Akira-Welle in DACH: Cisco-VPN-Schwachstelle CVE-2024-20481 bleibt 2026 Top-Einstieg
Im Q1/2026 listete die Akira-Leak-Site 41 DACH-Opfer – Mittelstand, Industrie, kommunale Versorger. Die Initial-Access-Analyse einschlägiger DFIR-Reports (incl. CrowdStrike, Mandiant, Truesec) zeigt ein einheitliches Bild:
Einstieg: CVE-2024-20481 (Cisco ASA/FTD, Password-Spray) und CVE-2023-20269 (Brute-Force in IPSec/SSL VPNs). Geräte, bei denen MFA nicht erzwungen oder das Spray-Protection-Feature nicht konfiguriert wurde, werden binnen Stunden übernommen.
TTPs (typischer Verlauf): 1. VPN-Login mit gestohlenen oder gesprayten Credentials 2. Active-Directory-Recon via SharpHound 3. Privilege Escalation (NTLM-Relay, AS-REP Roasting) 4. Datenexfiltration via Rclone → Mega.nz 5. Verschlüsselung von VMware-ESXi-Hosts (Akira ESXi-Encryptor)
Sofortmaßnahmen für DACH-Mittelstand: - MFA auf VPN-Logins erzwingen (kein "optional") - Cisco-Patches Stand März 2025 oder neuer - ESXi-Hosts isoliert vom Domain-Netz - 24/7 Monitoring auf Akira-spezifische IoCs
Risikomonitor stellt entsprechende Detection-Regeln und Domain-Watchlists bereit.
Weitere Artikel
PHP2Shell: Kritische PHP-Lücke trifft tausende Websites in Österreich und der Schweiz
CVE-2026-109618 und CVE-2026-109619 erlauben die Fernübernahme von Servern ohne Zugangsdaten. Auf unserer neuen Plattform php.risikomonitor.com können Website-Inhaber kostenlos prüfen, ob sie betroffen sind.
Kommunale IT-Sicherheit: 984 Gemeinden in Combolisten
Unsere Studie analysiert 2.086 österreichische Gemeinden: Zugangsdaten im Darknet, veraltete Software und öffentlich erreichbare Dienste.
Studie: Schatten-IT und Ransomware hängen eindeutig zusammen
Vier von fünf Schweizer Ransomware-Opfern hatten Firmenadressen in Datenlecks – im Schnitt nur jede sechste Firma.