In den letzten Stunden häufen sich die Warnungen von IT-Sicherheitsanalysten: Ransomware-Gruppen nehmen gezielt VPN-Infrastrukturen von Unternehmen ins Visier. Das Einfallstor ist dabei fast immer dasselbe – das völlig veraltete und eigentlich längst ausgemusterte Protokoll IKEv1 (Internet Key Exchange Version 1).
Besonders im Fokus stehen aktuelle Berichte über Angriffe auf Gateways von Herstellern wie Check Point. Doch das Problem ist plattformübergreifend. Viele Netzwerke schleppen IKEv1 aus Gründen der Abwärtskompatibilität für alte Client-Geräte mit. Ein fataler Fehler, wie sich jetzt zeigt.
Die Schwachstelle: Warum IKEv1 ein leichtes Ziel ist
IKEv1 stammt strukturell aus den späten 1990er Jahren und erfüllt moderne kryptografische Standards nicht mehr. Die Schwachstellen im Design ermöglichen es Angreifern, durch gezielte Pre-Authentication-Anfragen Sicherheitsbarrieren zu umgehen, Passwörter per Brute-Force zu attackieren oder Denial-of-Service-Zustände (DoS) auszulösen.
Sobald der VPN-Zugang kompromittiert ist, haben die Angreifer freien Zugriff auf das interne Unternehmensnetzwerk. Die Folge sind oft flächendeckende Verschlüsselungen durch Ransomware.
Die Schwachstelle: Warum IKEv1 ein leichtes Ziel ist
IKEv1 stammt strukturell aus den späten 1990er Jahren und erfüllt moderne kryptografische Standards nicht mehr. Die Schwachstellen im Design ermöglichen es Angreifern, durch gezielte Pre-Authentication-Anfragen Sicherheitsbarrieren zu umgehen, Passwörter per Brute-Force zu attackieren oder Denial-of-Service-Zustände (DoS) auszulösen.
Sobald der VPN-Zugang kompromittiert ist, haben die Angreifer freien Zugriff auf das interne Unternehmensnetzwerk. Die Folge sind oft flächendeckende Verschlüsselungen durch Ransomware.
Was Administratoren jetzt tun müssen
Sicherheitsexperten und Behörden raten dringend von temporären Patches ab und empfehlen einen radikalen Schnitt:
-
IKEv1 komplett deaktivieren: Überprüfen Sie alle aktiven VPN-Profile auf Ihren Firewalls und Routern. Deaktivieren Sie die Unterstützung für Version 1 vollständig.
-
Migration auf IKEv2: Stellen Sie alle VPN-Verbindungen (Site-to-Site sowie Client-to-Site) zwingend auf IKEv2oder moderne Alternativen wie WireGuard um. IKEv2 bietet nicht nur eine wesentlich stärkere Verschlüsselung, sondern ist auch resistenter gegen Denial-of-Service-Angriffe.
-
Legacy-Hardware austauschen: Geräte, die kein IKEv2 unterstützen, sollten aus Sicherheitsgründen umgehend aus der Produktionsumgebung entfernt werden.