Coalition Inc. dokumentierte, dass 96 % der über SonicWall-Schwachstellen benachrichtigten und versicherten Unternehmen Kleinbetriebe waren; 62 % hatten weniger als 50 Mitarbeitende.
Für IT-Verantwortliche in Betrieben dieser Größe lohnt es sich, die VPN-Strategie grundsätzlich zu hinterfragen: SSLVPN direkt am Internet-Edge ist ein exponierter Dienst. Alternativen wie Zero-Trust Network Access (ZTNA) oder clientbasierte IPSec-VPNs mit pre-shared Certificates reduzieren die Angriffsfläche strukturell – unabhängig davon, welcher Hersteller genutzt wird. Das BSI – IT-Grundschutz für Unternehmen gibt dazu detaillierte Empfehlungen für den sicheren Fernzugriff.
Ein Betrieb in Heilbad Heiligenstadt, der seine SonicWall-Firewall durch ein Systemhaus migrieren ließ, hat nach dieser Schwachstellenwelle womöglich eine offene Flanke – nicht aus Fahrlässigkeit, sondern weil Zuständigkeiten ungeklärt blieben. Das ist kein Einzelfall. Die TTG GmbH mit ihrer über 25-jährigen Erfahrung im IT-Betrieb für mittelständische Unternehmen hat gelernt: Die technische Härtung ist lösbar – die organisatorische Zuständigkeit muss vorher geklärt sein. Suchen Sie für Ihre Systeme eine strukturierte Einschätzung, helfen Ihnen die IT-Dienstleistungen der TTG GmbH dabei weiter.
Die SonicWall SSLVPN Angriffe KMU sind kein Ausreißer – sie folgen einem Muster, das sich mit dem nächsten exponiertem Dienst wiederholen wird. Wer jetzt Prozesse aufbaut statt nur Patches einzuspielen, ist beim nächsten Advisory besser vorbereitet.
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie die SonicOS-Firmware-Version unter System → Diagnostics und vergleichen Sie mit den Advisory-Mindestversionen (7.1.1-7058, 7.1.2-7019, 8.0.0-8035).
- Schränken Sie den SSLVPN-Zugriff sofort auf bekannte IP-Ranges ein oder deaktivieren Sie SSLVPN temporär, bis Patch und Passwort-Reset abgeschlossen sind.
- Aktualisieren Sie die Firmware auf SonicOS 7.3.0 oder neuer über mysonicwall.com – bei Gen-6-Geräten zusätzlich die sechs manuellen Härtungsschritte durchführen.
- Setzen Sie alle lokalen SSLVPN-Passwörter zurück und aktivieren Sie unter Users → Local Users den erzwungenen Passwort-Reset beim nächsten Login.
- Aktivieren Sie TOTP- oder Push-basierte MFA für alle SSLVPN-Nutzer und klären Sie schriftlich mit Ihrem Systemhaus, wer künftig Patch-Management und Credential-Hygiene nach Migrationen verantwortet.
Häufig gestellte Fragen
Wir nutzen SonicWall-Firewalls, haben aber kein aktives SSLVPN eingerichtet. Sind wir trotzdem betroffen?
CVE-2024-53704 betrifft ausschließlich Instanzen mit aktiviertem SSLVPN-Feature. Wenn Sie SSLVPN unter VPN → SSL-VPN → Server Settings nachweislich deaktiviert haben und dies im Firewall-Log bestätigt ist, sind Sie für diese spezifische Schwachstelle nicht exponiert. CVE-2024-40766 (Management-Zugriff) kann jedoch auch ohne aktives SSLVPN relevant sein – ein Firmware-Update auf 7.3.0 oder neuer bleibt in jedem Fall empfehlenswert. Prüfen Sie sicherheitshalber trotzdem beide Einstellungen.
Unser Systemhaus hat die Firewall eingerichtet. Müssen wir selbst aktiv werden, oder ist das deren Aufgabe?
Das kommt auf Ihren Vertrag an – und genau dort liegt das Problem. In vielen Wartungsverträgen ist Patch-Management zwar erwähnt, aber nicht konkret geregelt, wer bei kritischen Schwachstellen innerhalb welcher Frist handelt. Klären Sie das jetzt schriftlich. Bis zur Klärung gilt: Warten Sie nicht. Der Betrieb liegt in Ihrer Verantwortung, auch wenn ein Dienstleister die Technik betreut. Kritische CVEs mit CVSS 9.x erfordern eine Reaktion innerhalb von Stunden, nicht Wochen.
Wie lange dauert es, die empfohlenen Maßnahmen umzusetzen, und was kostet das?
Das Firmware-Update selbst dauert je nach Modell 20–45 Minuten, inklusive Neustart. Der Passwort-Reset aller lokalen SSLVPN-Nutzer ist über die Weboberfläche in unter einer Stunde erledigt. MFA-Konfiguration benötigt je nach Nutzerzahl und gewählter Lösung einen halben bis einen Arbeitstag. Entstehende Kosten hängen davon ab, ob Ihr Systemhaus die Arbeiten im Rahmen des bestehenden Vertrags übernimmt. Die Alternative – eine erfolgreiche Ransomware-Attacke – ist in jedem Fall deutlich kostspieliger.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie gerade mit Sicherheit, ob Ihre SonicWall-Firewall gegen CVE-2024-53704 gepatcht ist – und wer in Ihrem Unternehmen diese Frage beantworten kann?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
