Am 16. September 2026 veröffentlichte Cisco eine Sicherheitswarnung zu CVE-2026-76460, die Identity Services Engine und ISE Passive Identity Connector betrifft. Der CVSS-Basiswert beträgt 10.0, das Maximum der Skala. Ursache sind unzureichende Authentifizierungskontrollen an einem API-Endpunkt, und die Folge ist, dass ein nicht authentifizierter Angreifer aus der Ferne über eine präparierte Anfrage die Verwaltungsoberfläche erreichen kann. Cisco erklärt unmissverständlich, dass sein PSIRT von aktiver Ausnutzung weiß und dass keine Workarounds verfügbar sind.

Der technische Name sagt einem Unternehmer wenig. Die betriebliche Bedeutung sagt alles: Das betroffene Gerät ist kein Dateiserver und kein Netzwerkdrucker. Es ist die Appliance, die der Rest des Netzwerks nach der Identität jedes Verbindungsversuchs fragt. Sie entscheidet, dass dieser Laptop einem berechtigten Mitarbeiter gehört, dass dieses Telefon einem Besucher gehört, der ins Gastnetz gehört, und dass dieser Lieferant genau ein System erreicht. Wenn die Instanz fällt, die diese Entscheidung trifft, verlieren Sie nicht einen Dienst. Sie verlieren das Fundament, auf dem jeder Dienst steht.

Was wir tatsächlich wissen

Diese Fakten stammen aus Ciscos eigener Sicherheitswarnung und aus dem Katalog Known Exploited Vulnerabilities (bekanntermaßen ausgenutzte Schwachstellen) der CISA, nicht aus Presseberichten:

  • Betroffene Produkte: Cisco Identity Services Engine und ISE Passive Identity Connector, Releases 3.1 bis 3.5.
  • Korrigierte Releases: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 und 3.5 Patch 4.
  • Voraussetzung für die Ausnutzung: keine. Ein nicht authentifizierter Angreifer aus der Ferne, eine präparierte Anfrage an einen API-Endpunkt, kein Konto und kein Passwort.
  • Status: laut Cisco PSIRT aktiv ausgenutzt und am 16. September 2026 in den Katalog Known Exploited Vulnerabilities aufgenommen, mit dem 19. September 2026 als Frist zur Behebung für US-Bundesbehörden.
  • Workaround: keiner. Die einzige Abhilfe, die Cisco nennt, ist die Einschränkung des Zugriffs auf das Gerät mit Infrastructure Access Control Lists, bis der Patch eingespielt ist.

Drei Begriffe in dieser Liste verdienen eine Pause: aus der Ferne, nicht authentifiziert und kein Workaround. Jede Schwachstelle, der einer dieser Punkte fehlt, lässt Ihnen Luft zum Atmen. Diese lässt Ihnen nichts außer Patchen oder Isolieren.

Warum Identitäts-Appliances schlimmer sind als jeder andere Server, den Sie betreiben

In einem Unternehmensnetzwerk sind Systeme in den Folgen ihrer Kompromittierung nicht gleich. Wird der Reporting-Server kompromittiert, verlieren Sie Berichte. Wird das Gerät kompromittiert, das Identität und Zugriff steuert, haben Sie nicht ein Gerät verloren. Sie haben die Bedeutung des Wortes Berechtigung im gesamten Netzwerk verloren.

Wer die administrative Kontrolle über ein solches System erlangt, kann grundsätzlich die Richtlinien selbst ändern — sich eine berechtigte Identität ausstellen, statt zu versuchen, eine Kontrolle zu überwinden. Das ist der wesentliche Unterschied. Der Angriff ist dann kein Eindringen mehr, das in den Logs auffällig wirkt, sondern ein Zugang, der völlig legitim aussieht, weil er durch dasselbe Tor kam, dem Sie vertrauen. Das ist der am schwersten zu erkennende Fall, denn das Monitoring beruht auf der Annahme, dass alles, was das Identitätssystem genehmigt, per Definition genehmigt ist.

Hinzu kommt, wo diese Appliances stehen. Sie sitzen in der Mitte des Netzwerks und sind mit jedem Segment verbunden, weil ihre Aufgabe das erfordert. Ein Brückenkopf auf der Appliance ist also ein Brückenkopf auf einer offenen Straße zu allem, was dahinter liegt. Deshalb gehören Identitäts-, Zugriffs- und Authentifizierungssysteme ganz oben auf die Liste der kritischen Assets und nicht in das allgemeine Inventar der Netzwerkgeräte. Dieselbe Logik haben wir aus einem anderen Blickwinkel in unserem Beitrag über den Single Point of Failure, den niemand erfasst behandelt.

Die Lehre betrifft nicht Cisco

Man kann das leicht als Nachricht über ein Produkt eines Herstellers lesen. Diese Lesart ist bequem und nutzlos. Cisco hat den Fix ausgeliefert und den Ausnutzungsstatus klar benannt, genau das, was ein reifer Hersteller tun sollte. Sicherheits-Appliances aller Hersteller enthalten Schwachstellen, weil sie Software sind, und vergleichbare Warnungen werden folgen.

Die Frage, die man mitnehmen sollte, ist nicht, ob Sie Cisco einsetzen. Sie lautet, ob Sie wissen, welche Geräte und Systeme die Benutzer Ihres Netzwerks authentifizieren, auf welchen Versionen sie laufen, wer für ihr Patchen verantwortlich ist und wie lange das tatsächlich dauert. Eine Organisation, die diese vier Fragen in einer halben Stunde beantworten kann, erledigt diese Warnung als Aufgabe für einen Abend. Eine Organisation, die nicht weiß, wer die Appliance administriert, braucht eine Woche, um überhaupt an die Startlinie zu kommen, und diese ganze Woche ist Angriffsfläche.

Genau das verlangen die Essential Cybersecurity Controls der Nationalen Cybersicherheitsbehörde (NCA) in ihrem Bereich Schwachstellenmanagement: regelmäßige Bewertung und Erkennung von Schwachstellen, Einstufung nach Schweregrad, Behebung entsprechend dieser Einstufung und dem damit verbundenen Risiko, Abonnement vertrauenswürdiger Quellen für Meldungen über neue Schwachstellen und ein Patch-Management, das Integrität und Wirksamkeit von Updates vor dem Einspielen in einer Nicht-Produktionsumgebung prüft. Die Kontrolle, die meist versagt, ist nicht das Patchen selbst. Es ist die vertrauenswürdige Quelle: Eine Organisation, die die Warnung des Herstellers nie erhält, erfährt davon Tage später aus einem Nachrichtenartikel, oder nie.

Die Sicht von Origami

Wir entwickeln Geschäftssysteme, statt Netzwerkhardware zu verkaufen, und sehen die Folgen davon dennoch in jedem Integrationsprojekt. Jedes Mal, wenn wir ein neues System an ein Kundennetzwerk anbinden, taucht dieselbe Frage auf: Wer vergibt hier die Berechtigungen, und wo wird diese Entscheidung festgehalten? Die wiederkehrende Beobachtung ist, dass der fragile Teil selten die neue Anwendung oder ihre Härtung ist. Es ist die Schicht, die die Anwendung als korrekt voraussetzt und die niemand prüft, weil sie alt ist und seit Jahren still läuft.

Deshalb behandeln wir jede Komponente im Identitätspfad als Teil der Anwendungssicherheit und nicht als etwas daneben. Sie wird mit Name, Version und Verantwortlichem in der Asset-Liste erfasst. Sie erhält ein vorab vereinbartes Wartungsfenster, statt eines, das am Tag einer Warnung improvisiert wird. Und ihre Verwaltungsoberfläche ist auf ein separates Administrationsnetz beschränkt, statt aus dem allgemeinen Netz erreichbar zu sein. Das sind drei Praktiken, die kein neues Budget brauchen, und sie machen den Unterschied zwischen einem Unternehmen, das Ciscos Warnung liest und weiß, was zu tun ist, und einem, das sie liest und erst einmal fragt, wer das Passwort der Appliance hat. Das gehört dazu, wie wir in unseren Leistungen arbeiten.

Fünf Fragen, die Sie diese Woche beantworten sollten

Das ist kein vollständiges Sicherheitsprogramm. Es sind fünf Antworten, die zeigen, wie bereit Sie für die nächste Warnung sind, denn es wird eine nächste Warnung geben.

  • Wenn Sie Cisco ISE oder ISE-PIC einsetzen: Auf welchem Release sind Sie, und liegt es zwischen 3.1 und 3.5? Falls ja, stehen die korrigierten Releases oben, und das ist dringende, keine planbare Arbeit. Bis der Patch eingespielt ist, schränken Sie den Zugriff auf das Gerät mit Access Control Lists ein, wie in der Warnung beschrieben.
  • Asset-Liste: Haben Sie eine schriftliche Liste der Authentifizierungs- und Zugriffssysteme, die Sie betreiben, mit ihren Versionen? Wenn die Antwort im Kopf einer einzelnen Person steckt, ist es keine Liste.
  • Warnungs-Feed: Wer in Ihrer Organisation hat die Sicherheitswarnungen jedes eingesetzten Herstellers abonniert? Dieses Abonnement ist kostenlos und dauert Minuten, und sein Fehlen ist meist der Grund für Verzögerungen, nicht ein Mangel an Werkzeugen.
  • Zeit bis zum Patch: Wie viele Stunden oder Tage vergingen zwischen der letzten kritischen Warnung, die Sie erhalten haben, und dem Einspielen des Patches? Schreiben Sie die Zahl auf. Das ist Ihre echte Kennzahl, und sie ist ehrlicher als jeder schriftliche Plan.
  • Verwaltungsoberflächen: Sind die Admin-Konsolen Ihrer kritischen Geräte von überall im Netzwerk erreichbar oder nur aus einem festgelegten Verwaltungsnetz? Die Einschränkung des Zugriffs beseitigt die Schwachstelle nicht, aber sie macht aus einem potenziell internetweiten Angriff einen, der zuerst einen internen Brückenkopf braucht.

Die praktische Schlussfolgerung ist eng gefasst. Schwachstellen sind kein außergewöhnlicher Unfall, der Ihr Unternehmen aus dem Hinterhalt trifft; sie sind ein wiederkehrendes Ereignis, für das Sie üben können. Was eine Organisation, die standhält, von einer unterscheidet, die stillsteht, ist nicht das Fehlen der Lücke, sondern die Stunden zwischen der Veröffentlichung des Fixes und seiner Installation.

Quellen