Edge-Device-Forensik: Wenn der Perimeter selbst zur Blackbox wird
14.07.2026 edge-devicesfirmware-forensicsvpn-gatewaysnation-state-actors
Firewalls, VPN-Gateways, Load Balancer und Router stehen seit 2024 im Zentrum einer neuen Angriffswelle. Cisco ASA/FTD, Ivanti Connect Secure und Policy Secure, Fortinet FortiClient EMS – kaum ein Quartal vergeht ohne neue Zero-Day-Exploits gegen genau jene Geräte, die eigentlich das Netzwerk schützen sollen. Für Incident Responder ist das ein doppeltes Problem: Die Angriffe sind hochwertig und gezielt, aber die forensische Beweissicherung auf den betroffenen Appliances ist oft technisch kaum möglich.
Warum der Perimeter zur Blackbox wird
Die Ökonomie der Angreifer ist dabei klar im Vorteil. Das erklärt das Muster, mit dem Ivanti-, Palo-Alto- und Fortinet-Zero-Days 2024 und Anfang 2026 rasant verbrannt wurden – diese Exploits sind billig genug, um breit eingesetzt und dann verworfen zu werden, statt sie für hochwertige Einzeloperationen aufzusparen. Auf der Verteidigerseite sieht die Rechnung anders aus: Organisationen tragen hohe Kosten beim Patchen von Edge-Geräten, VPN-Ausfälle betreffen Remote-Mitarbeiter, gängige Security-Lösungen fehlen auf Edge-Geräten, und selbst das Sammeln forensischer Beweise ist dort nicht immer einfach – daraus resultiert ein Remediation-Fenster von mindestens 30 Tagen, das Angreifer durch Patch-Diff-Analyse ausnutzen. Hinzu kommt ein technisches Grundproblem: Viele Edge-Geräte laufen auf In-Memory-Dateisystemen, sodass ein Reboot sämtliche Kompromittierungsspuren löschen kann.
Wie ernst das genommen wird, zeigt der ArcaneDoor-Fall bei Cisco: Der ArcaneDoor-Akteur hat einen zuvor unbekannten Persistenzmechanismus entwickelt, der auch Upgrades auf die im September 2025 veröffentlichten Fix-Versionen übersteht – dieser residiert im FXOS-Basisbetriebssystem der Cisco Secure Firewall ASA/FTD-Software. Die Analyse zeigte zudem, dass der Akteur bei einigen kompromittierten Geräten ROMMON so modifizierte, dass Persistenz über Reboots und Software-Upgrades hinweg möglich wurde – beobachtet nur bei Plattformen ohne Secure Boot und Trust Anchor. Erst durch aufwendige Firmware-Extraktion gelang die Aufklärung: Instrumentierte Images mit erweiterten Erkennungsfähigkeiten, Paketmitschnitt-Analysen und tiefgehende Firmware-Analysen kompromittierter Geräte führten schließlich zur Identifikation des zugrunde liegenden Memory-Corruption-Bugs.
Wenn Herstellertools selbst zur Fehlerquelle werden
Besonders alarmierend ist der Fall Ivanti Connect Secure: CISA-Analysen bestätigten, dass sowohl interne als auch externe Versionen des Integrity Checker Tools (ICT) unzuverlässig waren, weil Webshells auf Systemen gefunden wurden, die laut ICT keine Datei-Abweichungen aufwiesen – zudem zeigte die forensische Analyse, dass Angreifer ihre Spuren durch Überschreiben und Zeitstempel-Manipulation von Dateien sowie erneutes Mounten der Runtime-Partition verwischten, um einen „sauberen Zustand“ vorzutäuschen. Noch gravierender: Unabhängige CISA-Forschung in einer Laborumgebung bestätigte, dass das ICT wahrscheinlich unzureichend ist, um Kompromittierungen zu erkennen, und dass ein Angreifer Root-Level-Persistenz trotz Factory-Reset und Appliance-Upgrade aufrechterhalten kann. Ein Standard-Reset als Reaktion auf einen Vorfall kann also genau die Beweise vernichten, die man eigentlich sichern wollte – ohne den Angreifer tatsächlich zu entfernen.
Auch bei Ivanti CSA nutzten Angreifer legitime Gerätefunktionen aus: Die Ressource /sbin/tripwire, ein PHP-Wrapper für das Tripwire-Binary zur Erstellung von Security-Reports, enthielt eine Update-Funktion, die Befehle ungefiltert an das Tripwire-Binary weiterreichte – da der Wrapper mit Sudo-Rechten lief, liefen auch die injizierten Befehle privilegiert. 2026 setzte sich das Muster fort: Bei Ivanti EPMM führte die Verkettung mehrerer Schwachstellen dazu, dass der Fallout früherer, seit Ende Januar ausgenutzter Zero-Days sich auf fast 100 Opfer ausbreitete, darunter die niederländische Datenschutzbehörde und der Rat für die Judikative.
Regulatorik reagiert – langsam
Die Politik hat das Problem erkannt. CISA, FBI und das britische NCSC riefen gemeinsam zu Abwehrmaßnahmen gegen nationalstaatliche Akteure auf, die End-of-Support-Edge-Geräte wie Load Balancer, Firewalls, Router und VPN-Gateways ausnutzen, um Netzwerkzugriff zu erlangen und sensible Daten zu kompromittieren – CISAs Binding Operational Directive 26-02 verpflichtet US-Bundesbehörden entsprechend. Parallel dazu haben NCSC, ASD, CISA, das kanadische Cyber Centre und das FBI erstmals konkrete Vorgaben für Hersteller formuliert: Geräte werden angreifbar, wenn sie kein Secure-by-Design/Default aufweisen, keine regelmäßigen Firmware-Updates erhalten oder schwache Authentifizierung und begrenzte Logging-Funktionen bieten, was die Erkennung verdächtiger Aktivitäten erschwert – zusätzlich fehlt oft eine sichere Konfiguration oder Netzwerksegmentierung.
Für Incident-Response-Teams bedeutet das: Forensische Prozesse für Edge-Geräte gehören nicht in den Notfallordner, sondern in die Architektur. Wer Firewalls und VPN-Gateways patcht, ohne vorher forensisch belastbare Images zu sichern, riskiert im Ernstfall, dass der Reboot selbst zum Tatortreiniger wird.
← Zurück zur Übersicht