Kurz gesagt
In BeyondTrust Remote Support, einer Fernwartungssoftware, steckt eine kritische Lücke, die seit August 2026 von Angreifern genutzt wird. Betroffen sind selbst betriebene Installationen bis Version 26.2.3, und damit auch Betriebe, deren IT-Dienstleister über ein solches System auf ihre Rechner zugreift. Lassen Sie sich schriftlich bestätigen, dass der Patch BT26-05-RS installiert ist und das System auf Einbruch geprüft wurde.
Was ist passiert?
Fernwartungssoftware ist der Schlüsselbund der IT: Wer sie bedient, kommt auf Server und Arbeitsplätze. BeyondTrust hat am 15. Oktober eine Lücke in seinem Produkt Remote Support gemeldet (CVE-2026-102764; eine CVE ist die weltweit eindeutige Nummer einer Sicherheitslücke). Angreifer können darüber ohne Anmeldung Dateien auf dem Gerät ablegen. Laut Hersteller und Google wurde die Lücke bereits seit August als Zero-Day ausgenutzt, also bevor es einen Patch gab. Das BSI warnt seit dem 16. Oktober mit der zweithöchsten Stufe, die US-Behörde CISA führt die Lücke seit demselben Tag als aktiv ausgenutzt.
In den untersuchten Fällen blieb es nicht beim Gerät. Die Angreifer haben sich Administratorrechte verschafft, gespeicherte Zugangsdaten abgegriffen, Protokolle gelöscht und in einem Fall über die Fernwartung selbst Sitzungen zu internen Rechnern geöffnet.
Was bedeutet das?
Für einen kleinen Betrieb ist die Frage selten „Haben wir BeyondTrust?“, sondern „Womit greift unser Systemhaus auf uns zu?“. Ist es eine selbst betriebene BeyondTrust-Installation, dann hängt Ihre Sicherheit an deren Patchstand. Das BSI ist deutlich: Wer zwischen August und dem Patch eine solche Installation im Internet hatte, soll von einem Einbruch ausgehen, bis eine Untersuchung das Gegenteil zeigt. Ein Patch allein klärt das nicht.
Wer die Cloud-Fassung des Herstellers nutzt, ist beim Gerät selbst versorgt. Gespeicherte Zugangsdaten und Berechtigungen sollten trotzdem geprüft werden.
Was Sie jetzt tun können
- Klären, welche Fernwartung im Einsatz ist. Fragen Sie Ihren IT-Dienstleister: „Welche Software nutzen Sie für den Zugriff auf unsere Systeme, und wer betreibt sie?“ Achten Sie auch auf den alten Namen Bomgar.
- Patch schriftlich bestätigen lassen. Vorlage: „Bitte bestätigen Sie, dass auf Ihrer BeyondTrust-Installation der Patch BT26-05-RS für CVE-2026-102764 eingespielt ist, mit Datum. Bitte bestätigen Sie außerdem, dass das System auf Anzeichen eines Einbruchs seit August 2026 untersucht wurde.“
- Bei eigener Installation: In der Verwaltungsoberfläche der Appliance
(Bereich
/appliance) prüfen, ob der Patch installiert ist oder automatische Updates aktiv sind. Versionen vor 24.3.1 erst auf eine unterstützte Version bringen, dann patchen. - Erst sichern, dann ändern. Vor dem Neustart Protokolle und ein Abbild des Geräts sichern. Weitergeleitete Protokolle (zentraler Logserver, Firewall) sind wichtiger als die auf dem Gerät, weil diese gelöscht worden sein können.
- Bei Verdacht Zugangsdaten tauschen. Alles, was in der Fernwartung gespeichert war oder über sie lief. Danach Anmeldungen an Servern und neue MFA-Einrichtungen bei Administratorkonten prüfen.
- Hersteller einbinden. Bei Auffälligkeiten eine Supportanfrage bei BeyondTrust mit dem Stichwort „BT26-05“ stellen.
- Zugang zur Verwaltung beschränken. Die Verwaltungsoberflächen sollten nur aus vertrauenswürdigen Netzen erreichbar sein, nicht aus dem Internet.
Häufige Fragen
Wir nutzen BeyondTrust gar nicht. Müssen wir etwas tun? Nur wenn Ihr Dienstleister es nutzt. Eine Rückfrage genügt, um das zu klären. Reicht es, dass der Patch jetzt drauf ist? Nein. Der Patch verhindert neue Einbrüche. Ob seit August jemand drin war, zeigt nur eine Untersuchung. Gibt es eine Übergangslösung ohne Patch? Laut BSI nennt der Hersteller keine, die die Lücke zuverlässig schließt.
Quellen
- BSI: BeyondTrust Remote Support, Zero-Day Schwachstelle seit mindestens August ausgenutzt, Version 1.0 (16. Oktober 2026)
- BSI: IT-Sicherheitshinweis als PDF (16. Oktober 2026)
- Google Threat Intelligence Group: ARMORY CASTLE Exploits BeyondTrust (Oktober 2026)
- CISA: Known Exploited Vulnerabilities Catalog (Aufnahme 16. Oktober 2026)
Stand: 31. Oktober 2026. Ersetzt keine Prüfung im Einzelfall. Transparenz: Diese Einordnung ist KI-generiert mit menschlicher Prüfung, gekennzeichnet nach Art. 50 der europäischen KI-Verordnung. Auswahl, Quellenprüfung und Freigabe: Schoonnect.