Die meisten Angriffe über E-Mail brauchen einen Menschen. Jemand muss klicken, einen Anhang öffnen, ein Passwort eintippen. Deshalb reden wir hier so oft über Aufmerksamkeit.
Dieser hier braucht niemanden.
Cisco hat am 14. September eine Schwachstelle in seinem Secure Email Gateway offengelegt — jenem Gerät, das eingehende Post prüft, bevor sie in die Postfächer geht. Eine präparierte Nachricht genügt. Sie muss nur durch das Gateway laufen, also genau das tun, wofür das Gerät aufgestellt wurde.
Was Cisco beschreibt
Die Lücke trägt die Kennung CVE-2026-76461 und liegt in der Funktion, die eingehende Mail zerlegt und auswertet. Der Schweregrad ist mit 9,8 von 10 angegeben, und die Beschreibung lässt wenig Spielraum: Ein Angreifer aus der Ferne, ohne Anmeldung und ohne Zugang zur Verwaltungsoberfläche, kann beliebige Befehle mit den höchsten Rechten auf dem Gerät ausführen.
Betroffen sind die Softwarestände 16.5, 16.0 sowie 15.5 und älter, auf physischen wie auf virtuellen Geräten. Behoben ist es in 15.5.5-014, 16.0.4-302 und 16.5.0-780.
Zwei Angaben machen den Fall dringlich. Erstens: Die Lücke wird bereits angegriffen. Die US-Behörde CISA hat sie am selben Tag in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen und den Bundesbehörden eine Frist bis heute gesetzt. Zweitens, aus einer zweiten Veröffentlichung von Cisco am selben Tag: Es gibt keine Behelfslösung. Man kann nichts abschalten, nichts umkonfigurieren. Nur einspielen.
Warum das kein Cisco-Problem ist
Man könnte es dabei belassen: ein Hersteller, eine Lücke, ein Update. Das wäre aber die uninteressante Hälfte.
Ein Mailfilter muss alles öffnen. Das ist seine Aufgabe. Er zerlegt jede Nachricht, packt Archive aus, liest Kopfzeilen, wertet Anhänge aus, schaut in Dokumente hinein. Er tut mit feindseligem Material genau das, wovon man jedem Benutzer abrät — und er tut es automatisch, milliardenfach, ohne dass jemand hinschaut.
Damit ist die Schutzschicht zwangsläufig auch Angriffsfläche. Je gründlicher ein Filter prüft, desto mehr Fläche bietet er.
Wir haben vor drei Tagen an anderer Stelle dieselbe Figur beschrieben: eine Lücke ausgerechnet in der Windows-Komponente, die Updates einspielt — also in dem Teil, dem wir das Schliessen aller anderen Lücken anvertrauen. Hier ist es der Filter, dem wir das Aussortieren aller gefährlichen Post anvertrauen.
Der Schluss daraus ist nicht, weniger zu filtern. Ein Postfach ohne Filter ist keine Alternative. Der Schluss ist, dass diese Geräte zu den am dringendsten zu pflegenden Systemen im Betrieb gehören — und dass man wissen sollte, wo sie stehen.
Die Frage, die für Sie zählt
Die wenigsten Schweizer KMU betreiben ein Cisco-Gateway. Das macht die Meldung aber nicht belanglos, sondern verschiebt nur die Frage.
Ihre Post wird gefiltert. Irgendwo, von irgendetwas. Die Frage ist: Wissen Sie, wovon?
Bei Microsoft 365 ist es Microsoft selbst. Bei einem Hoster ist es dessen Anlage. Bei einem vorgeschalteten Dienst ist es ein weiteres Gerät in der Kette. Oft sind es zwei oder drei Stellen hintereinander, und in vielen Betrieben kann niemand sagen, welche.
Drei Fragen genügen, und sie sind in einer Mail an den Anbieter gestellt.
Erstens: Welches Produkt filtert unsere Post, mit Namen? Wer darauf keine Antwort gibt, kann die zweite Frage ohnehin nicht beantworten.
Zweitens: Wer spielt dort Sicherheitsupdates ein, und in welchem Abstand? «Automatisch» ist keine Antwort, sondern eine Vermutung.
Drittens: Wie erfahren wir, wenn es an dieser Stelle einen Vorfall gab? Wenn darauf niemand eine Zusage macht, erfahren Sie es nicht.
Was wir selbst tun — und was wir nicht behaupten
Bei uns filtert ein Proxmox Mail Gateway, und das steht nicht erst seit heute so auf unserer Seite. Wir nennen es namentlich, weil ein Gattungsbegriff wie «Spam- und Virenfilter» genau die erste der drei Fragen unbeantwortet lässt. Wer den Namen nicht nennt, kann nicht danach gefragt werden.
Dasselbe Gateway lässt sich auch vor ein bestehendes Postfach stellen — vor Microsoft 365, vor einen eigenen Exchange, vor jeden anderen Mailserver. Die Post wird geprüft, bevor sie dort ankommt, und die Postfächer bleiben, wo sie sind.
Was wir nicht behaupten: dass unser Filter grundsätzlich sicherer wäre. Jede Software, die fremde Eingaben so tief auswertet, hat Lücken — das gilt für Cisco, für Microsoft und für uns. Der Unterschied liegt nicht darin, wer keine Lücken hat, sondern darin, wer sie bemerkt und wie schnell geschlossen wird.
Genau danach sollten Sie Ihren Anbieter fragen. Auch uns.