Ein neuer Einstieg für eine bekannte Bedrohung

Die Qilin-Ransomware, eine der produktivsten Ransomware-as-a-Service-Operationen, die im vergangenen Jahr beobachtet wurden, hat einen neuen Weg in Unternehmensnetzwerke gefunden. Laut Berichten von The Hacker News nutzen mit Qilin verbundene Angreifer eine Authentifizierungs-Bypass-Schwachstelle in Palo Alto Networks‘ PAN-OS, verfolgt als CVE-2026-0257, um sich erstmals Zugang zu Opferumgebungen zu verschaffen. Von dort aus entfalten sich die Angriffe auf unterschiedliche Weise: Einige Angreifer gehen sofort zur schnellen Dateiverschlüsselung über, während andere zunächst verweilen, um Daten zu stehlen, und damit das Modell der doppelten Erpressung aufbauen, das zu Qilins charakteristischer Vorgehensweise geworden ist.

Der Einsatz eines Firewall-Authentifizierungs-Bypasses als Einstiegspunkt ist bemerkenswert, weil er genau die Infrastruktur ins Visier nimmt, auf die sich Unternehmen verlassen, um Angreifer von vornherein fernzuhalten. PAN-OS betreibt Firewalls und VPN-Gateways, die von Unternehmen jeder Größe genutzt werden, um den Zugriff auf interne Netzwerke zu kontrollieren. Wenn eine Schwachstelle in dieser Software es einem Angreifer ermöglicht, die Authentifizierung vollständig zu umgehen, funktioniert der Sicherheitsperimeter, auf den Unternehmen angewiesen sind, im Grunde nicht mehr wie vorgesehen.

So entfaltet sich die Angriffskette

Den Berichten zufolge beginnt das Muster dieser Eindringungen mit der Ausnutzung von CVE-2026-0257, um die PAN-OS-Authentifizierungskontrollen zu umgehen und einen ersten Zugang zu erlangen. Von diesem Brückenkopf aus scheinen mit Qilin verbundene Angreifer in mindestens zwei unterschiedliche Vorgehensweisen zu verzweigen. In einigen Fällen geht die Gruppe schnell dazu über, Ransomware einzusetzen und Dateien zu verschlüsseln, wobei Geschwindigkeit vor Heimlichkeit geht. In anderen Fällen nehmen sich die Angreifer Zeit, das Netzwerk zu erkunden und sensible Daten zu exfiltrieren, bevor sie die Verschlüsselung auslösen – ein langsamerer, aber schädlicherer Ansatz, der die doppelte Erpressung unterstützt: Sie fordern ein Lösegeld sowohl für die Entschlüsselung der Dateien als auch dafür, dass gestohlene Daten nicht veröffentlicht oder verkauft werden.

Diese Flexibilität deckt sich mit Qilins Vorgehensweise in anderen Kampagnen. Die Gruppe wurde bereits dabei beobachtet, Angriffe auf kleine und mittelständische Unternehmen zu eskalieren, oft parallel zu konkurrierenden Ransomware-Operationen, die um denselben Opferkreis konkurrieren. Qilin hat sich auch einen Ruf für große Fallzahlen erworben und meldete Berichten zufolge rekordverdächtige 1.358 Opfer in einer einzigen Zählung – eine Zahl, die zeigt, wie effektiv die Kombination aus Verschlüsselung und Datendiebstahl als Geschäftsmodell für Cyberkriminelle sein kann.

Warum Firewall-Schwachstellen wichtiger sind denn je

Authentifizierungs-Bypass-Schwachstellen in Netzwerk-Sicherheitsgeräten sind besonders gefährlich, weil sie am Rand der Infrastruktur eines Unternehmens sitzen – genau dort, wo Verteidiger Schutz statt Angriffsfläche erwarten. Anders als eine Phishing-E-Mail, die darauf angewiesen ist, einen Mitarbeiter zu täuschen, kann ein Authentifizierungs-Bypass direkt gegen aus dem Internet erreichbare Geräte ausgenutzt werden, ohne jegliche Benutzerinteraktion. Das macht das Patchen und die Konfigurationshygiene von Firewalls und VPN-Gateways zur ersten Verteidigungslinie, nicht zu einer nachträglichen Überlegung.

Für normale Nutzer und datenschutzbewusste Leser ist dieser Vorfall eine Erinnerung daran, dass die Werkzeuge, die den Netzwerkverkehr schützen sollen – einschließlich Firewalls und VPN-Appliances –, selbst Ziel von Angriffen sind. Eine Schwachstelle in dieser Schicht kann die Vertraulichkeit all dessen untergraben, was dahinter liegt: Kundendaten, interne Kommunikation, Finanzdaten und mehr. Wenn diese Daten später bei einem doppelten Erpressungsschema als Druckmittel eingesetzt werden, reichen die Auswirkungen über das betroffene Unternehmen hinaus und betreffen jeden Kunden oder Partner, dessen Informationen auf diesen Systemen gespeichert waren.

Was das für Sie bedeutet

Wenn Sie IT-Administrator oder Geschäftsinhaber sind und Palo Alto Networks PAN-OS-Geräte betreiben, sollte dieser Bericht Sie veranlassen, sofort Ihren Patch-Status und die Offenlegung der Management-Schnittstellen zu überprüfen. Stellen Sie fest, ob Ihre Bereitstellung von CVE-2026-0257 betroffen ist, und wenden Sie verfügbare Herstellerhinweise oder Updates unverzüglich an. Die Beschränkung des Zugriffs auf Management-Schnittstellen aus dem öffentlichen Internet, wo immer möglich, bleibt eine der einfachsten Methoden, um das Risiko durch Authentifizierungs-Bypass-Exploits zu verringern.

Für Mitarbeiter und Kunden von Unternehmen, die auf PAN-OS-Infrastruktur angewiesen sind, liegt die praktische Konsequenz eher in erhöhter Aufmerksamkeit als in direktem Handeln. Ransomware-Vorfälle mit Datendiebstahl führen oft erst Wochen oder Monate später zu Benachrichtigungen. Daher lohnt es sich, auf Benachrichtigungen über Sicherheitsverletzungen von Unternehmen zu achten, mit denen Sie Geschäfte machen, und in der Zwischenzeit auf ungewöhnliche Kontoaktivitäten zu achten.

Wichtigste Erkenntnisse

  • CVE-2026-0257 ist ein Authentifizierungs-Bypass in PAN-OS, der aktiv von Qilin-Ransomware-Affiliates für den Initialzugriff ausgenutzt wird.
  • Die Angriffsmuster variieren: von schneller Verschlüsselung bis hin zu langsamerem Datendiebstahl mit anschließenden Forderungen nach doppelter Erpressung.
  • Unternehmen, die PAN-OS einsetzen, sollten vorrangig ihren Patch-Status überprüfen und die Offenlegung von Management-Schnittstellen einschränken.
  • Qilin hat eine Vorgeschichte massenhafter Angriffe auf Unternehmen, weshalb zeitnahes Patchen und Netzwerksegmentierung wichtige Schutzmaßnahmen sind.
  • Einzelpersonen sollten auf Benachrichtigungen über Sicherheitsverletzungen von Unternehmen achten, die möglicherweise betroffene Infrastruktur nutzen, da gestohlene Daten oft noch lange nach dem ersten Einbruch als Erpressungsmittel eingesetzt werden.

Während Ransomware-Gruppen weiterhin nach Einfallstoren in weit verbreiteten Netzwerksicherheitsprodukten suchen, bleibt es eine der effektivsten Methoden für Unternehmen, sich über Herstellerhinweise auf dem Laufenden zu halten und die unnötige Offenlegung von Management-Systemen einzuschränken, um Angriffe wie diesen abzuschwächen, bevor sie zu umfassenden Erpressungsvorfällen eskalieren.